Databeveiliging & Dataverlies

Onder meer accountnummers, wachtwoorden en een lijst met prominente Australische klanten van Symantec lekte uit. Daarnaast zijn namen van accountmanagers en accountnummers uitgelekt.

Het lek vond in februari plaats in een Australische demolab van Sophos. Het lek werd door Symantec niet gemeld bij de Australische toezichthouder of in de openbaarheid gebracht. 

Het datalek vond plaats nadat aanvallers wisten door te dringen tot Symantec accounts van een aantal grote Australische bedrijven en overheidsinstellingen. Guardian Australia meldt dat de aanvallers achter deze aanval ook betrokken zijn geweest bij de diefstal van data rond het Australische Medicare-programma. Deze data is later op het darknet te koop aangeboden.

Alles bij de bron; DutchIT


 

Twee studenten van de opleiding Security & Network Engineering aan de UvA hebben een datalek in het Student Informatie Systeem van de universiteit ontdekt. Via het inmiddels gedichte lek konden ze de cijfers van alle 34.000 studenten inzien.

Via het Student Informatie Systeem (SIS) worden vakinschrijvingen, studievoortgang, cijfers, betalingsstatussen en andere belangrijke zaken van studenten geregeld. Studenten die op het SIS waren ingelogd konden door het veranderen van een studentnummer en vaknummer in de URL en het uitschakelen van JavaScript de cijfers van medestudenten inzien. Door het uitschakelen van JavaScript werd de controle uitgeschakeld die keek of de opgevraagde cijfers ook daadwerkelijk van de ingelogde gebruiker waren. In het geval JavaScript wel stond ingeschakeld werd de gebruiker doorgestuurd naar een pagina met een foutmelding.

Bovendien was het zo dat er, als het studentnummer niet werd ingevuld, een overzicht van alle studentnummers verscheen en dat er bij het leeg laten van de vakcode een lijst met alle vakcodes zichtbaar werd. De ontdekkers gaan ervan uit dat de gegevens geautomatiseerd te scrapen waren, omdat het om het simpelweg aanpassen van de url ging.

Alles bij de bronnen; Security & Tweakers


 

Volgens beveiligingsbedrijf Digital Shadows zijn maar liefst 2,3 miljard databestanden gelekt sinds de invoering van de Europese privacywet GDPR. In de bestanden staan onder meer inloggegevens voor zakelijke IT-systemen, paspoortgegevens van klanten, bankgegevens en medische informatie. 

Het aantal gelekte bestanden is daarmee met ruim 50 procent gestegen in een jaar tijd, schrijft Computer Weekly. Ongeveer de helft van de lekken verliep via de server message block (SMB) protocol, aldus het beveiligingsbedrijf. Maar ook andere technologieën werden verkeerd geconfigureerd, wat voor problemen zorgden. Zo was 20 procent van de lekken het gevolg van FTP-diensten, 16 procent van rsync-sites, 8 procent van Amazon S3 cloud-opslag buckets en 3 procent van NAS-apparaten.

Alles bij de bron; TechZine


 

Een server die niet met een wachtwoord was beveiligd, heeft de persoonlijke gegevens van 56,9 miljoen Amerikanen gelekt. In de meeste gevallen ging het om voor- en achternamen, e-mailadressen, adressen, postcodes, telefoonnummers en IP-adressen, meldt ZDNet. De server bevatte meerdere databases voor in totaal 73 GB aan data.

Ook de gegevens van bijna 26 miljoen bedrijven stonden online. deze database bevatte bestanden met bedrijfsgegevens, onder meer namen, telefoonnummers, e-mailadressen en informatie over het aantal werknemers en de omzet, zegt de onderzoeker die de server heeft ontdekt tegen ZDNet. Een Canadees bedrijf dat de server vermoedelijk beheerde, wilde niet op vragen reageren.

Alles bij de bron; NU


Accountants hebben persoonlijke gegevens en belastingaangiften van oud-cliënten kunnen inzien door een datalek bij De Belastingdienst. Het lek werd bij toeval ontdekt. Dat schrijft de Volkskrant die met de accountant uit Rotterdam heeft gesproken. Volgens de krant waren de gegevens van de oud-cliënten maandenlang te zien. 

De fout werd bij toeval door de accountant ontdekt. Toen hij bezig was met de belastingaangiftes van een van zijn cliënten van wie hij een machtiging had en op de terug-knop klikte, kwam hij bij een lijstje terecht met verschillende klanten. Daartussen zaten ook cliënten van wie de machtiging inmiddels was verlopen. Hij kon de strikt persoonlijke gegevens van hen inzien. 'Als ik kwaad zou willen zou ik dus de aangiften waar ik geen toegang tot mag hebben, kunnen aanpassen', aldus de accountant.  

De fout komt alleen voor in de browser Edge van Microsoft. Bij andere browsers, zoals Google Chrome, krijg je een foutmelding. De Belastingdienst erkent het lek en heeft de fout deze week hersteld.

Alles bij de bron; RTL


 

Grote techbedrijven trekken samen op tegen de Britse geheime dienst GCHQ. Die inlichtingendienst pleit ervoor om via een omweg toch mee te kunnen lezen met versleutelde berichten.

"Dat is een bedreiging voor de cyberveiligheid en fundamentele mensenrechten", zeggen tegenstanders van het GCHQ-plan in een open brief. Die is ondertekend door onder meer Google, Apple, Microsoft en Whatsapp, een dochterbedrijf van Facebook. De brief is een reactie op een voorstel van de Britse geheime dienst om toch mee te kunnen lezen met berichten die worden verstuurd via diensten met end-to-end-encryptie.

De bedrijven publiceerden de open brief aan de Britse geheime dienst op het blog Lawfare. De techreuzen staan niet alleen in hun kritiek, want de brief is mede-ondertekend door 47 tegenstanders, waaronder ook wetenschappers en belangenorganisaties.

Alles bij de bron; RTLZ



 

De lekken werden door de onafhankelijke Russische onderzoeker Ivan Begtin gevonden. Hij onderzocht tientallen overheidswebsites. Daaruit bleek dat 23 websites burgerservicenummers lekken. Veertien van die sites lekken paspoortinformatie.

In totaal zijn gegevens van ruim 2,25 miljoen Russische burgers gelekt, schrijft Begtin. De informatie kan door iedereen worden gedownload. Naast paspoortinformatie en burgerservicenummers lekten ook namen, e-mails en identificatienummers voor belastingdoeleinden. Via de lekken zijn onder meer data van Russische politici te vinden.

Begtin schrijft in een Facebook-bericht dat hij de Russische telecomwaakhond Roskomnadzor acht maanden geleden op de hoogte bracht van het lek en vertelt hij dat de autoriteit de lekken niet heeft gedicht. De onderzoeker stelt dat de informatie nog steeds in te zien is.

Alles bij de bron; NU


 

Een hacker heeft toegang gekregen tot persoonlijke gegevens van woningzoekenden bij huurmakelaar NederWoon, een organisatie met meer dan 25.000 huurwoningen. De indringer had onder meer toegang tot de namen, adressen, telefoonnummers ID-bewijzen en werkgeversverklaringen van mogelijk duizenden woningzoekenden...

...De hacker kreeg toegang tot gegevens die door woningzoekenden zijn ingevuld of geüpload over de periode 2017 tot en met 2019, de indringer kon daar ongemerkt in rondneuzen. NederWoon weet nog niet exact welke gegevens er in de database zaten. Bij de invulvelden die de organisatie op de website gebruikte om de database te vullen werd gevraagd om een naam, adres, woonplaats, telefoonnummer en een e-mailadres. Woningzoekenden hadden ook de mogelijkheid om online documenten te uploaden, waaronder identiteitsbewijzen met BSN-nummers en werkgeversverklaringen. Ook daar kon de hacker bij. 

De gelekte persoonsgegevens maken identiteitsfraude mogelijk. Criminelen kopen bijvoorbeeld op naam van iemand anders spullen zonder te betalen. ,,Met een BSN-nummer in combinatie met andere gegevens kun je soms al een lening afsluiten of een huurcontract tekenen. Hoe meer de kwaadwillende in handen heeft, hoe meer schade hij kan uitrichten.’’ aldus de AP.

Alles bij de bron; deStentor


Abonneer je nu op onze wekelijkse nieuwsbrief!
captcha