Aanvallers maken actief misbruik van een backdoor en een kwetsbaarheid in zeker 92.000 NAS-systemen van fabrikant D-Link. De kwetsbare apparaten zijn end-of-life en ontvangen geen beveiligingsupdates meer.
Het probleem speelt onder andere bij de D-Link DNS-340L, DNS-320L, DNS-327L en DNS-325. Zowel D-Link als securitybedrijven roepen gebruikers op om de NAS-systemen offline te halen.
"We zien vanaf meerdere ip-adressen scans/exploits voor CVE-2024-3273 (kwetsbaarheid in end-of-life D-Link NAS-systemen)", aldus de Shadowserver Foundation. "Aangezien er geen patch voor deze kwetsbaarheid beschikbaar is, moeten deze apparaten worden vervangen/offline gehaald, en minimaal hun remote toegang achter een firewall hebben zitten."
Volgens securitybedrijf GreyNoise worden de aanvallen uitgevoerd door een botnet waarbij wordt geprobeerd om de NAS-systemen met malware te infecteren. GreyNoise roept eigenaren van een kwetsbaar NAS-systeem op om in ieder geval hun UPnP-configuratie te controleren.
Alles bij de bron; Security
De Indiase regering heeft eindelijk een oplossing gevonden voor een jarenlang cyberveiligheidsprobleem, waarbij grote hoeveelheden gevoelige gegevens over haar burgers aan het licht zijn gekomen. Een beveiligingsonderzoeker vertelde dat hij minstens honderden documenten met persoonlijke informatie van burgers – waaronder Aadhaar-nummers, COVID-19-vaccinatiegegevens en paspoortgegevens – online had gevonden waar iedereen toegang toe had.
De schuldige was de clouddienst van de Indiase overheid, genaamd S3WaaS, die wordt aangekondigd als een “veilig en schaalbaar” systeem voor het bouwen en hosten van websites van de Indiase overheid.
Beveiligingsonderzoeker Sourajeet Majumder vertelde dat hij in 2022 een verkeerde configuratie ontdekte waardoor de persoonlijke informatie van burgers die op S3WaaS was opgeslagen, werd blootgesteld aan het open internet. Omdat de privédocumenten onbedoeld openbaar werden gemaakt, indexeerden zoekmachines de documenten ook, waardoor iedereen actief op internet kon zoeken naar de gevoelige gegevens van burgers.
Majumder zei dat, ondanks herhaalde waarschuwingen over de datalekken, de clouddienst van de Indiase overheid vorige week nog steeds de persoonlijke informatie van sommige individuen openbaarde. Majumder zei dat gevoelige gegevens van sommige burgers online terechtkwamen lang nadat hij de verkeerde configuratie in 2022 voor het eerst had onthuld.
De blootgestelde gegevens, aldus Majumder, brengen burgers mogelijk het risico op identiteitsdiefstal en oplichting. “Meer nog, wanneer gevoelige gezondheidsinformatie zoals COVID-testresultaten en vaccingegevens naar buiten komt, is het niet alleen onze medische privacy die in gevaar komt – het wekt de angst voor discriminatie en sociale afwijzing”, zei hij.
Majumder merkte op dat dit incident een “wake-up call voor veiligheidshervormingen” zou moeten zijn.
Alles bij de bron; TechCrunch [googliaans vertaald]
Facebook heeft in het geheim Snapchat-gebruikers afgeluisterd die de vpn-tool Onavo van Facebook gebruikten. Dat blijkt uit documenten die als onderdeel van een rechtszaak tegen Meta openbaar zijn geworden. Facebook wilde via 'Project Ghostbusters' het gedrag van Snapchat-gebruikers analyseren, om zo een competitief voordeel te krijgen.
Onavo Protect werd in 2013 door Facebook overgenomen en bood gebruikers een gratis vpn-dienst aan. Meta (destijds nog Facebook) stelde dat de app de gegevens en activiteiten van gebruikers zou beschermen en dat de verzamelde data alleen werd gebruikt voor het kunnen aanbieden van de vpn-dienst.
In werkelijkheid werd het gedrag van gebruikers, zoals welke apps ze gebruikten en hoelang, door Onavo en Facebook verzameld. Vervolgens werden de gegevens gedeeld met moederbedrijf Meta. De data werd gebruikt voor Meta's marktonderzoek, zo werd vorig jaar duidelijk, toen Meta in Australië een boete van 20 miljoen dollar kreeg voor het misleiden van gebruikers van de Onavo Protect vpn-app.
Volgens de nu openbaar geworden documenten kon Facebook via de vpn-app uitgebreid analyseren hoe gebruikers Snapchat gebruikten. Het programma zou later ook zijn uitgebreid naar Amazon en YouTube.
Volgens de aanklagers in deze zaak heeft Facebook de Amerikaanse 'Wiretap' wetgeving overtreden, die het verbiedt om elektronische communicatie van mensen af te luisteren.
Alles bij de bron; Security
De Duitse overheid heeft een waarschuwing gegeven voor 17.000 Microsoft Exchange-servers in het land die één of meerdere kritieke kwetsbaarheden bevatten en daardoor risico lopen om te worden aangevallen. Het Bundesamt für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken, roept beheerders en organisaties dan ook op om in actie te komen.
Volgens het BSI blijkt uit onderzoek dat Duitsland 45.000 Exchange-servers telt die via Outlook Web Access (OWA) toegankelijk zijn. Daarvan is 37 procent kwetsbaar, aldus het BSI.
Voor 48 procent van de Exchange-servers bij onze Oosterburen kon het BSI niet duidelijk vaststellen of ze nog kwetsbaar zijn. Vanwege de situatie heeft de overheidsinstantie dreigingsniveau 'oranje' afgegeven. Exchange-beheerders worden dan ook opgeroepen om geregeld te controleren of hun servers nog wel up-to-date zijn. Tevens wordt aangeraden om webdiensten van Exchange-servers, zoals Outlook Web Access, niet direct vanaf het internet toegankelijk te maken maar achter een vpn te plaatsen.
Alles bij de bron; Security
Het Duitse ministerie voor Digitalisering en Transport heeft een wetsvoorstel geïntroduceerd dat end-to-end encryptie voor chatdiensten, cloudaanbieders en e-mailproviders in de toekomst verplicht. Het 'recht op encryptie' voorstel is een aanvulling op de Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG) en geldt voor communicatiediensten zoals WhatsApp en Signal, maar ook voor e-maildiensten en cloudproviders waar gebruikers data kunnen opslaan (pdf).
Gebruikers moeten straks 'waar het technisch mogelijk is' end-to-end encryptie kunnen gebruiken. "Hoewel end-to-end encryptie nu de industriestandaard is, maken individuele chatdiensten geen gebruik van end-to-end encryptie of gebruiken het alleen voor bepaalde functies, wat niet door technische beperkingen is te rechtvaardigen." Het gaat dan bijvoorbeeld om Telegram dat geen end-to-end encryptie voor groepschats biedt.
Advocaat Dennis-Kenji Kipker van de Universiteit van Bremen merkt op dat het voorstel vooral gaat over technische maatregelen die gebruikers zelf moeten uitvoeren. Versleutelde e-maildienst Tuta is blij met het wetsvoorstel.
Netzpolitik.org meldt dat nog onduidelijk is of het wetsvoorstel daadwerkelijk een wet wordt en denkt dat de Duitse minister van Binnenlandse Zaken roet in het eten kan gooien. Zij pleitte eerder nog voor een verbod van Telegram.
Alles bij de bron; Security
Nederland loopt voorop in Europa qua bescherming van persoonlijke informatie op internet. Dat blijkt uit onderzoek van statistiekbureau CBS naar het ICT-gebruik van inwoners van Nederland. In 2021 zei 82 procent van de bevolking maatregelen te treffen om hun online gegevens te beschermen. Twee jaar later was dat percentage gestegen naar 89 procent.
In die twee jaar zijn Nederlanders volgens het CBS voorzichtiger geworden met het online publiceren van persoonlijke informatie. Zo'n 78 procent van de mensen ouder dan twaalf jaar heeft de toegang tot locatiegegevens beperkt of geweigerd. In 2021 was dat nog 70 procent.
Daarnaast beperkt meer dan 70 procent de toegang tot profielgegevens op sociale media. Dat was in 2021 nog 55 procent.
Het onderzoek wordt in heel Europa uitgevoerd. Daaruit blijkt dat Nederland koploper is als het gaat over de bescherming van online gegevens. In totaal is 92 procent van de Nederlanders onder de 75 jaar daar bewust mee bezig.
Na Nederland volgen Finland (91 procent), Ierland (82 procent), Tsjechië (82 procent) en Denemarken (81 procent).
Alles bij de bron; NU
Het Amerikaanse ministerie van Defensie heeft vorig jaar via een onbeveiligde cloud-mailserver de gegevens van 20.000 personen gelekt, die het hier nu voor waarschuwt. De onbeveiligde server werd gehost op Microsofts Azure-cloud voor Amerikaanse Defensieklanten. Servers van deze cloudomgeving zijn fysiek gescheiden van de servers van andere commerciële klanten en zijn zo te gebruiken voor het delen van gevoelige, maar niet geclassificeerde overheidsdata.
Door een misconfiguratie was de server begin 2023 bijna drie weken lang zonder wachtwoord voor iedereen op internet toegankelijk. De enige vereiste was het kennen van het ip-adres. In totaal bleek op de mailserver zo'n drie terabyte aan militaire e-mails te staan, voornamelijk van het U.S. Special Operations Command. Een eenheid van het Amerikaanse leger dat zich bezighoudt met speciale militaire operaties.
Alles bij de bron; Security
Slimme fiets- en skihelmen van fabrikant Livall lekken de real-time locatiegegevens van gebruikers en maken het mogelijk om hen af te luisteren. Dat blijkt uit onderzoek van securitybedrijf Pen Test Partners.
De helmen zijn voorzien van een bluetooth-speaker en microfoon en kunnen via de bijbehorende app de locatie doorgeven. Via de app is het mogelijk om een groep aan te maken waarin de locatie van deelnemers wordt getoond en het mogelijk is om gesprekken te voeren. Deelname aan een groep bestaat uit een zescijferige code.
Pen Test Partners ontdekte dat het eenvoudig is om alle mogelijke cijfercombinaties via een bruteforce-aanval te proberen en zo toegang tot willekeurige groepen te krijgen. Gebruikers worden namelijk niet geïnformeerd wanneer iemand aan een groep wordt toegevoegd. De enige manier waardoor een malafide gebruiker kon worden gedetecteerd was wanneer een legitieme gebruiker het aantal groepsdeelnemers controleerde.
Livall werd op 7 januari over het probleem ingelicht, maar Pen Test Partners stelt dat de communicatie daarna stokte. Pas nadat de onderzoekers naar de media stapten en die het bedrijf benaderden, maakte Livall begin deze maand bekend dat het nu gebruikmaakt van codes bestaande uit zes alfanumerieke tekens, wat een bruteforce-aanval stukken lastiger maakt. Gebruikers moeten hiervoor wel hun app updaten.
Alles bij de bron; Security
Fortinet waarschuwt organisaties voor een nieuwe kritieke kwetsbaarheid in FortiOS, wat mogelijk al misbruikt wordt.
FortiOS is het besturingssysteem dat op allerlei netwerkapparaten draait, zoals firewalls en vpn-systemen. Een nieuwe kwetsbaarheid aangeduid als CVE-2024-21762 maakt het mogelijk voor aanvallers om zonder authenticatie op afstand code en commando's op kwetsbare apparatuur uit te voeren. De enige vereiste is de mogelijkheid om een HTTP-request naar het apparaat te sturen.
De impact van het beveiligingslek is op een schaal van 1 tot en met 10 beoordeeld met een 9.6.
Naast het installeren van de beschikbaar gestelde update kunnen organisaties als workaround ook de SSL VPN-functionaliteit in FortiOS uitschakelen. Het Australische Cyber Security Centre (ACSC) adviseert zowel het installeren van de update als het uitschakelen van de VPN-functie.
Alles bij de bron; Security
De persoonsgegevens die eind vorig jaar bij EasyPark werden gestolen zijn niet gevoelig, zo stelt het bedrijf in een recente update over het incident. Parlementariër Paul Tang hekelt die reactie van de parkeerapp. "Het bedrijf probeert dit zo klein mogelijk te maken. 'Het stelt niet zoveel voor, maakt u zich geen zorgen, loopt u rustig door'. Dat is eigenlijk de reactie van het bedrijf", aldus Tang tegenover tv-programma Kassa.
Bij de aanval werden de persoonsgegevens van een onbekend aantal mensen gestolen. Het gaat om contactgegevens zoals naam, telefoonnummer en cijfers van IBAN- of creditcardnummer. "De gegevens waartoe toegang is verkregen, worden volgens de EU-regelgeving niet als gevoelig beschouwd.", aldus EasyPark in een update over het incident.
Tang voegt toe; "Het klopt wat EasyPark zegt. Bij gevoelige gegevens wordt bedoeld gegevens waarmee mensen kunnen worden uitgesloten of gediscrimineerd. Denk aan geaardheid, gezondheid, afkomst. Dat is dit niet. Maar het zijn wel gevoelige gegevens in de zin dat het gegevens zijn die geld opleveren en door criminelen gebruikt kunnen worden. In die zin zijn ze wel gevoelig."
De PvdA-Europarlementariër legt verder uit dat de verantwoordelijkheid voor dit soort datalekken ligt bij de bedrijven die de data verzamelen en beheren. "In dit geval is EasyPark ook verantwoordelijk voor de bescherming van onze gegevens. Hier kunnen we nog zo vaak ons wachtwoord veranderen, maar als het de tweede keer in korte tijd is dat EasyPark de gegevens laat lekken is daar het probleem en ligt dat niet bij ons."
"Een bedrijf als EasyPark verzamelt die gegevens, beheert die gegevens, maar let niet goed op en dat gebeurt eigenlijk nog veel te vaak." Tang pleit voor strenger toezicht en het meer inzetten op handhaving en boetes. "Er zijn veel datalekken, maar zoveel boetes worden niet uitgedeeld."
Alles bij de bron; Security