Criminelen verkrijgen privégegevens na inbraak op site van Vlaamse politieschool

Door een inbraak op de site van een politieschool in het Belgische Oost-Vlaanderen, zijn privégegevens van mogelijk honderden politieagenten en magistraten op straat beland. Het gaat om adressen, telefoonnummers en bankgegevens. De hack vond al plaats in het voorjaar.

Het openbaar ministerie is een onderzoek gestart naar de inbraak bij politieopleiding Paulo in het Oost-Vlaamse Mendonk. Die vond al in het begin van het jaar plaats, maar werd volgens de krant De Standaard pas veel later ontdekt omdat de criminelen geen sporen hadden achtergelaten.

De website van de politieschool wordt gerund door een extern bedrijf. Paul Schelleman, verantwoordelijk voor het privacybeleid van de provincie Oost-Vlaanderen, vermoedt dat de hackers daar hebben toegeslagen, mogelijk vanuit het buitenland.

De omvang van het lek is nog niet geheel duidelijk. Sommige cijfers spreken van meer dan honderd adressen, telefoonnummers en bankrekeningnummers. Maar volgens een van de gedupeerden die De Standaard sprak, is de schade aanzienlijk groter en zouden gevoelige gegevens te grabbel zijn gegooid van ongeveer 300 politieagenten, 150 agenten in opleiding en 50 magistraten. Nicholas Paelinck, voorzitter van de Vaste Commissie van de Lokale Politie, hoopt snel op meer uitleg, ‘zodat we een zicht krijgen op de omvang van de aangerichte schade’.

Extra pijnlijk is dat er ook gegevens zijn gelekt van leden van de speciale eenheden: agenten die juist alle moeite doen om hun identiteit geheim te houden.

Volgens Schelleman was het de hackers blijkbaar vooral om geld te doen. Zo’n 50 slachtoffers ontvingen intussen een phishing-sms, waarbij de afzender zich voordeed als een medewerker van de banken ING of AXA. Even was er de vrees dat de feiten door een buitenlandse veiligheidsdienst waren gepleegd, om meer vat te krijgen op het Belgische veiligheidsapparaat. Dat lijkt echter niet aan de orde.

Door Michel van der Ven

Nieuwsredacteur

23-12-2019 • 11:09

44

Reacties (44)

Sorteer op:

Weergave:

Daarom slaan we geen persoonsinformatie op op webservers...
Zolang die informatie door de website geraadpleegd kan worden, blijft er altijd een mogelijkheid voor een indringen om er ook bij te komen, desnoods met hulp van die webserver zelf (exploit).
Verzin eens een situatie waarin dat raadplegen nodig is... Naam, adres, bankrekening en telefoonnummer?
Online personeelsplanning?
Dat is gekoppeld aan de HR database voor (ik roep maar wat hoor) urenregistratie bijvoorbeeld. Als er in die koppeling een lek zit (vatbaar voor SQL injection bijvoorbeeld) krijg je al die gegevens er wel uit.
In het kader van efficiëntie wordt dat tegenwoordig vrij snel allemaal aan elkaar geknoopt. Is ook efficiënt, maar wel een risico.

Het artikel beschrijft het alsof er een website online draait waarop alles publiekelijk toegankelijk staat, de situatie zal wel iets complexer zijn.
Ik weet niet hoe het nu werkt maar vroeger werd alles in Antwerpen geregeld door Digipolis. Ze zaten daar op een shared omgeving voor mail en calendaring. Ik heb ooit een leerkracht moeten helpen om hem daar wat wegwijs in te maken (is al wel echt jaren geleden). Na een beetje creatief doorklikken (niets aanpassen ofzo, gewoon wat verder doorklikken) ben ik in een agenda beland waar planning van dienstauto's in stond en ben ik zelfs PV's tegengekomen.

Onmiddellijk doorgegeven aan Digipolis, nooit iets van gehoord.

[Reactie gewijzigd door blinchik op 22 juli 2024 18:48]

Digipolis regelt nog steeds alle informatica, maar... De scholen (dit was aan de kanten van Gent) moet het voor zichzelf doen (via externe firma's enzovoorts)...
Jammer om te horen in jouw case dat zo'n dergelijk voorval zo is geëindigd zonder enige feedback
Het enige wat ik kan verzinnen is een optie om een ander adres of telefoonnummer door te geven of een "klopt uw informatie?"-bevestiging, en dan dat leesbaar over internet sturen. Meestal hoeft de bestaande informatie er nog steeds niet bij gehaald te worden. Alles wat enkel aan de server-kant gebeurt kan offline.

[Reactie gewijzigd door blorf op 22 juli 2024 18:48]

En maak dan even een “view”.... Database Security 101...
Goed voorbeeld, maar geen enkele reden waarom NAW gegevens in zo'n urenregistratie hoeven te zitten. Dat kan ook prima met een hash welke intern gekoppeld wordt aan de persoon.
Als iemand inlogt op een server en een order aanmaakt, die vervolgens moet worden gevuld met verdere informatie om het compleet te maken. Ik weet het, dit hoort elders opgeslagen te worden, maar helaas gebeurd dit vaak niet.

Ik praat het ook niet goed, ik geef aan dat zolang de webserver in staat is deze informatie naar boven te halen, een inbreker dit uiteindelijk ook kan als er een lek bestaat op de webserver.
Dan zie ik helemaal geen reden om het op een semi-gratis WIX.com-site te gaan shared-hosten met tal van andere websites (die al dan niet gehackt zijn) ergens bij Google en Amazon in de USA. Dat lijkt namelijk al meer dan een jaar de hosting van die website te zijn.
steek de schuld maar bij de externe hosting... Al die gegevens moeten totaal niet op een website staan toch?
Als jij een account hebt bij Bol.com, waar denk je dan dat die gegevens bewaard worden? Deze gegevens stonden natuurlijk ook niet platweg op de website. De hackers hebben waarschijnlijk de database die achter de website hangt weten te bereiken.
bol.com moet mij iets kunnen leveren.
Wat hebben studenten te zoeken bij het thuis adres van de lesgever of zijn rekeningnummer?
Hun administratie zat gewoon in dezelfde database van hun website vermoedelijk...
[...] vermoedelijk...
Allemaal speculatie, dus...
bol.com is een webshop waar je dingen koopt en men dus info van je moet hebben.
Waarom gegevens van speciale eenheden op de database van een website staan is mij toch nog steeds een raadsel hoor.
Zulke dingen horen daar gewoon echt niet te staan.
Ik werk zelf voor de Politie in Oost-Vlaanderen en schrok hier inderdaad ook van, Zeker de informatie van hoger geplaatste en magistraten hoort daar zeker niet te staan. Dit gaat nog wel een staartje krijgen...
Hangt natuurlijk allemaal af van wat het doel is van die website. Het is ook niet zo dat die gegevens publiek op de website staan, vermoedelijk op een database die achter de website verborgen zit. En dan kan het gaan om o.a. contactgegevens om de studenten te kunnen bereiken en rekeningnummers om betalingen te kunnen verifiëren.
Volgens mij leggen ze de schuld niet bij de externe hosting; ze geven alleen aan dat de website bij een externe partij gehost is en dat ze daar waarschijnlijk zijn binnengedrongen...
Volgens Schelleman was het de hackers blijkbaar vooral om geld te doen. Zo’n 50 slachtoffers ontvingen intussen een phishing-sms, waarbij de afzender zich voordeed als een medewerker van de banken ING of AXA
En dat kan dus ook van hele andere sources komen dan van deze inbraak..
Of dat is een afleidingsmanoeuvre om het idee te wekken dat het alleen maar om geld gaat...
Wie zet er gegevens van agenten e.d. in een online database?!
En niet versleuteld? ;( :(
Hopelijk wordt dat bedrijf aangeklaagd!
Waar denk je dat de meeste persoonsgegevens opgeslagen worden tegenwoordig met al die cloud toepassingen zoals salarispakketten etc.
Die staan bij de Politie niet in "zo maar een cloud", Ik kan hier niet meer over zeggen, want dat recht heb ik niet :)
Echter is het wel zo dat in het verleden wel meer Politie Zones een eigen domeinnaam en hosting hadden voor dit centraal door de Federale geregeld werd.

[Reactie gewijzigd door anpat op 22 juli 2024 18:48]

Even was er de vrees dat de feiten door een buitenlandse veiligheidsdienst waren gepleegd, om meer vat te krijgen op het Belgische veiligheidsapparaat. Dat lijkt echter niet aan de orde.
Of de hackers sturen even wat phisingberichten rond om net te doen alsof ze geen buitenlandse veiligheidsdienst zijn. Aangezien er nog vrij weinig duidelijk is over de hack lijkt het me sterk dat je op basis van wat sms-berichten kan stellen dat het geen buitenlandse veiligheidsdienst is geweest.
Het valt me nog mee dat er niet al gesuggereerd wordt dat de Russen er achter zitten.
Duh, dat zou een achterlijke, ongefundeerde aantijging zijn...

Het waren natuurlijk de Chinezen.
Het wordt niet uitgesloten.
Het artikel van de Belgische krant is verwarrend. Aan de ene kant schrijft de journalist heel stellig dat het via de website zou zijn gegaan terwijl de opmerking van een betrokkenen is dat het wellicht via de website is gegaan en ze daar sporen hopen te vinden.
Als je vanaf de website doorklikt naar https://mail.opac.be/owa blijkt daar ook het certificate vervallen te zijn sinds 25/11 |:(
Dat is zo te zien een oude niet meer gebruikte (2003) Exchange server?
De nieuwe is een heel ander adres gehost bij de eerste minister van kanselarij, En gaat binnenkort naar een eigen cloud omgeving gehost door Microsoft.

Heb zojuist de ICT gecontacteerd, en ze bevestigen dat deze idd niet meer gebruikt word.

[Reactie gewijzigd door anpat op 22 juli 2024 18:48]

Dat is zo te zien een oude niet meer gebruikte (2003) Exchange server?
De nieuwe is een heel ander adres gehost bij de eerste minister van kanselarij, En gaat binnenkort naar een eigen cloud omgeving gehost door Microsoft.
Waarom wordt er dan nog naar gelinkt op de homepage?
Het is trouwens een Exchange 2007 server, waarvan de support in 2017 gestopt is. Dat ding zou zelfs niet meer mogen draaien.

edit: ok, wordt mss niet meer gebruikt, maar het zijn toch weer twee voorbeelden van hoe laks er met security omgegaan wordt.

[Reactie gewijzigd door Lukse op 22 juli 2024 18:48]

Ik ben hun ICT/webmaster niet he! :)
Dus daar kan ik je geen antwoord op geven. Van de versie was ik niet zeker, wat ik wel zeker weet is dat hun een andere domeinnaam zijn gaan gebruiken, maar deze diende nog max 6 maanden te draaien, vanaf wanneer? Ook geen idee... maar in plaats van ze zwarter te maken dan ze al zijn vond ik het nodig ze te contacteren :P
Ik ben hun ICT/webmaster niet he! :)
Zeg ik toch niet? :)
Je kwam onmiddellijk met de reply dat het een oude en niet gebruikte server was, maar dat doet er imo niet toe.
Niet meer gebruikt zou de situatie zijn dat de service geen relevante gegevens bevat en ook niet meer beschikbaar is voor potentiële criminelen via het internet. Dat laatste lijkt in ieder geval het geval, iedereen kan immers die webservice bereiken.

Dan hou ik mijn hart vast als er kennelijk vanuit de eigenaar niet echt interesse in dergelijke servers te onderhouden maar wel online blijven staan en er ondertussen een lek lijkt te zijn waar volgens de krant nog niemand een spoor van heeft weten te achterhalen. Ook gezien de zwaar verouderde software, want dan is het maar te hopen dat die remote code execution kwetsbaarheid uit 2009 ook echt een patch heeft gehad.

[Reactie gewijzigd door kodak op 22 juli 2024 18:48]

Een politiebestand hacken met enkel als doel om phishing smsjes te sturen? Dat lijkt mij heel sterk. De politie is wel een beetje de laatste die je phishing smsjes wil versturen...
je moet wel ballen aan je lijf hebben als crimineel om de politie proberen af te persen met phishing-sms'en 8-)
Politieagenten zijn ook gewoon mensen. Bovendien weten dit soort afpersers toch wel buiten schot te blijven. Want zeg nu zelf, of jij nu degene bent die het sms'je krijgt of een politieagent, zou dat qua onderzoek werkelijk uitmaken? Mogelijk weten de hackers niet eens dat ze met politieagenten te maken hebben. De data kan prima zijn buitgemaakt tijdens een bulk aan IP-adressen die op beveiligingslekken werden gescand.
Ik vind de conclusie
Volgens Schelleman was het de hackers blijkbaar vooral om geld te doen. Zo’n 50 slachtoffers ontvingen intussen een phishing-sms, waarbij de afzender zich voordeed als een medewerker van de banken ING of AXA.
nogal kort door de bocht. Ik ken meer dan genoeg mensen (waaronder ikzelf en mijn vrouw) die ook al dergelijke phishing-sms ontvangen hebben en wij hebben niets te maken met politie of gerecht, noch met Oost-Vlaanderen.

Ik vrees ervoor dat die verklaring vooral is om de aandacht wat van het probleem af te leiden...
Mwah. Deze actie is volgens mij niet gericht op afpersing, maar gewoon op geld. Het is niet dat je na hier ingetrapt te zijn, niet je data op straat terug kan vinden omdat ze het verwijderd hebben ofzo.
da's het tegenovergestelde |:(

Op dit item kan niet meer gereageerd worden.