De Britse overheid heeft via een website waar mensen een afspraak voor een coronavaccinatie kunnen maken de vaccinatiestatus van burgers gelekt. Via de website van de National Health Service (NHS) kunnen burgers via hun NHS-nummer een afspraak maken. Wanneer dit nummer niet voorhanden is volstaan wat basale identiteitsgegevens, namelijk naam, geboortedatum en postcode. Tijdens dit proces wordt ook de vaccinatiestatus van de gebruiker getoond.
Iedereen die wat persoonlijk informatie van een vriend, collega of onbekende heeft kan zo de vaccinatiestatus van deze persoon achterhalen, terwijl dit eigenlijk vertrouwelijke medische informatie hoort te zijn. Voor werkgevers zou het eenvoudig zijn om te achterhalen wie van hun personeel wel of niet gevaccineerd is, zo meldt The Guardian.
Verder blijkt dat bij gebruikers die via hun huisarts een eerste vaccinatie hebben ontvangen maar nog geen tweede afspraak hebben gepland, de website het mogelijk maakt om zonder enige verdere verificatie een tweede afspraak te plannen. "Dit is een zeer ernstige tekortkoming in het beschermen van de medische vertrouwelijkheid van patiënten in een tijd dat dit niet belangrijker had kunnen zijn", zegt Silkie Carlo, directeur van Big Brother Watch.
Alles bij de bron; Security
Wegens een privacyprobleem met CoronaMelder is het tijdelijk niet mogelijk voor besmette gebruikers om waarschuwingen naar andere gebruikers te versturen. Daartoe heeft demissionair minister De Jonge van Volksgezondheid besloten, zo laat de Rijksoverheid via de eigen website weten en wordt ook gemeld door Ron Roozendaal, cio en directeur informatiebeleid van het ministerie van Volksgezondheid.
Gisteren maakten onderzoekers van AppCensus bekend dat gevoelige data van corona-apps toegankelijk is voor voorgeïnstalleerde apps op Androidtoestellen. Informatie van de apps, waaronder uitgezonden en ontvangen codes van andere gebruikers, wordt in de systeemlog van Android opgeslagen, waar honderden third-party apps toegang toe hebben. Deze apps zouden de informatie kunnen uitlezen en koppelen aan de gebruiker. Het probleem is niet aanwezig op iOS.
Google is al meer dan zestig dagen geleden door de onderzoekers over het probleem ingelicht, maar had gisteren nog geen update uitgerold, waardoor de onderzoekers hun bevindingen openbaar maakten. Vandaag besloot het ministerie het waarschuwen via de app twee dagen stop te zetten.
Volgens het ministerie is er mogelijk sprake van een datalek. "Derden zouden deze codes niet moeten kunnen verzamelen en inzien. Op telefoons die gebruik maken van het Google Android operating systeem is dit wel mogelijk. Apps die meegeleverd werden met een telefoon konden vaststellen of de telefoon in bezit is van iemand die eerder als besmet is gemeld in CoronaMelder en welke ontmoetingen met besmette personen hebben plaatsgevonden. Hiervoor moeten deze codes gecombineerd worden met andere databronnen, wat in strijd is met de Tijdelijke wet notificatieapplicatie covid-19."
Alles bij de bron; Security
Passwordstate, een wachtwoordmanager voor bedrijven, is getroffen door een supply chain attack. De aanvallers zaten ongeveer 28 uur lang in de leveringsketen van de software, maar hoeveel van de meer dan 29.000 klanten getroffen zijn, is niet bekend.
De aanvallers braken in bij de systemen van ontwikkelaar ClickStudios en plaatsten daar een software-update voor de self-hosted-wachtwoordmanager. Die vervalste update bevatte een aangepaste versie van 'Moserware.SecretSplitter.dll', met een 'Loader' aan boord die contact zocht met een server die in handen was van de aanvallers. Daar zou de malware de payload ophalen, maar het is onbekend wat daarin zou zitten; CSIS heeft die niet kunnen bemachtigen omdat de server al offline is.
ClickStudios heeft een onbekend aantal klanten per e-mail op de hoogte gebracht en treedt naar buiten met een publiekelijk bericht. In dat bericht stelt het dat de malware onder andere gebruikersnamen, wachtwoorden en een lijst van draaiende processen naar de server van de aanvallers zou sturen.
Het Australische bedrijf komt met een hotfix om het geïnfecteerde bestand te vervangen. Ook raadt het aan om alle wachtwoorden te vervangen bij aan het internet blootgestelde systemen, interne infrastructuur en alle wachtwoorden die in Passwordstate opgeslagen staan.
Alles bij de bron; Tweakers
Onderzoekers hebben een fout in Apples AirDrop ontdekt waardoor het e-mailadres en het telefoonnummer van een gebruiker kan lekken naar iedereen in de buurt. Mits ze een apparaat hebben dat wifi-signalen kan opvangen, natuurlijk.
AirDrop lekt gegevens naar nabijgelegen apparaten op het moment dat een gebruiker bestanden deelt, schrijft de Technische Universiteit Darmstadt. Je kan met AirDrop bestanden delen met apparaten die vlakbij zijn.
Om zeker te zijn dat je niet zomaar bestanden naar een vreemde stuurt, checkt de app welke apparaten in de buurt toebehoren aan iemand van je contactlijst. Voor deze vergelijking vraagt AirDrop e-mailadressen en telefoonnummers op van apparaten in de buurt en kijkt of de zender en ontvanger bij elkaar in de contactlijst staan. De data die voor die vergelijking nodig is, is volgens de TU Darmstadt niet goed versleuteld. Een kwaadwillende zou zo deze informatie kunnen onderscheppen.
Het lek is al sinds mei 2019 bekend.
Alles bij de bron; RTL
Huawei had vanuit China ongeautoriseerde toegang tot de kern van het mobiele netwerk van KPN waardoor het telefoongesprekken kon afluisteren en in strijd met de wet inzicht in de database met afgetapte telefoonnummers had, zo claimt de Volkskrant op basis van een geheim intern rapport van KPN uit 2010. ...
... KPN maakt gebruik van de apparatuur van Huawei en overweegt in 2009 om het beheer van de apparatuur volledig uit te besteden aan Huawei. In voorbereiding op het plan laat KPN door consultancybedrijf Capgemini een risicoanalyse uitvoeren. Volgens het onderzoeksrapport is Huawei in staat om zowel binnen KPN-gebouwen als vanuit China ongeautoriseerd, ongecontroleerd en ongelimiteerd mobiele nummers van KPN af te luisteren.
Tevens weet Huawei welke nummers worden afgetapt en verschaft het bedrijf zich vanuit China ongeautoriseerd toegang tot de kern van het mobiele netwerk...
..."De conclusie van het Capgemini-rapport hield feitelijk in dat Huawei de regering of Chinese dissidenten kon afluisteren en dat niemand dat in de gaten zou hebben", aldus een anonieme bron tegenover de Volkskrant. Of en hoe vaak Huawei een gesprek meeluistert kunnen de onderzoekers niet vaststellen, aangezien dat niet wordt geregistreerd en het gebruikte programma in het Chinees is.
De bevindingen van het rapport worden volgens de Volkskrant tot geheim verklaard omdat die vergaande gevolgen voor KPN kunnen hebben. "Indien de door de onderzoekers geconstateerde gebreken publiekelijk bekend worden (...) moet rekening gehouden worden met de mogelijkheid dat overheden en het bedrijfsleven massaal overstappen op een andere provider. De business van KPN Mobiel, met uitstraling naar KPN als geheel, komt dan ernstig in gevaar", zo blijkt uit een reactie op het rapport.
KPN heeft op de eigen website een verklaring op het artikel gegeven waarin het stelt dat mede op basis van de risicoanalyse destijds is besloten om het beheer niet aan Huawei uit te besteden
Alles bij de bron; Security
Omdat het de patiëntendossiers niet afdoende had beveiligd kreeg het HagaZiekenhuis in 2019 een boete van 460.000 euro van de Autoriteit Persoonsgegevens. Het ziekenhuis probeerde via de rechter kwijtschelding te krijgen. Dat is niet gelukt. Wel is de boete verlaagd tot 385.000 euro.
Volgens de Autoriteit Persoonsgegevens behoort een ziekenhuis ervoor te zorgen dat dossiers alleen toegankelijk zijn voor medewerkers die bij de behandeling van de betreffende patiënt betrokken zijn. Daarom blijven de basisboete van 310.000 euro en de eerste verhoging van 75.000 euro vanwege de ernst van de kwestie, overeind. Omdat het ziekenhuis al snel extra beveiliging heeft ingevoerd, hoeft de tweede verhoging van 75.000 euro niet betaald te worden.
Alles bij de bron; BeveilNieuws
De gestolen database is eind januari te koop aangeboden op een hackersforum voor een bedrag vanaf 15.000 euro, meldt RTL Nieuws, dat de gestolen data heeft ingezien en geverifieerd. De gegevens worden inmiddels al actief misbruikt om onder meer phishingberichten te sturen aan nietsvermoedende klanten van deze webwinkel.
De database bevat 2,6 miljoen unieke e-mailadressen die gekoppeld zijn aan namen, adressen, telefoonnummers, geboortedata en versleutelde wachtwoorden. Daarnaast zijn er in de te koop aangeboden databerg een miljoen gegevens te vinden van personen die via een andere webshop bij Allekabels hebben besteld. Ook zijn 109.000 IBAN-nummers van de klanten van Allekabels gestolen en verhandeld.
Allekabels laat aan RTL weten dat het sinds februari wist dat een werknemer informatie had gestolen en doorverkocht. Dat zou echter om 5000 klantgegevens gaan en die klanten zijn daarover geïnformeerd. RTL haalt nu diverse bronnen aan die stellen dat Allekabels al in augustus 2020 zou zijn gehackt én dat het bedrijf toen al op de hoogte was van de veel grotere datadiefstal.
Alles bij de bron; AGConnect
Na lekken bij Facebook (gegevens van 530 miljoen gebruikers) en LinkedIn (500 miljoen gebruikers) in de afgelopen weken liggen nu ook de gegevens van 1,3 miljoen gebruikers van audio-app Clubhouse op straat.
De data van Clubhouse – onder andere namen, profielfoto’s, gelinkte Instagram- en Twitteraccounts – verschenen dit weekend op een online hackerforum, zo ontdekte techwebsite Cyber News. Een datawetenschapper die zich online ‘John Tukey’ noemde, scrapete de data en publiceerde die daarna.
Voormalig Bellingcatonderzoeker Henk van Ess: „Hij zei tegen mij dat hij gewoon gebruik had gemaakt van de mogelijkheden die Clubhouse biedt aan softwareontwikkelaars om hun eigen apps aan Clubhouse te linken. De data wilde hij gewoon met de wetenschappelijke gemeenschap delen. Puur nerdy, maar wel naïef.”
Daarom ontkende Clubhouse, net als Facebook en LinkedIn, dat er sprake is van een hack; „Het gaat om publieke informatie waar iedereen toegang toe heeft.” Van Ess: „Dat is echt een heel irritante reactie, die mensen hebben geen flauw idee wat de consequenties van zo’n lek zijn.”
Van Ess heeft de database ook zelf gedownload om er in te grasduinen. Hij wist de echte namen van 1.500 Clubhousegebruikers te linken aan anonieme twitteraccounts. Ook Jaap-Henk Hoepman, privacyonderzoeker bij de Radboud Universiteit en de Rijksuniversiteit Groningen, vindt het lek potentieel gevaarlijk: „Er zijn zoveel mensen van wie dit soort gegevens echt geheim moet blijven. Politieagenten, politici, maar ook voor mensen die gestalkt worden, is dit echt een probleem.”
De houding ten opzichte van privacy bij Clubhouse is van een andere orde dan die van Facebook en LinkedIn, zegt Hoepman. Facebook dacht met een hangslotje op de deur voldoende beveiliging te hebben”, vertelt hij, „maar de makers van Clubhouse hebben de voordeur van de snoepwinkel gewoon wagenwijd open laten staan, daar is echt geen enkele bescherming whatsoever. En het lek is nog niet dicht, ik heb de methode deze dinsdag nog gewoon kunnen herhalen.”
Alles bij de bron; NRC
Persoonlijke gegevens van 21 miljoen gebruikers van parkeer-app ParkMobile, zoals kentekennummer, e-mailadres, telefoonnummer en geboortedatum, worden te koop aangeboden op internet. ParkMobile meldde op 26 maart dat het te maken had gekregen met een "cybersecurity-incident" veroorzaakt door een kwetsbaarheid in een programma waar het bedrijf gebruik van maakt.
Securitybedrijf Gemini Advisory laat aan it-journalist Brian Krebs weten dat bij ParkMobile gestolen gebruikersgegevens voor 125.000 dollar op een forum te koop worden aangeboden. Het gaat om e-mailadres, geboortedatum, telefoonnummers, kentekennummer, gesalte en met bcrypt gehashte wachtwoorden en in sommige gevallen ook postadres.
ParkMobile bevestigt tegenover Krebs dat de aanvallers accountgegevens van klanten in handen hebben gekregen, maar blijft erbij dat het niet om gevoelige gegevens gaat.
Alles bij de bron; Security
Na de database van meer dan 500 miljoen Facebook-gebruikers die dit weekend online verscheen, is er ook eentje gevonden met 500 miljoen LinkedIn-gebruikers. Dat meldt de site CyberNews. Waarschuwingen voor de gebruikers in kwestie zijn dan ook gelijkaardig: wees alert op phishing-aanvallen.
Het gaat om een grote hoeveelheid gegevens van LinkedIn-accounts, waaronder mailadressen, telefoonnummers, links naar andere sociale media en - typisch voor LinkedIn - professionele gegevens. Er zouden geen creditcardinformatie of andere meer administratieve en financiële gegevens bij zitten.
Het bestand werd gevonden op een hackersforum, waar het te koop is aangeboden. De aanbieders zeggen dat het gegevens van 500 miljoen gebruikers bevat. Als 'sample' heeft de groep erachter 2 miljoen van deze gegevens gelekt...
...de aanbieders zeggen dat het om geschraapte data gaat. Daarbij wordt er niet zozeer ingebroken op een server, maar maken de aanvallers gebruik van ingebouwde (zeer onveilige) tools van de dienst om informatie te verzamelen en samen te brengen.
Dat is ook hoe het bestand van gelekte Facebook-gegevens is samengesteld. En een bestand als dit brengt ongeveer dezelfde gevaren met zich mee als de eerder gelekte gegevens van Facebook.
Alles bij de bron; DutchIT-Channel