"DigiD onveilig en achterhaald"

Het DigiD-systeem van de overheid is onveilig en achterhaald, zo laten beveiligingsexperts tegenover het AD weten. De afgelopen tijd zou er bij honderden Nederlanders voor miljoenen euro's met DigiD zijn gefraudeerd. Zo werden rekeningen voor kinderopvangtoeslag, huur- en zorgtoeslagen veranderd, iets wat via de DigiD-code te doen is. Het geld werd vervolgens naar een andere rekening overgemaakt. Hoe de wijzigingen konden plaatsvinden kon het AD niet zeggen.

Postbode
"Wijzigingen van de inloggegevens worden door de postbode bezorgd", zegt beveiligingsexpert Hans van der Looij tegenover de krant. "Op die manier hebben criminelen verschillende manieren om gevoelige informatie te onderscheppen. Handlangers bij postbedrijven kunnen worden ingeschakeld of brieven worden uit brievenbussen gestolen."

Beveiligers pleiten dan ook om de code voor het activeren van DigiD alleen per aangetekende post te versturen. Daarnaast zou de overheid een systeem moeten invoeren zoals banken voor internetbankieren gebruiken.

Bron: Security.nl

Anonymous lekt 90.000 militaire e-mailaccounts

Internetbeweging Anonymous heeft het netwerk van het Amerikaanse defensiebedrijf Booz Allen Hamilton gehackt en zo'n 90.000 e-mailadressen met wachtwoordhashes online gezet. Ondanks dat het bedrijf zich met de nationale veiligheid van de VS bezighoudt, was één van de servers eenvoudig te hacken, aldus Anonymous in deze verklaring. "We infiltreerden een server op hun netwerk die nauwelijks beveiligd was." 

De aanvallers wisten een shell op de machine te krijgen om vervolgens allerlei gegevens te stelen. Naast de 90.000 e-mailaccounts met "ongesalte" wachtwoordhashes, is er ook een complete sqldump online gezet. Ook wist Anonymous toegang tot de svn ontwikkelruimte te krijgen, waar vier gigabyte aan broncode werd gestolen. "Maar dit werd als onbelangrijk beschouwd en een verspilling van kostbare ruimte, dus hebben we het alleen gepakt en van hun systeem verwijderd." 

Verder werden er gegevens gevonden die de aanvallers voor volgende aanvallen kunnen gebruiken. Het 130MB grote bestand met alle gegevens is op de The Pirate Bay te vinden.


Bron: Security.nl

Controleer hier of je Internet-logins op straat liggen

Techblog Gizmodo heeft de laatste datadump van hackerscollectief LulzSec verwerkt in een online-tool waarin gebruikers kunnen controleren of hun logins op straat liggen.

LulzSec heft zichzelf op en geeft nog een laatste lading gestolen gegevens vrij. Die data is via BitTorrent te downloaden, maar nu ook bij Gizmodo te controleren op je eigen login(s). De gegevens zijn bij het bekende techblog niet vrijelijk door te bladeren.

Vrijgegeven

De database met de gecombineerde buit van de meest recente datadump van LulzSec is alleen te doorzoeken op mailadres of gebruikersnaam. Indien die voorkomt in één van twaalf bestanden in de afscheidsdump van LulzSec krijgt de gebruiker de waarschuwing: “Het lijkt erop dat jouw versleutelde (encrypted) wachtwoord is vrijgegeven".

Vervolgens is het dan zaak om je inloggegevens te wijzigen, of je account te blokkeren. Dit geldt natuurlijk ook voor andere online-diensten waar je mogelijk dezelfde gebruikersnaam of hetzelfde wachtwoord hebt gebruikt. Hergebruik van dergelijke gevoelige gegevens is security-gewijs niet verstandig, maar gebeurt in de praktijk wel veel. Zo is het PayPal-account van een Nederlander geplunderd via de login bij een andere site, die is gehackt door LulzSec.

Games, hackforums, bedrijfsnetwerken

De laatste datadump van het anonieme hackerscollectief bevat bestanden van online-dienst AOL (America Online), telecombedrijf AT&T en de FBI. Daarnaast zijn er ook bestanden vrijgegeven met interne data, waaronder ook inloggegevens, van diverse bedrijfsnetwerken, de (beta van) pc-game Battlefield Heroes en enkele gamingforums (met in totaal 50.000 gebruikers) en hackforums (200.000 gebruikers).

Bron WebWereld

Laptop met 8 miljoen patiëntendossiers gestolen

In Groot-Brittannië is een onbeveiligde laptop met de dossiers van ruim 8 miljoen patiënten gestolen. De machine verdween samen met negentien andere computers uit een gebouw van een medisch onderzoeksbureau. Hoewel de inbraak drie weken geleden plaatsvond, werd die nu pas geopenbaard. 

Op de laptop staan de onversleutelde gegevens van 8,63 miljoen mensen plus de gegevens van 18 miljoen ziekenhuisbezoeken, operaties en procedures. De gegevens bevatten geen namen van patienten, maar die zouden wel aan de hand van hun postcode en details zoals geslacht, leeftijd en etnische afkomst zijn te identificeren. Verder bevatten de dossiers informatie over kanker, HIV, geestelijke problemen en abortussen. 

Inmiddels zijn acht laptops teruggevonden. Het is echter onbekend of de machines ook daadwerkelijk zijn gestolen. Hoewel het als een diefstal is aangegeven, zouden de machines van 10.000 pond elk, ook misplaatst of gedumpt kunnen zijn.

Bron: Security.nl

Amerikaanse wet verbiedt delen wachtwoord

In de Amerikaanse Staat Tennessee is een wet aangenomen die het verbiedt om wachtwoorden voor online downloaddiensten te delen, zelfs als dit met toestemming van de gebruiker gebeurt. De wet is door de entertainmentindustrie aangedragen en is bedoeld om de verkoop van wachtwoorden door cybercriminelen tegen te gaan. Toch zou de wet ook voor het aanpakken van internetgebruikers kunnen worden gebruikt die hun inloggegevens met bekenden delen.

Verbod
"Wat verboden wordt, is dat je je gebruikersnaam en wachtwoord naar al je vrienden stuurt, zodat zij een gratis abonnement krijgen", zegt Republikein Gerald McCormick, die de wet steunde.


Downloaddiensten die denken dat ze bestolen worden, kunnen voortaan aangifte doen. De wet is een uitbreiding van een al bestaande wet, die gebruikt wordt voor het vervolgen van mensen die kabeltelevisie stelen of restaurants zonder te betalen verlaten. Gebruikers die voor 500 dollar of minder aan entertainment stelen, kunnen maximaal een jaar gevangenisstraf en een boete van 2.500 dollar krijgen. Wie voor een hoger bedrag downloadt, staat een zwaardere straf te wachten.

Bron: security.nl

Privacy weer steeds belangrijker in Nederland

"Was privacy een paar jaar geleden morsdood, nu is het onderwerp sexy in Nederland", zo laat gratis treinkrant De Pers vandaag weten. Tien jaar na de aanslagen op de Twin Towers, is privacy volgens de krant opeens aan de winnende hand. Het onderwerp zou zelfs met een "comeback" bezig zijn. 

Ook D66-Europarlementariër Sophie in ’t Veld ziet een verschuiving. "Ik word de laatste tijd veel uitgenodigd voor seminars, spreekbeurten en interviews over privacy." Zelfs in Den Haag zou er aandacht voor het onderwerp zijn. "Jarenlang werd de ene na de andere maatregel zonder veel nadenken ingevoerd." Nu worden maatregelen als de opslag van vingerafdrukken en invoering van het Elektronisch Patiënten Dossier (EPD) teruggedraaid. 

Factoren
Volgens privacyjurist Bart Schermer van Considerati is een combinatie van factoren voor alle aandacht verantwoordelijk. "Technologie is veel dichter bij ons komen te staan." Bij veel bedrijven heeft privacy echter nog geen prioriteit. Die schrikken pas wakker als het misgaat en de publieke opinie zich tegen hen keert. "Privacy by disaster", noemt In ‘t Veld die houding.

De oplossing is "privacy by design", waarbij het ontwerp al rekening met privacy houdt. Eind mei heeft de Eerste Kamer een motie aangenomen waarin staat dat dit voortaan moet. Bij elke nieuwe wet waarbij privacy enigszins een rol speelt, moet deze volgens de motie worden getoetst aan vijf principes. Sommige politici stellen dat burgers tussen privacy of veiligheid moeten kiezen. "Het is niet of-of, het is en-en. Je kunt ook iets doen vóór de veiligheid en tegelijkertijd op de privacy letten", zegt Arnold Roosendaal, privacy-onderzoeker aan de Universiteit van Tilburg.

Bron: Security.nl