Hoor de wind waait door de bomen en het is pas maart. De goedheiligman laat nog wel even op zich wachten, maar de Rootsec blog natuurlijk niet. Deze week weer eens een oude, vertrouwde uiting over het wel en wee in cybersecurity land. Er is ten slotte weer meer dan genoeg te melden. Voor ik het vergeet, meld u hier even aan voor ons gratis webinar aanstaande 25 maart om 10:00. Geloof mij, dit wilt u niet missen.

Lekker meekijken bij Tesla en Cloudfare

Als u wel eens op shodan.io bent geweest, dan bent u ook zeker op de hoogte van het aantal IOT-apparaten zonder wachtwoord. Dit betekent, kort samengevat, dat de hele wereld bijvoorbeeld kan meekijken via jouw camera. Dit is in veel gevallen onschuldig, maar prettig is het zeker niet. Bedrijven hebben echter over het algemeen hun camera’s goed beveiligd en afgeschermd. Je wilt tenslotte niet dat de concurrent mee kan kijken in de keuken. Maar wat doe je wanneer het bedrijf dat de camera’s beheert, een kolossale blunder begaat?

Een internationaal hackerscollectief, met de naam “APT 69420 Arson Cats” (what’s in a name..) heeft aan de hand van een hard-coded wachtwoord toegang verkregen tot maar liefst 150.000 beveiligingscamera’s. Zodoende kon er worden meegekeken bij onder andere ziekenhuizen, gevangenissen, politiebureaus, scholen en bedrijven. Waaronder dus ook Cloudfare en Tesla. Foute boel dus. De hackers zijn binnen weten te komen via een onbeveiligd intern Jenkins-ontwikkelsysteem van Verkada, het bedrijf dat de camera’s beheert. Dit systeem bevatte de inloggegevens van een account met zogenaamde ‘superadminrechten’. Meer dan dat heb je niet nodig. Doordat de groep naar eigen zeggen roottoegang tot de camera’s had was het daarvandaan ook mogelijk om toegang tot de netwerken van bepaalde Verkada-klanten te krijgen. Het collectief zegt verder informatie over duizenden Verkada-klanten te hebben gedownload, alsmede financiële cijfers van het bedrijf zelf.

Verkada is inmiddels een onderzoek gestart en heeft alle interne beheerdersaccounts uitgeschakeld. Of de hackers daadwerkelijk iets met de bemachtigde data te gaan doen is vooralsnog onduidelijk. We hebben het vaker gehad over het belang van zo min mogelijk adminaccounts. Toch zijn er nog bedrijven waar deze te pas en te onpas lijken te worden uitgedeeld. Benieuwd hoe dat bij uw organisatie geregeld is? Rootsec zoekt het zonder problemen voor u uit middels onze Security Assessment dienst.

Persoonsgegevens in ‘CoronaCheck app’ onvermijdelijk

Dit weekend gaat het weer helemaal los in Biddinghuizen, een zeer bekend festivalterrein in Nederland. Tijdens twee ‘proeffestivals’ (waarom niet Testivals..?) wordt de app waarmee mensen kunnen aantonen dat ze negatief getest zijn ingezet. Dat maakte het ministerie van Volksgezondheid bekend. Alle genodigden hebben zich voor aanvang van het festival laten testen en ontvangen een code bij een negatieve uitslag. Deze code wordt ingevoerd in de app en deze genereert vervolgens een QR code. Nu is het nog een kwestie van de code testen bij de immer chagerijnig-kijkende security persoon en je bent binnen. Tijd om je vrienden te appen dat je linksvoor staat.

De huidige testversie van de app bevat nog geen persoonsgegevens maar dit zal bij de ‘echte’ versie anders zijn aldus minister de Jonge.

“Je wilt natuurlijk straks voorkomen dat iemand zich laat testen, zijn negatieve test op zijn telefoon zet, zijn telefoon aan de buurman geeft en die dan vervolgens naar een concert gaat en wel degelijk besmet blijkt. Nou om dat helemaal dicht te zetten hebben we wel iets van persoonsgegevens nodig in die app en daarvoor moet de wet gewijzigd worden”

Er zijn wel wat geluiden van mensen die toch zo hun twijfels hebben bij (weer) een verplichte app met persoonsgegevens. Dit valt te begrijpen, doordat de app persoonsgegevens gaat bevatten is toegang tot niet-essentiële plekken straks niet langer meer anoniem. Dat is toch wel een kleine inbreuk op de privacy, of toch niet? Volksgezondheid is uiteindelijk belangrijker dan dat ‘men’ weet waar jij bent geweest? Dit is per persoon erg verschillend en verklaart ook de frictie die deze app teweeg brengt. Belangrijk vanuit ons vakgebied is hoe deze data wordt verkregen, opgeslagen en verwerkt. Wij willen best even testen hoor Hugo!

Flinke toename cybercriminaliteit in 2020

Vandaag gaf het OM cijfers vrij waaruit is gebleken dat er een sterke toename is geweest in het aantal verdachten van cybercrime. Ging het in 2019 nog om 390 verdachten van cyberdelicten, waren dat er een jaar later 480. Een stijging van 23%. Het aantal verdachten van cybercrime dat vorig jaar door het Openbaar Ministerie werd vervolgd is sterk toegenomen, zo blijkt uit vandaag verschenen cijfers van het OM. Ging het in 2019 nog om 390 verdachten van cyberdelicten, dat steeg vorig jaar naar 480. Een toename van 23 procent.

Het aantal geregistreerde gevallen van fraude met onlinehandel en identiteitsfraude kende een stijging van meer dan 30 procent in één jaar. De grootste stijging was echter zichtbaar bij het aantal verdachten van fraude met betaalproducten. Daar ging het aantal verdachten van 460 naar 680, een toename van 48 procent. Dat blijkt uit de eerste cijfers die het Openbaar Ministerie naar buiten brengt over 2020.

“Cybercriminaliteit is het delict van de toekomst” aldus de voorzitter van het College van procureurs-generaal”

Dit heeft ook veel te maken met het feit dat een cyberaanval niet langer 1 soort aanval is maar vele gezichten kent. Van een DDOS-aanval, naar een online babbeltruc tot een phishing-aanval over diverse schijven waardoor nep niet meer van echt te onderscheiden is. Kunt u het nog bijhouden met al die nieuwe aanvallen en technieken? Niet? U bent niet de enige, gelukkig houden wij van Rootsec alles nauwlettend in de gaten. Weten hoe we ook uw systemen 24/7 in de gaten houden en beschermen tegen alle bekende dreigingen met slechts één oplossing? Join ons dan voor het gratis webinar op 25 maart om 10:00. Inschrijven doe je hierrr!