In navolging van ons artikel van vorige week over de Corona-check app zijn we deze week weer terug met een vervolg. Zo blijkt dat de privacy van de corona-apps buiten de EU ook niet al te best zijn geregeld. Wat dat betreft doet Nederland het misschien wel aardig? Tevens staan we vandaag ook even stil bij Hof van Twente en bij de Microsoft Exchange servers.

Corona-app buiten EU verre van veilig

We beginnen, om zo een soepel bruggetje te behouden met de blog van vorige week, met een opvallend nieuwtje in de wereld van de Corona-app. Zo blijkt dat bij veel van deze apps buiten de EU de privacy niet goed geregeld is. Deze conclusie wordt getrokken door securitybedrijf Symantec. Zij onderzochten de corona-apps van 31 landen en we kunnen wel stellen dat de resultaten teleurstellend waren. Zo hebben maar liefst 18 van de 31 onderzochte corona-apps toegang tot apparaatgegevens die persoonlijke informatie bevatten waardoor de identiteit van de gebruiker zou kunnen lekken. Hierbij ging het onder andere om:

• Toegang tot de microfoon
• Kalender
• Adresboek
• Wifi-informatie
• Telefoonservice

“De resultaten zijn teleurstellend. Meer dan de helft van de onderzochte corona-apps benadert apparaatgegevens die persoonlijke informatie bevatten en beschermen de gebruikersdata niet tijdens het versturen”

Uit verder onderzoek blijkt dat 16 van de onderzochte corona-apps ook nog eens gebruikersgegevens op onbeveiligde wijze versturen. Dit stelt aanvallers in staat om dit verkeer ‘af te luisteren’. We moeten wel enige nuance plaatsen bij dit geheel. Zo zit er een groot verschil tussen de Corona-apps die moeten voldoen aan de AVG en welke hier niet aan hoeven te voldoen. Zo zijn ‘slechts’ vier van de 18 corona-apps die toegang hebben tot gebruikersgegevens afkomstig uit de EER (Europese Economische Ruimte). In het geval van het onbeveiligd versturen van data is dit het geval voor twee landen afkomstig uit de EER, wetende Hongarije en Polen.

Hieruit blijkt wel weer het belang van een Europese, maar eigenlijk internationale, norm. Waar wij in Nederland bijvoorbeeld flink inzetten op privacy bescherming is dit in andere landen, klaarblijkelijk, minder. Dit betekent dat wanneer jij in contact komt met een Corona-app uit een ander land, jouw data daar terecht komt, en dus verre van veilig blijft. Een gewaarschuwd mens telt voor twee, en met een Corona–app uit een niet-EER land neemt je risico met een factor twee toe.

1200 Nederlandse servers besmet door gaten bij Microsoft

Het NCSC kwam eerder deze week met vervelend nieuws voor Nederlandse servers. Maar liefst 1200 stuks zijn, zo stelt het NCSC, vrijwel zeker besmet door grote gaten in de beveiliging van Microsoft. De gevolgen hiervan zijn groot voor organisaties en bedrijven. Zo blijkt dat hackers interne gegevens van organisaties stelen, schadelijke software plaatsen en vervolgens zogenaamde achterdeurtjes bouwen. Dit stelt ze in staat om op de zwarte markt toegang tot mailboxen van organisaties te verkopen. Een dubieus, doch zeer lucratief, verdienmodel.

Inmiddels is er al twee weken geleden een update vrij gegeven door Microsoft om de gaten te dichten, Maar, zoals we vaker zien, is deze nog lang niet overal geïnstalleerd. Het is volgens de NCSC vrijwel zeker dat de twaalfhonderd servers waarop de update nog niet is uitgevoerd, geïnfecteerd zijn.

Welkom in 2020 gemeente Hof van Twente

Wellicht bent u het al vergeten maar in december 2020 werd de gemeente Hof van Twente aangevallen, en met succes. Deze aanval kwam, zo zegt de gemeente zelf, ‘als een donderslag bij heldere hemel’. Echter nu dat de onderzoeksresultaten binnen zijn was deze verbijstering niet helemaal terecht. Zo kwamen de criminelen de systemen van de gemeente Hof van Twente binnen aan de hand van een nagenoeg niet te kraken wachtwoord, ‘Welkom2020’.

Ja, dat doet ons ook pijn. Zeker wanneer je dan kijkt naar de geleden schade. Volgens burgemeester Ellen Nauta loopt de schade namelijk in de miljoenen. Daarnaast wordt er nog steeds gewerkt aan het herstel van de gemeentelijke systemen. Om de ‘donderdagslag bij heldere hemel’ nog wat meer te ontkrachten bleek de gemeente ook geen gebruik te maken van 2FA. Een extra beveiligingscheck die gebruikt wordt om nog veiliger in te loggen. Tot slot, hetgeen wij erg frappant vinden, is dat het systeem eerder dat jaar nog is getest op problemen en mogelijke dreigingen. De partij die de test uitvoerde heeft toen, bijvoorbeeld, ook het openstaan van de firewall over het hoofd gezien.

Bent u op zoek naar een partij die wel een grondige test uitvoert en hierbij ook kijkt naar de zogenaamde ‘password hygiëne’. Neem dan contact met ons op. Het vinden van een wachtwoord als ‘Welkom2020’ hebben wij binnen 2 seconden achterhaald. En dan zijn we nog langzaam.