Op 13 december vorig jaar kreeg Limburg.net te maken met een cyberaanval. De afvalsite sloot uit veiligheidsoverwegingen de digitale systemen meteen af zodat een uitbreiding van de aanval kon vermeden worden. De digitale diensten waren dagenlang niet meer bereikbaar. Alle recyclageparken bleven wel open en medewerkers gingen met pen en papier aan de slag. Dat zorgde voor files aan de milieuparken.
Uit onderzoek blijkt nu dat een buitenlands hackerscollectief een wachtwoord van een medewerker heeft kunnen bemachtigen. Er zou op enkele dagen tijd een grote hoeveelheid aan gegevens zijn gedownload. Het gaat om de persoonlijke gegevens van 311.000 Belgische Limburgers zoals adressen, rijksregisternummers en - volgens onze bronnen - zelfs informatie van klanten die een betalingsbemiddeling hadden aangevraagd.
De hackers zijn erin geslaagd om persoonsgegevens te kopiëren uit 2014 en 2015. Het betreft adresgegevens met het rijksregisternummer van 311.000 personen die op 1 januari 2014 en/of op 1 januari 2015 als gezinshoofd stonden ingeschreven.
Andere gegevens zoals e-mailadressen, paswoorden, inloggegevens, telefoonnummers, identiteitskaartnummers, rekeningnummers of bankkaartnummers werden niet gehackt. Van 61 inwoners konden de hackers ook financiële gegevens bekijken.
Het hackerscollectief heeft een dreigement gestuurd naar Limburg.net. Als er voor vrijdag 19 januari geen 100.000 dollar (bijna 92.000 euro) losgeld wordt betaald, dreigen ze de gehackte gegevens te verspreiden. De Raad van Bestuur van Limburg.net heeft besloten om niet op die afpersing in te gaan.
Alles bij de bron; deLimburger
EasyPark zegt dat er bij de cyberaanval van december ook 'gehashte versies van wachtwoorden' zijn gestolen. Het bedrijf meldt niet van hoeveel klanten er wachtwoorden zijn gestolen. Het bedrijf zegt contact op te nemen met getroffen klanten.
"Onze analyse bevestigt dat gehashte versies van wachtwoorden ook deel uitmaakten van het datalek", schrijft EasyPark in een update en zegt contact op te nemen met klanten waarvan het gehashte wachtwoord is gelekt, via een e-mail, sms of pushmelding.
Het bedrijf zegt niet op welke termijn dit zal gebeuren; de eerdere communicatie over het datalek verliep stapsgewijs en duurde meerdere weken. Naast EasyPark-klanten kunnen ook Parkmobile-klanten getroffen zijn door het datalek. Het lek zat in het EasyPark-selfservice-webportaal.
Het bedrijf meldde het datalek op 14 december. Het lek was onderdeel van een cyberaanval die op 10 december plaatsvond. Daarbij zijn, naast gehashte wachtwoorden, ook namen, telefoonnummers, adressen, e-mailadressen en 'enkele cijfers van IBAN- of creditcardnummers' ingezien. Het bedrijf sprak destijds over 'niet gevoelige data'.
Alles bij de bron; Tweakers
De rechtbank Midden-Nederland heeft een man uit Almere veroordeeld tot vier jaar cel voor fraude met gestolen inloggegevens. De verdachte bezat maar liefst 221 bots en fingerprints waarmee hij ook over gegevens van zijn slachtoffers beschikte.
Een aantal slachtoffers raakte daadwerkelijk geld kwijt: de verdachte had identificerende persoonsgegevens, inloggegevens en zelfs kopieën van valse paspoorten of identiteitskaarten voorhanden.
Daarmee deed hij aankopen en betalingen op accounts van slachtoffers, vroeg op hun naam creditcards en telefoonabonnementen aan, plaatste hij bestellingen en maakte hij grote sommen geld over naar bankrekeningen die hij weer op naam van derden had aangemaakt.
Alles bij de bron; Cops-in-Cyberspace
443 online handelaren zijn in de afgelopen twee maanden door Europol en partners gewaarschuwd dat creditcard- of betaalkaartgegevens van klanten zijn gestolen. De handelaren zijn actief in zeventien landen.
De waarschuwingen zijn het gevolg van een actie van Europol samen met partners die twee maanden duurde.
De actie was specifiek gericht op digitale skimming, waarbij creditcard- of betaalkaartgegevens worden gestolen van klanten van online winkels. Aanvallers onderscheppen hierbij data gedurende het uitcheckproces bij webwinkels, zonder dat klanten of webwinkels hiervan iets merken. In veel gevallen blijft de diefstal dan ok onopgemerkt.
De Europol-actie is onderdeel van het bredere EMPACT-programma van EU, dat staat voor 'European Multidisciplinary Platform Against Criminal Threats' gericht op het bestrijden van cybercriminaliteit.
Vorige maand werd als onderdeel van EMPACT als een Oekraïense ransomware-bende opgerold.
Alles bij de bron; DutchITChannel
Google biedt adverteerders sinds 2019 de mogelijkheid om reclame te maken in Google Nieuws. Dat is een op interesse gepersonaliseerd nieuwsoverzicht dat je kunt opvragen via de website van Google. Je krijgt het nieuwsoverzicht ook te zien als je op het hoofdscherm van veel Android-smartphones naar rechts veegt.
Maar de advertentiemogelijkheid in dat nieuwsoverzicht wordt misbruikt voor oplichting. Op dezelfde manier kunnen advertenties ook misbruikt worden om je door te laten klikken naar desinformatie en beïnvloedingscampagnes.
De in het nieuwsoverzicht aangetroffen advertenties zijn ingekocht door Chinese partijen. Wie op de advertentie klikt, krijgt een nagemaakt nieuwsartikel in de stijl van NU.nl of het AD te zien....
....Google erkent dat het opsporen, herkennen en verwijderen van malafide advertenties een kat-en-muisspel is. Het bedrijf ziet dat malafide adverteerders telkens nieuwe manieren bedenken om de controles van Google te omzeilen. Daardoor is het voor Google erg moeilijk om ertegen op te treden.
De zoekgigant wijst daarom op de mogelijkheid om schadelijke advertenties te melden. Dat kun je doen door bijvoorbeeld op het infosymbooltje in een advertentie te klikken.
Alles bij de bron; NU
Mensen die via hun PlayStation-account een Discovery-serie kochten, kunnen die vanaf 2024 niet meer kijken. De aankopen worden van accounts af gehaald en niemand krijgt geld terug.
Deskundigen hebben daarom moeite met de koopknop bij digitale aankopen, Dirk Visser, hoogleraar intellectueel eigendomsrecht aan de Universiteit Leiden, vindt de term in dit geval verkeerd. "Als je online een film aanschaft, koop je eigenlijk toestemming om herhaaldelijk te streamen", zegt hij.
Juridisch gezien gelden regels voor het kopen van fysieke dingen. "In een digitale omgeving is het fundamentele punt dat die niet bestaan", zegt ICT-jurist Arnoud Engelfriet.
"Je kunt een mp3-bestand niet op je voet laten vallen. In plaats daarvan betaal je om gebruik te kunnen maken van digitale producten. Het woord 'koop' is daarbij wel misleidend als blijkt dat het later teruggehaald kan worden door de aanbieder."
Als consument ga je met allerlei voorwaarden akkoord via het platform of de site waar je de aankoop doet. Dat doe je vaak als je een account aanmaakt. "Een ellenlang contract bij elke aankoop wil je ook niet hoeven doornemen", zegt Engelfriet. "Vaak is het zo dat gekke, onverwachte situaties in de kleine lettertjes worden opgenomen, omdat ze zo uitzonderlijk zijn."
"De kleine lettertjes mogen de grote ook niet tegenspreken. Dus als een reclame onbeperkt internet belooft, kan de aanbieder bijvoorbeeld niet zeggen dat daar toch uitzonderlijke beperkingen aan vastzitten. Onbeperkt is onbeperkt."
Iets voor altijd kopen betekent dus ook iets voor altijd kopen. Het is dan maar net onder welke voorwaarden een aankoop in de regels van een platform wordt beschreven. En dus blijkt het probleem toch vooral bij de betekenis van het woord 'kopen' te liggen.
"Als je iets digitaal koopt, verwacht je daar jaren plezier van te hebben", zegt Visser. "In principe betaal je nu voor onbepaalde tijd, behalve als de verkoper de toegang terugtrekt. Ik noem dat een wanprestatie: iets beloven te leveren wat je niet kunt waarmaken."
Alles bij de bron; NU
Winkelketen Sprinter Sports, voorheen bekend onder de namen Perry Sport en Aktiesport, is getroffen door een cyberaanval. Criminelen wisten onder meer door te dringen tot het bestelsysteem en de accountgegevens van klanten.
Hoewel Sprinter geen volledige betaalkaartinformatie zegt te bewaren, adviseert de winkelketen de klanten waakzaam te zijn op verdachte activiteiten op de bankrekening. Als klanten rare dingen zien, dienen zij meteen contact op te nemen met hun bank.
Hackersgroep Metaencryptor claimt op sociale media achter de aanval zitten. Deze groep hackt computersystemen van bedrijven en infecteert ze daarna met gijzelsoftware.
Alles bij de bron; NU
Laadpassen voor elektrische auto’s zijn fraudegevoelig, waardoor het mogelijk is om op kosten van iemand anders de auto op te laden, zo laat cybersecuritybedrijf Vest vandaag op basis van eigen onderzoek weten. Vanaf het aanvraagproces voor een pas tot aan het gebruik en betalen voor de dienst gaat het mis, aldus onderzoeker Alexander van Ee.
Een laadpas voor een elektrische auto is online aan te vragen. "En controle op juistheid van gegevens is er niet, zo heb ik verschillende keren een bankrekeningnummer gebruikt dat helemaal niet van de aanvrager was", aldus Van Ee. Zo vroeg de onderzoeker een pas aan op naam van Mark Rutte met daarbij het rekeningnummer van de Belastingdienst. "Dat zou natuurlijk absoluut niet de bedoeling moeten zijn."
Volgens de verstrekker van de laadpas moet die eerst worden geactiveerd voordat die te gebruiken is, maar dat blijkt niet echt noodzakelijk. Bij een aantal van de aangevraagde passen kan de auto worden opgeladen zonder dat de pas daadwerkelijk geactiveerd is.
Verder blijkt dat de beveiliging van de chip op de laadpassen minimaal is. Kopiëren van een bestaande pas is relatief eenvoudig. De op de chip wel aanwezige beveiligingsmogelijkheden worden namelijk niet gebruikt.
Het blijkt ook eenvoudig om pasnummer te achterhalen, die daarna te koppelen zijn aan herschrijfbare passen en vervolgens te gebruiken. De reeks gebruikte pasnummers is dusdanig klein, dat bij een bruteforce-aanval relatief snel een bruikbaar pasnummer is te vinden.
De onderzoeker ontdekte ook dat het mogelijk is om elektrische auto's gratis op te laden door middel van 'druppelladen'. Gebruikers gaan namelijk pas na een minuut laden betalen. Door middel van een apparaatje zoals de Flipper Zero is het mogelijk om korte oplaadsessies van een minuut te automatiseren en zo de auto 'vol te druppelen'.
"De geconstateerde gebreken om het betalen van elektrisch laden minder fraudegevoelig te maken lijkt een collectieve tekortkoming. Om die reden wordt de aandacht gevraagd om dit ook collectief naar een voor de consument betrouwbaarder niveau te brengen", stelt het cybersecuritybedrijf. Dat stelt dat het oplossen en voorkomen van misbruik van de aangetoonde problemen het doel is. "Niemand mag het risico lopen onnodig gedupeerd te worden."
Alles bij de bron; Security
Tijdens een internationale politieoperatie is een vanuit Oekraïne opererende ransomwaregroep opgerold. Dat laat Europol weten. De groep wordt verantwoordelijk gehouden voor wereldwijde aanvallen met de LockerGoga-, MegaCortex-, HIVE- en Dharma-ransomware.
Organisaties in 71 landen zouden door de groep zijn aangevallen.
Om toegang tot de netwerken van slachtoffers te krijgen werd gebruikgemaakt van bruteforce-aanvallen, SQL-injection en phishingmails met malafide bijlagen om zo inloggegevens te stelen.
Zodra er toegang was verkregen maakte de groep gebruik van tools zoals de TrickBot-malware, Cobalt Strike en PowerShell Empire om zich lateraal door het netwerk te bewegen en zoveel mogelijk systemen te infecteren voordat de ransomware werd uitgerold. Uit het onderzoek dat de autoriteiten naar de groep uitvoerden blijkt dat die meer dan 250 servers van grote bedrijven hebben versleuteld, wat voor honderden miljoenen euro's schade zorgde, aldus Europol.
Het forensische onderzoek zorgde ervoor dat decryptietools voor varianten van de LockerGoga- en MegaCortex-ransomware konden worden ontwikkeld, die via nomoreransom.org beschikbaar zijn.
Alles bij de bron; Security
Voor klanten van Knab is het oppassen geblazen. Momenteel versturen oplichters een valse mail uit naam van de bank waarin naar je gegevens gevist wordt. Blijf dus alert en deel nooit zomaar je gegevens wanneer je dit gevraagd wordt.
Volgens het bericht zou je nog één kans krijgen om je contactgegevens binnen twee dagen te verifiëren. Doe je dit niet, dan zou je huidige rekening worden geblokkeerd totdat de gegevens zijn geactualiseerd. Dit is een vorm van manipulatie waarbij oplichters je onder druk zetten in de hoop dat je sneller tot actie over gaat, laat je dus niet gek maken en controleer meerdere aanwijzingen die wijzen op een phishingmail.
Knab geeft een aantal tips om mailtjes namens de bank te kunnen herkennen:
Heb je een verzoek gekregen om je opnieuw te identificeren? Dan vind je hier ook een melding van in de Knab-app en de Persoonlijke Bankomgeving. Zo weet je zeker dat het verzoek legitiem is.
Alles bij de bron; Opgelicht?!