Huawei heeft jaren geleden onbeperkt toegang gehad tot klant- en facturatiegegevens van telecombedrijf Telfort. Dat blijkt uit een onderzoek van Telforts moederbedrijf KPN uit 2011.
KPN onderzocht destijds een nieuwe klant- en facturatieomgeving van Telfort, die door Huawei werd beheerd. Uit het onderzoek bleek dat Huawei regelmatig bestanden uit de klantomgeving haalde. Het is niet duidelijk hoeveel gegevens daadwerkelijk zijn opgeslagen en wat ermee is gebeurd, omdat niet werd bijgehouden wat er precies uit de systemen gekopieerd werd.
Telfort-klanten zijn er niet over ingelicht en het is niet bij de Autoriteit Persoonsgegevens gemeld. Dat was in die tijd nog niet verplicht. Het is niet bekend of er opnieuw een onderzoek wordt ingesteld.
Alles bij de bron; NU
Deze keer hebben we het niet over een auto die te koop staat, maar kwaadwillenden zouden er eventueel wel een auto mee kunnen krijgen. Het gaat namelijk om persoonlijke gegevens van Porsche-eigenaren.
Iedereen die het nieuws een klein beetje gevolgd heeft weet dat er vorige week een datalek was, mogelijk de gegevens van 7,3 miljoen autobezitters. Nu worden er specifiek de gegevens van Porsche-rijders aangeboden op een hackersplatform. Waarschijnlijk zijn deze data onderdeel van het grotere lek van vorige week. Het gaat om de gegevens van 39.000 Porsche-rijders die op straat liggen.
Voor de criminelen die specifiek geïnteresseerd zijn in Porsche en geen zin hebben om voor het complete datapakket te betalen is dit wellicht een interessant aanbieding. Waarom zou je gaan betalen voor de gegevens van alle auto’s als je een Porsche wilt jatten? Porsche-klanten waren trouwens vorig jaar ook al de klos. Toen werd er een USB-stick gejat bij Pon met daarop de persoonsgegevens van klanten.
Alles bij de bron; AutoBlog
Volgens de onderzoekers kijken recente privacystudies vooral naar dataverkeer door apps en dan met name apps van derden. Er is volgens de Ieren veel minder aandacht voor gegevens die het mobiele besturingssysteem zelf verstuurt. Daarom gingen de onderzoekers aan de slag om te kijken hoe dat zit.
Zowel de iPhone als de Google Pixel-telefoon versturen data, ook als de gebruiker niet is ingelogd. In beide gevallen gaat het om IMEI-nummer, serienummer van toestel en simkaart, telefoonnummer, apparaat-ID, IMSI-nummer en nog wat andere gegevens. De iPhone verstuurt bovendien een unieke Bluetooth chip-ID, het Secure Element ID en het WiFi MAC-adres van apparaten in de buurt, waaronder de home gateway. Apple haalt ook de GPS-locatie van apparaten in de buurt binnen, zonder dat gebruikers zich hiervoor kunnen afmelden. Daarnaast worden telemetriegegevens verstuurd, ook al heeft de gebruiker zich expliciet hiervoor afgemeld....
...Bij het inschakelen van een smartphone verstuurt de iPhone gedurende de eerste tien minuten zo’n 42KB aan data naar Apple. Bij de Pixel was dat een stuk meer: 1MB. Staat je toestel op standby (d.w.z. niet actief in gebruik), dan verstuurt de iPhone elke twaalf uur zo’n 52KB data naar Apple, terwijl de Pixel in hetzelfde tijdsbestek 1MB data verstuurt. De onderzoekers concluderen dan ook dat Google zo’n 20x meer data verzamelt dan Apple.
Verder zijn de onderzoekers bezorgd dat je IP-adres elke 4,5 minuten wordt verstuurd, waardoor het volgen van je toestellocatie zowel door Apple als Google mogelijk is. Een Pixel-telefoon kun je opstarten zonder netwerkverbinding, waarna je alle Google-onderdelen kunt uitschakelen. Dit voorkomt dat er veel data naar Google gaat, maar je zult dan welk andere aanbieders moeten gebruiken om bijvoorbeeld apps te installeren. Ook bij hen is je privacy niet altijd veilig.
Bij een iPhone is het niet mogelijk om een toestel in gebruik te nemen zonder netwerkverbinding, waardoor er altijd data naar Apple gaat, menen de Ierse onderzoekers.
Alles bij de bron; iCulture
Bijna de helft van de ouders gebruikt apps om het scherm- en sociale media-gebruik van hun kinderen te controleren. Dat blijkt uit een nieuw onderzoek naar het mediagebruik en de mediawijsheid bij -18-jarigen en hun ouders.
Voor dit onderzoek vulden ruim 700 ouders, waarvan er 81 een kind met een mentale beperking of met autisme hebben, een online vragenlijst volledig in. Twintig ouders hebben zich over het mediagebruik van hun kinderen ook nog laten interviewen...
...Bezorgdheden over het gebruik van sociale media nemen toe bij kinderen boven 8 jaar, dat is de leeftijd waarop velen daar voor het eerst mee aan de slag gaan. Wanneer hun kinderen opgroeien, stellen ouders zich langzaam aan minder vragen.
Privacy is een dubbel verhaal. Er zijn weinig ouders die zich afvragen of het ok is dat er foto’s of video’s van hun kind online staan (19%) en welke gegevens hun kind online deelt (15%). Anderzijds vraagt ongeveer de helft van de ouders zich wel af hoe ze de privacy van hun kind mee kunnen bewaken.Toch geven ouders zelf ook niet altijd het goede voorbeeld wanneer het om privacy gaat. 63% van hen plaatst zelf wel eens een foto of video van de kinderen online en bijna de helft van hen (45%) vraagt hier ook geen toestemming voor, vooral niet aan de jongste kinderen.
Alles bij de bron; VRT
Een uitkomst om onze vrijheid terug te krijgen, is technologie. Apps en trackingsystemen kunnen helpen om de verspreiding van het coronavirus in kaart te brengen maar het draagvlak om persoonlijke gegevens aan deze partijen af te staan is er nauwelijks.
”De afgelopen jaren zijn er zoveel schandalen geweest over het lekken van persoonlijke gegevens van burgers. Denk aan Facebook en de GGD onlangs nog, hierdoor is er huivering ontstaan om gegevens af te staan aan dergelijke tech-partijen. Als je wilt dat mensen apps omarmen waarbij ze veel persoonsgegevens moeten invoeren, dan moet je dat als overheid heel goed hebben geregeld”, zegt Hella Hueck, journalist van het Financiële dagblad in Goedemorgen Nederland op NPO 1.
Volgens trendstrateeg Lieke Lamb is er echter niets nieuws onder de zon, maar ”zijn we bewuster geworden van wat deze apps verzamelen. Kennelijk valt nu het kwartje over wat deze apps allemaal kunnen en als je dan de gaten in het systeem niet goed hebt gedicht, wat voor een gevaren dat dan oplevert”.
Alles bij de bron; WNL
Een Britse kledingwinkel is onder vuur komen te liggen vanwege een datalekmelding die het gisteren naar klanten stuurde waarin de slachtoffers worden opgeroepen om de e-mail over het datalek privé en vertrouwelijk te houden.
In een e-mail die het bedrijf naar getroffen klanten stuurde meldt het bedrijf dat het op 17 januari van dit jaar verdachte activiteit op de eigen systemen ontdekte. Verder onderzoek wees uit dat een aanvaller eerder die maand al toegang had gekregen. Op de systemen stonden klantgegevens zoals voornaam, achternaam, e-mailadres, adresgegevens en gedeeltelijk creditcardgegevens, waaronder de laatste vier cijfers van het creditcardnummer en verloopdatum.
Verdere details over het incident, zoals hoe de aanvaller toegang wist te krijgen, zijn niet gegeven. De datalekmelding werd alleen naar klanten gemaild en is niet op de website van de kledingketen te vinden. Niet alleen deze oproep zorgde voor kritiek, ook het feit dat de melding ruim twee maanden na ontdekking van het datalek komt zorgde voor boze reacties.
Alles bij de bron; Security
Een beveiligingsonderzoeker is door het combineren van verschillende kwetsbaarheden erin geslaagd toegang te krijgen tot het interne netwerk van Facebook. Het socialmediabedrijf heeft de problemen inmiddels verholpen en onderzoeker Alaa Abdulridha voor zijn bugmelding met een beloning van 47.300 dollar beloond.
Abdulridha had eerder al een kwetsbaarheid in een interne applicatie van Facebook gevonden waardoor hij toegang tot de applicatie en het beheerderspaneel wist te krijgen. Deze applicatie wordt binnen Facebook door de juridische afdeling gebruikt. Facebook verhielp dit probleem. Voor zijn tweede aanval richtte de onderzoeker zich opnieuw op deze applicatie.
Abdulridha rapporteerde de problemen op 9 september. Op 26 oktober vroeg het socialmediabedrijf een nieuwe melding te openen waarna er dezelfde dag mitigaties werden doorgevoerd. Op 25 februari van dit jaar kwam Facebook met een volledige oplossing en beloonde de onderzoeker voor zijn bugmelding.
Alles bij de bron; Security
De Internetproviders Tweak, Freedom Internet en Kabelnoord kampten maandag 22 maart met een storing. De providers meldden te zijn getroffen door een 'zware ddos-aanval'. Webhostingprovider TransIP werd eerder die dag ook getroffen door een ddos-aanval. Volgens het bedrijf werd gericht op zijn nameservers.
Onder meer de site van de Eerste Kamer was door de aanval op TransIP korte tijd offline. Ook de websites van het Bravis Ziekenhuis in West-Brabant en die van de gemeente Cappelle aan den IJssel lagen plat.
Alles bij de bronnen; Tweakers & AGConnect
Onderzoekers hebben in een systeem waarmee scholen de laptops van hun leerlingen kunnen besturen en monitoren verschillende kwetsbaarheden ontdekt waardoor een aanvaller op hetzelfde netwerk de machines had kunnen overnemen. Het gaat in totaal om vier beveiligingslekken in Netop Vision Pro, die vorige maand door de fabrikant zijn verholpen.
De onderzoekers ontdekten dat al het netwerkverkeer van de software onversleuteld wordt verstuurd, waaronder Windowswachtwoorden. Het gaat om het wachtwoord dat een docent gebruikt om op de computer van een leerling in te loggen. Screenshots van de desktops van de leerlingen, die de software continu maakt, worden ook onversleuteld verstuurd naar de leraar. Iedereen op het lokale netwerk kan deze screenshots onderscheppen.
Het tweede probleem was dat de commando's die door een docent naar een computer worden verstuurd door een aanvaller zijn te onderscheppen, aan te passen en opnieuw zijn "af te spelen". Zo zou het mogelijk zijn om willekeurige applicaties te starten. De derde kwetsbaarheid maakte het mogelijk voor een aanvaller om zijn rechten te verhogen.
Via de software kunnen docenten op afstand taken op de schoolcomputers van leerlingen uitvoeren, zoals het blokkeren van websites, het installeren of uitvoeren van applicaties en het delen van documenten. Volgens de onderzoekers hoort Netop Vision Pro in de standaardconfiguratie nooit toegankelijk te zijn vanaf het internet. Door de coronapandemie worden schoolcomputers echter op allerlei netwerken aangesloten, wat het aanvalsoppervlak vergroot.
Alles bij de bron; Security
Shell is slachtoffer van datadiefstal geworden nadat aanvallers toegang wisten te krijgen tot de Accellion FTA-server van het bedrijf. FTA is een twintig jaar oude oplossing die organisaties gebruiken voor het uitwisselen van grote bestanden.
Afgelopen december maakten aanvallers gebruik van verschillende zerodaylekken om toegang tot FTA-servers van organisaties te krijgen. Op 21 december rolde Accellion een hotfix voor de kwetsbaarheden uit.
De afgelopen weken maakten verschillende organisaties bekend dat ze slachtoffer van een inbraak op hun FTA-server waren geworden. Ook Shell gebruikte FTA voor het uitwisselen van grote bestanden. Bij de inbraak hebben de aanvallers allerlei bestanden bemachtigd, waarvan sommige persoonlijke data bevatten en andere gegevens afkomstig van Shell-bedrijven en sommige van hun partners.
Volgens het bedrijf hebben de aanvallers geen toegang gekregen tot de kernsystemen van Shell, aangezien de FTA-server geïsoleerd is van de rest van de digitale infrastructuur van het bedrijf. Naar aanleiding van de inbraak heeft Shell alle gedupeerde personen en stakeholders gewaarschuwd. Tevens is er melding gemaakt bij alle relevante toezichthouders en autoriteiten.
Eerder liet o.a. de Nederlandse Aardolie Maatschappij (NAM) al weten dat er op hun FTA-server was ingebroken.
Alles bij de bron; Security