Databeveiliging & Dataverlies

Een kwetsbaarheid in de verplichte corona-app van Qatar maakte het mogelijk om toegang tot gevoelige persoonlijke gegevens van meer dan één miljoen gebruikers te krijgen. Het ging onder andere om naam, nationaal identiteitsnummer, gezondheidsstatus en locatiegegevens, zo meldt Amnesty International op basis van eigen onderzoek. 

Gegevens die de app verzamelt worden naar een centrale server van de overheid geüpload. Die gegevens waren echter voor iedereen op internet toegankelijk, aangezien er geen beveiligingsmaatregelen aanwezig waren om de data te beschermen, aldus Amnesty International. De Ehteraz-app laat via een qr-code de gezondheidsstatus van de gebruiker zien. De qr-code gebruikt een kleurensysteem om de gezondheid van de gebruiker aan te geven.

De qr-code wordt door de app bij de centrale server opgevraagd. Hiervoor maakt de app gebruik van het nationaal identiteitsnummer waarmee de gebruiker zich registreerde. Bij het opvragen van de qr-code vond er geen aanvullende authenticatie plaats. Hierdoor was het mogelijk voor een aanvaller om zich met een willekeurig identiteitsnummer te registreren en vervolgens de qr-code van de burger in kwestie op te vragen. Daar komt bij dat het nationaal identiteitsnummer van Qatar een consistent formaat volgt. Zodoende is het mogelijk om alle combinaties te genereren en daarmee de gegevens van de betreffende Ehteraz-gebruikers op te vragen die op de server waren verzameld.

Amnesty waarschuwde de autoriteiten in Qatar, waarna de namen en locatiegegevens uit de qr-code werden verwijderd.

Alles bij de bron; Security


 

Namen van 250 slachtoffers die vorige eeuw werden misbruikt en mishandeld in opvanghuizen die onder leiding stonden van de overheid, liefdadigheidsinstellingen en kerken zijn via een e-mailblunder openbaar geworden. 

Het Interim Advocate's Office, dat slachtoffers en overlevenden van het misbruik vertegenwoordigt, verstuurde afgelopen vrijdag een maandelijkse nieuwsbrief. Daarbij waren 250 namen van de geadresseerden voor andere ontvangers zichtbaar. Interim Advocate Brendan McAllister heeft excuses gemaakt voor het datalek en een onderzoek naar de oorzaak aangekondigd, zo melden de BBC en ITV. Inmiddels is ook de Britse privacytoezichthouder ICO over het datalek geïnformeerd.

Verschillende slachtoffergroepen hebben om zijn ontslag gevraagd, zo meldt The Irish Times. McAllister zegt zich over zijn positie te zullen beraden mocht blijken dat hij verantwoordelijk is voor het datalek.

Alles bij de bron; Security


 

AIS, de grootste mobiele aanbieder van Thailand, heeft een database offline gehaald die realtime miljarden internetgegevens van miljoenen Thaise internetgebruikers lekte. Dat schrijft beveiligingsonderzoeker Justin Paine maandag op zijn blog.

Paine zegt dat hij de database zonder wachtwoord op internet heeft gevonden. Met toegang tot deze database beweert hij dat iedereen "snel een beeld kan schetsen van wat een internetgebruiker (of het complete huishouden) op dat moment aan het doen is".

Op 13 mei waarschuwde Paine al voor de open database. Na een week niets te hebben gehoord, meldde hij de grote beveiligingslek bij ThaiCERT, het coördinatiecentrum voor de beveiliging van computersystemen in Thailand. Kort daarna werd de database ontoegankelijk.

Alles bij de bron; NU


 

Privégegevens van miljoenen gebruikers van de Wishbone-app zijn op internet verschenen. Het gaat onder andere om e-mailadres, gebruikersnaam, telefoonnummer, locatie, geslacht, authenticatietokens voor Facebook en Twitter, profielafbeeldingen en gehashte wachtwoorden.

Via de Wishbone-app kunnen gebruikers content op social media vergelijken en beoordelen, alsmede privéberichten met elkaar uitwisselen. Met name tieners en jongvolwassenen maken er gebruik van. In 2016 werd de app al een keer getroffen door een datalek. Nu zou Wishbone opnieuw slachtoffer van een datalek zijn. De gestolen data werd vervolgens op internet te koop aangeboden.

Eén van de partijen die de data te koop aanbood besloot die vervolgens gratis aan te bieden. Het zou volgens het bericht om data van 40 miljoen accounts gaan. Het is echter onduidelijk of dit aantal klopt. Volgens cijfers van Google is de Androidversie van de app meer dan 5 miljoen keer geïnstalleerd. 

Alles bij de bron; Security


 

Een databank waarop te zien is wie er besmet is het coronavirus, heeft voortaan een paswoord. 
 

Het Riziv nam die beslissing omdat te veel artsen uit nieuwsgierigheid gegevens opvroegen, zonder dat ze die informatie nodig hadden voor hun job. Het gaat om huisdokters die slechts zeer sporadisch actief zijn in de triageposten die tests afnemen. “Een ongewenst neveneffect”, luidt het bij het Riziv. De maatregel is sinds deze week van kracht.

Bron; HLN


 

Bij de dataroof bij EasyJet zijn ook de e-mailadressen en reisplannen van 200.000 Nederlandse klanten gestolen, vertelt een woordvoerder. Van 58 Nederlandse klanten zijn de creditcardgegevens gestolen.

EasyJet maakte dinsdag bekend dat de e-mailadressen en reisplannen van in totaal negen miljoen klanten gestolen zijn. Daarnaast wisten de daders de creditcardgegevens van in totaal 2.208 klanten in handen te krijgen.

Volgens de woordvoerder worden de getroffen Nederlandse klanten uiterlijk op 26 mei benaderd. EasyJet heeft al contact opgenomen met de Nederlandse klanten van wie creditcardgegevens zijn gestolen. "Ze hebben ondersteuning aangeboden gekregen", aldus de woordvoerder.

Alles bij de bron; NU


 

Het kabinet wil de Telecommunicatiewet wijzigen om het delen van telecomdata in de strijd tegen corona mogelijk te maken. De Autoriteit Persoonsgegevens (AP) heeft het voorstel tot wetswijziging beoordeeld en zal haar bevindingen uiterlijk bekendmaken zodra het kabinet het wetsvoorstel publiceert.

“Wij hebben steeds gezegd: de inzet van telecomdata kan alléén als dat in de wet geregeld wordt; volgens de huidige wetgeving is dit namelijk niet toegestaan”, zegt AP-voorzitter Aleid Wolfsen. “Het anonimiseren van de gegevens, waarbij die gegevens bruikbaar blijven voor het RIVM, is in de praktijk onmogelijk. En dit gaat om zeer gevoelige informatie: namelijk wie waar is, dag en nacht. Dit gaat om de privacy van álle Nederlanders, van iedereen met een mobiele telefoon. Daarom is extra zorgvuldigheid geboden.”

“Wij hebben de aangekondigde wetswijziging scherp getoetst”, vervolgt Wolfsen. “Want privacy en de bescherming van je gegevens zijn mensenrechten. Die moeten we goed bewaken. Mocht het advies van de AP onvoldoende zijn verwerkt in het wetsvoorstel, waardoor de privacy niet gewaarborgd is, dan zal de AP dat laten weten vóórdat de Tweede Kamer het voorstel behandelt.”

De effectiviteit van de inzet van telecomdata moet volgens de AP in verhouding staan tot de inbreuk op de privacy. Wolfsen: “Alleen als voorstel voldoet aan de strenge normen van de privacywetgeving geven wij een positief advies.”

Alles bij de bron; BeveilNieuws


 

Honderdduizenden NAS-systemen van fabrikant QNAP zijn door verschillende kritieke kwetsbaarheden op afstand over te nemen en een aanvaller hoeft niet over inloggegevens te beschikken. Eind vorig jaar kwam QNAP al met beveiligingsupdates en onderzoeker Henry Huang die de in totaal 4 beveiligingslekken ontdekte heeft nu de details openbaar gemaakt.

Via de kwetsbaarheden kan een aanvaller zonder inloggegevens willekeurige code met rootrechten op de NAS-systemen uitvoeren. Dat houdt in dat een aanvaller volledige controle heeft en alle bestanden op het systeem kan benaderen. De beveiligingslekken bevinden zich in QNAP Photo Station en CGI-programma's die op de NAS draaien. Op een schaal van 1 tot en met 10 wat betreft de ernst van de kwetsbaarheden zijn die allemaal een 9,8 beoordeeld.

De enige voorwaarde voor het uitvoeren van de aanval is dat het NAS-systeem via internet toegankelijk is en QNAP Photo Station staat ingeschakeld. Photo Station wordt door QNAP omschreven als een online fotoalbum waarmee gebruikers foto's en video op het NAS-systeem met vrienden en familie via het internet kunnen delen. Eigenaren van een QNAP NAS krijgen het advies om de laatste firmware-update te installeren.

Alles bij de bron; Security


 

Abonneer je nu op onze wekelijkse nieuwsbrief!
captcha