Zweedse supermarktketen sluit 500 winkels na cyberaanval op Kaseya

Door de cyberaanval van afgelopen vrijdag op Kaseya, maker van software om systemen op afstand te beheren, sluit de Zweedse supermarktketen Coop 500 van zijn 800 winkels. Het NCSC heeft hetzelfde advies als Kaseya gegeven: sluit Kaseya VSA-servers zo snel mogelijk af.

Onder andere de BBC maakt melding van wat er in Zweden gebeurt. Coop begon op vrijdagavond problemen te ondervinden met zijn computers, inclusief de bemande en zelfscankassa's. Volgens de Volkskrant heeft Coop een marktaandeel van 20 procent in de Zweedse supermarktsector. IT-dienstverlener voor Coop is Visma, die de aanval onderkent in een persbericht.

In Nederland is de IT-dienstverlener VelzArt getroffen, schrijft de NOS. Dat bedrijf heeft honderden klanten die mogelijk getroffen zijn. Nog drie andere Nederlandse dienstverleners zijn getroffen; van twee is onbekend of ze schade hebben geleden en de derde, Xantion, zegt dat er tot nu toe geen spoor van de malware is gevonden. Zij sloten de servers van hun Kaseya-software twee minuten nadat ze een waarschuwing van hun softwaredistributeur kregen, af.

Het Nationaal Cyber Security Centrum, onderdeel van het Ministerie van Justitie en Veiligheid, beaamt het advies van Kaseya: bedrijven die Kaseya VSA-servers in huis hebben, moeten die zo snel mogelijk afsluiten. De Amerikaanse President Biden zegt zijn inlichtingendiensten opdracht gegeven te hebben om de zaak te onderzoeken. Dat schrijft Reuters.

Kaseya heeft een tool ontwikkeld waarmee men kan controleren of er een besmetting plaats heeft gevonden. Die is op verzoek via e-mail beschikbaar voor klanten. De SaaS-servers van Kaseya VSA, die bij Kaseya zelf staan, zijn uit voorzorg ook uitgeschakeld, maar lijken niet getroffen.

Volgens securitybedrijf Huntress Labs is de supply chain attack het werk van ransomwarebende REvil. Zo'n aanval vindt hogerop in de leveringsketen van een product plaats, met als doelwit een lager punt. Dat wordt geïnfecteerd met ransomware, met een losgeldbedrag dat oploopt tot vijf miljoen dollar, volgens screenshots. De aanval begon vrijdagmiddag en die timing was waarschijnlijk bewust: dit weekend vieren de Amerikanen hun onafhankelijkheid van het Britse Koninkrijk, waardoor bezetting bij de getroffen bedrijven vanaf vrijdagmiddag al lager is.

Bij deze supply chain attack was het doelwit Kaseya VSA, een softwarepakket waarmee it-dienstverleners de systemen van hun klanten kunnen beheren. De aanvallers verscheepten hun malware in Kaseya VSA en konden zo de systemen van de klanten van de beheerders infecteren. Op 2 juli was de schatting van Kaseya dat 'niet meer dan 40 klanten' getroffen waren. Hoeveel klanten van die klanten getroffen zijn door ransomware, is nog niet bekend.

Zeker duizend bedrijven zijn getroffen, volgens de laatste schattingen van Huntress Labs. De Nederlandse Mark Loman van het Britse securitybedrijf Sophos schat tegenover de NOS op basis van een extrapolatie van zijn getroffen klanten dat er wereldwijd tienduizenden bedrijven getroffen moeten zijn.

REvil, dat vermoedelijk achter deze aanval zit, was eerder ook verantwoordelijk voor de ransomware-aanval op de Amerikaanse vleesverwerker JBS. Die betaalde het losgeldbedrag van 11 miljoen euro om zijn data ontsleuteld te krijgen.

Reacties (317)

[Anoniem: 30722]

Waneer houdt dit soort ellende toch eens op?
Aan de ene kant het blijven vertrouwen op brakke software, aan de andere kant het oppakken van dit soort groepen.

[BenVenNL]

Ik denk ook dat het komt omdat ICT redelijk ontastbare materie is. Genoeg snelle jongens die daar graag wat aan willen verdienen met matige kennis en service en een mooi verhaal.

Als ik meubels koop, kan de verkoper mij alsnog 100x vertellen hoe fantastisch het is. Maar als ik dan duidelijk de matige kwaliteit van de fineer bekijk, het hang en sluitwerk op de deuren en dat zelfs de plankjes in het showmodel wat wiebelen en de deurtjes wat scheef hangen, denk ik, "wat een troep".

Maar hoe ga ik IT/ICT zaken controleren of deze van uitmuntende kwaliteit zijn? Ja, weer een dure externe partij inhuren om dat te toetsen. Maar wie zegt mij dat deze dan vervolgens goed werk levert.

Het is allemaal te ontastbaar en daarmee ook een kans om gewoon niet te leveren wat er afgesproken is. Bedrijven zijn gewoon enorme melkkoeien voor deze industrie.

[Anoniem: 574346]

Klopt, daarom stoor ik me zo enorm aan van die betweters die vinden dat elk bedrijf een soort digitale fort knox moet zijn.

Zelfs al ben je een bakker met een lokaal klantenbestand en je komt net rond elke maand, dan zijn er mensen die vinden dat je duizenden euro's aan apparatuur en specialisten moet hebben want anders ben je onverantwoord bezig..

Grote bedrijven en zelfs gespecialiseerde security bedrijven worden gehackt. Die hebben de beste mensen in dienst en geven miljoenen uit aan security. Je kan er vaak gewoon niks aan doen.

[Mangu429]

Klopt, daarom stoor ik me zo enorm aan van die betweters die vinden dat elk bedrijf een soort digitale fort knox moet zijn.

Je ziet wat er gebeurt als het geen digitale Fort Knox is.

Zelfs al ben je een bakker met een lokaal klantenbestand en je komt net rond elke maand, dan zijn er mensen die vinden dat je duizenden euro's aan apparatuur en specialisten moet hebben want anders ben je onverantwoord bezig..

Het is vrij eenvoudig. Ga naar die bakker en neem zijn systemen en het klantenbestand weg en kijk dan in hoeverre hij zijn werk nog kan doen. Dat zal opeens een stuk lastiger zijn en uiteindelijk tot verliezen leiden die groter kunnen zijn een investering in betere beveiliging.

[HakanX]

Ga naar die bakker en neem zijn systemen en het klantenbestand weg en kijk dan in hoeverre hij zijn werk nog kan doen.

Als kleine ondernemer kan ik zeggen dat het eventjes omschakelen is, maar rustig door kan werken omdat je al je klanten wel uit je hoofd kent. Een lokale stroomstoring komt mij zelfs goed uit. De grote concurrenten moeten direct sluiten en ik kan lekker offline en handmatig doorwerken met dubbel, driedubbel omzet.

[sympa]

Als je niet afhankelijk bent van de IT kan je gewoon doorwerken inderdaad, dat is een stuk beter. Maar een bakkerij zonder elektriciteit, dat lijkt me lastig.

[fapkonijntje]

We hebben nog houtovens voor brood hoor, noem je het ambachtelijk en dan is het nog goede marketing ook.

[Anoniem: 1532362]

ik krijg meteen zin in een ambachtelijk brood van 'fapkonijntje', gevuld met spijs. yum yum eetsmakelijk.

[Reactie gewijzigd door Anoniem: 1532362 op 23 juli 2024 08:56]

[HakanX]

Ik weet niet hoeveel stroom een bakkerij nodig heeft, maar bij een aangekondigde stroomstoring huur ik gewoon een aanhanger met generator van Boels en sluit ik het "broodnodige" daarop aan. Ben ik ook de enige open in de buurt, de grote jongens kunnen niet zo flexibel werken.

Maar de discussie is of je als kleine onderneming perse moet overdrijven met je IT uitgaven, nee want het weegt niet op tegen de risico en grote kans dat je het niet kan betalen.

[Anoniem: 574346]

Je zou je eigen reactie eens moeten lezen zeg... precies dit soort reacties kan ik echt niet tegen. Je hebt volgens mij geen idee hoe een bedrijf runnen werkt. Jij denkt dat elk bedrijf een geldboom heeft en oneindig kan investeren in van alles en nog wat?

[mduijm]

Helemaal terechte opmerking @Anoniem: 574346. Maar die bakker kan beter bijvoorbeeld zijn kassa’s afnemen bij een partij die het netjes regelt en bijvoorbeeld de kassa systemen losknipt van de rest van het netwerk. Alle andere IT uit de cloud gebruiken en geen inkomend verkeer toestaan op zijn netwerk. Wellicht e-mail lezen op een iPad oid. Op deze manier kan je met weinig middelen een veilige manier van werken creeeren. Waar het vaak mis gaat is mail lezen op zakelijke bedrijfs systemen. Die vaak oudere Windows versies draaien en/of geen recente patches hebben draaien.

[fapkonijntje]

Als je nou de reacties waarop je reageert eens beter leest, dan zie je dat jouw punt allang benoemd is. Het probleem begon er namelijk mee dat die bakker geen flauw idee kan hebben van de kwaliteit van degenen die 'ie inhuurt. De bakker weet dus nooit of ie op IT vlak troep of niet aanschaft, maar is wel de sjaak als 't fout gaat. Die bakker moet dan ook lappen voor dingen die ie niet begrijpt. Lekker is dat.

Je begint over ipads. Gezien de vele zero days in iOS zie ik dat niet als veilige optie, je bent beter af met wat simpelere en platform onafhankelijks. Je optie is wel een dure en een die die bakker wellicht niet gewend is. Kost dus ook tijd om aan te passen. Bakkers staan niet bekend om dat ze veel tijd over hebben. Je moet er ook maar vanuit gaan dat die partij die 't voor die bakker even regelt wel betrouwbaar is. Dat kan die bakker nooit beoordelen. Voor je terugvalt op het noemen van willekeurige oplossingen voor een probleem dat je niet begrijpt, kun je je beter verdiepen in de belevingswereld van zo'n bakkertje. En natuurlijk dat de risico's helemaal niet bij de kassa's liggen natuurlijk.

Onvoorstelbaar hoe zoveel mensen hier in de reacties totaal geen idee hebben hoe IT is voor ondernemers die geen IT achtergrond of kennis hebben. Zelfs mensen die wel pretenderen veel kennis te hebben zitten er vaker naast dan je zou willen. Een beetje zelfreflectie voor de meeste ITers kan de IT wereld geen kwaad doen. Juist de ITers met de grootste waffel hebben het voor gebruikers nodeloos complex gemaakt en de problemen zelf gecreëerd.

[sprankel]

De bakker weet ook niet hoe je een oven ontwerpt, hoe weet de bakker dan dat die kwaliteit koopt?

De bakker weet ook niet hoe fiscaliteit juist in elkaar zit dus dan heeft die een boekhouder, hoe weet die bakker dan of die boekhouder wel zijn vak kent?

De bakker weet ook niet hoe IT werkt dus dan gaat die naar een IT bedrijf die zijn IT regelt. Oh nee wacht, IT mag geen geld kosten, dat is allemaal veel te duur. Lekker zelf iets regelen en dan klagen als het fout loopt.

Als ondernemer moet je begrijpen dat je onderneemt waarbij je kennis nodig hebt in heel veel domeinen die je als zelfstandige nooit allemaal zelf kan doen. Als jij morgen iemand in dienst neemt moet je ook extern expertise gaan halen in HR. Als je anno 2021 als ondernemer niet wilt begrijpen dat IT net zo cruciaal voor je onderneming is als je boekhouding en dat je dat net zoals bij de boekhouder je geld kost, wat wil je dan? Een magische oplossing?

[sympa]

Het is geen kwestie van "goede IT-dienstverlening inhuren". Het probleem is de belabberde mentaliteit in de industrie.
Ik zou zeggen: probeer maar eens IT-diensten af te nemen waarbij je in alle gevallen voor gevolgschade gedekt bent bij uitval of dataverlies. Dat is de enige garantie die een toeleverancier kan geven op kwaliteit.
Zo is de in VS de elektra veilig geworden: de verzekeraars eisten goedgekeurde spullen. Je vindt nog steeds UL en LR op apparaten en onderdelen, dat komt daar vandaan.
Iets soortgelijks zouden we voor IT moeten hebben. De verzekering keurt en bepaalt.

[fapkonijntje]

Het is geen kwestie van "goede IT-dienstverlening inhuren". Het probleem is de belabberde mentaliteit in de industrie.

Precies. Dat wordt natuurlijk ook wel veroorzaakt door een groot percentage beunhazen die heilig van hun eigen gelijk overtuigd zijn. We hebben in de IT ook een mentaliteitsprobleem. Misschien laat de reactie van @sprankel dat juist heel goed zien, door weer voor extreem complexe randzaken de schuld en verantwoordelijkheid bij het bakkertje neer te leggen. Dat soort lompe houdingen en dat soort pure blindheid voor de doelgroep is een van de grootste problemen in de IT. Daar krijg je ook van die nodeloos complexe oplossingen van waar zo'n bakker eigenlijk niets mee opschiet.

[sprankel]

Als de bakker garantie wilt dan eist die garantie, het is geen enkel probleem om een SLA te krijgen waar dit overeengekomen word alsook welke sancties er opstaan als de dienstverlener dit niet nakomt.

Echter dan krijg je het onnodig complex verhaal dat te duur is en de cirkel is terug rond.

Je geeft aan dat ik de problemen bij de bakker leg in plaats van mijzelf. Echter ik heb geen probleem, ik heb namelijk niets te maken met die bakker.

De bakker zit met een probleem en het is de ondernemer die ervoor moet zorgen dat zijn bedrijf goed draait. Dat ik toevallig IT doe maakt mij niet verantwoordelijk voor de bakker zijn IT problemen.

Dat er veel beunhazen rondlopen is waar maar blijkbaar zijn er veel klanten die beunhazen inhuren. De bakker zou veel kennen van oven techniek, ik betwijfel het. Echter de bakker zijn wagen om brood rond te brengen, daar kent hij ook hij de mechaniek van?

Ook al ken je er niets van dan nog kan je diploma's, certificaten, herkenningen (zoals MS gold partner) en referenties vragen net zoals je een loodgieter beoordeelt. Vervolgens zet je alles op papier in een contract met goede overeenkomsten & garanties en klaar.

[Grrrrrene]

De bakker weet ook niet hoe je een oven ontwerpt, hoe weet de bakker dan dat die kwaliteit koopt?

De bakker weet volgens mij exact hoe een oven werkt en wat een goede oven is. Als hij dat al niet zou weten, wie wel? Hij hoeft hem niet te ontwerpen om te weten dat het werkt, dat is precies het punt. Zo weet een auto-reviewer ook niet goed hoe een auto in elkaar zit, maar wel of hij lekker rijdt en tests wijzen uit of hij veilig is en reputatie (statistiek) geeft aan of het een betrouwbaar merk is.

[fapkonijntje]

Nou het zou leuk zijn als meer autoreviewers meer zouden snappen van auto's. Ik zie nu op een autoweek conclusies en 'bevindingen' die nergens op slaan, puur door gebrek aan kennis. Het nadeel van een gebrek aan kennis bij iets als auto's, is dat iemand teruggrijpt op het beoordelen naar wat 'ie gewend is. Heel jammer. Het is lang niet zo complex als de ICT, maar ook op dat niveau zie je al grote fouten ontstaan. Moet je nagaan hoe lastig het is om IT middelen te beoordelen. Zelfs als 'kenner' is de markt te groot om zomaar overal wat over te roepen.

[loki504]

De bakker leest dat in zijn vak bladen. Kent de termen die gebruikt worden voor een oven. Bij ICT/beveiliging kent hij die niet. En kan je hem dus alles aansmeren.

En zoals je ziet is dit een bedrijf wat ICT oplossingen regelt voor andere. Wat verwacht je dan nog meer van een bedrijf?
En tuurlijk wil je dat je oplossing zo weinig mogelijk kost. Dat zie je in alle takken niet alleen de ICT.

[Mexxwelll]

Je hebt toch niet perse veel geld nodig om iets goed te beveiligen? Waarom het voor grote bedrijven duurder wordt is omdat ze meer verkeer doen over firewalls heen en daarop hun hardware moeten sizen.

Een bakker kan met een instap model firewall uit de voeten. Daarbij goed nadenken welke rechten de gebruikers nodig hebben en een simpele backup en ze zijn er al.

Punt is juist dat mensen en er niet goed over nadenken.

[Reactie gewijzigd door Mexxwelll op 23 juli 2024 08:56]

[Immanent Ike]

Het is juist geen punt van 'goed nadenken', veel mensen snappen niet hoe beveiliging werkt, laat staan hoe ze dat op moeten zetten, en hebben daar een expert voor nodig. Experts/vakmensen kosten nou eenmaal geld.

[sympa]

Vertel even hoe dat betaalbaar gaat dan?
Wat ik uit de praktijk weet is dat het een doorlopend proces is, en geen eenmalige installatie.
En dat "securityproducten" een gereedschap zijn en geen oplossing. Ik heb meegemaakt dat een firewall naar internet jarenlang in "ANY ANY ALLOW" mode stond, en een grote hindernis was voor performance, maar security vond het toch belangrijk om die firewall in het netwerk te hebben.

[Mexxwelll]

Zet er een Cisco firepower 1010 appliance neer, ding heb je al voor rond de 400 euro. IPS en IDS aan en inderdaad geen any/any allow.

Dan segmenteren, met pc’s in een VLAN en kassa’s in een ander VLAN.

Verder je backups op orde, updates op orde en je bent al een heel eind.

Hoeft geen 1000en euro’s te kosten.

[sympa]

Isolatie is een 1e stap. Maar wie beheert die kassa's dan? Hoe loopt die login? En hoe komt de thuiswerker op het kassabeheersysteem?
Misschien een beter idee elk systeem een ingebouwde restore-mogelijkheid te geven. Moet je wel keihard afschermen dan. Opslag is goedkoop, je moet als developer alleen zorgen dat je niet teveel datarommel maakt in de vorm van verbose logs die dan eeuwig zouden blijven.

[daredevil__2000]

Je kijkt nu vooral naar de kosten van de hardware waar je op kan besparen. Waar minder op te besparen valt is de inzet van de IT specialist. Of je daar nu een MKB firewall of een grotere firewall neerzet scheelt in de basis niet zo heel veel voor de basis configuratie. Ook voor het onderhoud zoals het regelmatig doorvoeren van updates op de firewall zijn redelijk een zelfde tijdsinvestering voor de bakker of een groter bedrijf. In verhouding is het neerzetten van een veilige omgeving voor een bakker in de basis dus prijziger dan voor een wat groter bedrijf ondanks dat de hardware misschien goedkoper is.

[J8S]

Dit is zo makkelijk gezegd allemaal. De kans dat die bakker in zijn leven met een serieuze hack te maken gaat krijgen is niet zo verschrikkelijk groot. Als die dan wel heel veel geld aan beveiliging uit moet gaan geven worden zijn broden duurder en gaat de consument naar de concurrent want die is goedkoper. En die concurrent krijgt zeer waarschijnlijk nooit de rekening voor zijn acties gepresenteerd dus dat blijft doorgaan.

[sympa]

We hebben ook airbags in de auto. Die gebruiken we ook meestal niet, terwijl ze toch veel geld kosten.
En met massale ransomware-acties wordt de kans op een aanval juist een stuk groter. Waar vroeger niet werd ingebroken bij een bakker (wat ga je doen met de bestelgeschiedenis of het kleine lijstje bezorgadressen?) gebeurt het nu op shotgun-manier, geautomatiseerd.
(Met dank aan de betaalmogelijkheden overigens die in stand worden gehouden door de behoorlijke liquiditeit in cryptocoins.)

Overigens lijkt dit gedekt te zijn door sommige overheden. Net als vroeger de scheepspiraterij. Kunnen we ook wel eens conclusies uit gaan trekken denk ik.

[J8S]

Airbags hebben ook heel wat voeten in de aarde gehad voordat dat massaal geadopteerd werd. En dat gaat dan nog om mensenlevens. Ik ben het eens dat er wat moet gebeuren op het gebied van beveiliging van data, maar dat kun je niet bij de kleine individuele ondernemer neerleggen. Er zal waarschijnlijk adequate wetgeving voor nodig zijn voordat dat op een goede manier bij iedere ondernemer geregeld zal gaan worden.

[sympa]

Autogordels en airbags hebben een eindige kostprijs. Maar de manier waarop we IT regelen zorgt dat de prijs steeds verder oploopt. Alsof je een auto moet uitbreiden omdat er steeds nieuwe gevaren op de weg bijkomen. Daar moeten we van af zien te komen.
Met onderhoud van end devices hebben we dat nu voor elkaar. De W95-pc die elk half jaar naar de winkel terug moest is vervangen door een robuuste iOS of Android die niet zomaar zijn file system volpoept tot ie klem loopt. Toen dat bij die systemen was gedemonstreerd volgde Windows ook.
Nu moeten we het vervolg hebben bij gegevensbeveiliging. Zowel voor diefstal als voor beschikbaarheid.

[daredevil__2000]

De kans dat de bakker het doelwit wordt van een gerichte aanval is inderdaad klein. Er zal immers niet heel veel geld te halen vallen. Vaak worden dit soort bedrijfjes dan ook eerder geraakt door besmette software enz.

De vraag is dan ook hoe hard de bakker financieel geraakt zou worden bij een eventuele besmetting en of het een acceptabel verlies is om bijvoorbeeld je adressenbestand opnieuw op te moeten bouwen

[Frame164]

Jij hebt op je werk wel een digitale fort knox gebouwd? En zo nee, waarom niet?

[satya]

Omdat dat totaal onwerkbaar is voor de mensen. Een erg groot TI bedrijf en leverancier van ons heeft de systemen van bv programmeurs volledig onwerkbaar dicht getimmerd. Gevolg, mensen gaan eigen spullen gebruiken of gaan als zelfstandige verder.

[zircondan]

Herkenbaar probleem van Veiligheid vs Gebruikersgemak.

Het hebben van een deur neemt gebruiksgemak af, je moet namelijk de deur opendoen alvorens je naar binnen kan, waar geen deur makkelijker is.

Het punt zit het hem in een goede balans van veiligheid va gebruikersgemak.

Als je er van uit gaat dat jouw Softwareontwikkelaars genoeg kennis hebben, en dus een ‘losser’ beveiliging hebben. Dan zou dat het best zijn.

Helaas werkt beveiliging niet zo, we beveiligen altijd voor de ‘zwakste’ schakel waardoor het bijna altijd inboet op gebruiksgemak.

[sympa]

Je kan niet uitgaan van kennis en kunde. Vele jaren geleden was ik systeembeheerder, en bij een nachtelijke ronde viel me op dat er iemand ingelogd was op een centrale database. Via SSH. Vanaf een IP van buiten. Niet via een hopdoos met SecureID zoals we geacht worden te gebruiken.
Dat IP herkende ik, dat was het staische thui-IP van onze security officer.
Zijn antwoord: "ik mag dat, want ik weet wat ik doe".
Ik denk dan: kennelijk niet, dus.

[Arrogant]

Het is vrij eenvoudig. Jij gaat geen € 20,- voor een brood neerleggen bij een bakker die een digitale Fort Knox is, terwijl de concurrent met een zwakkere beveiliging hetzelfde soort brood voor een paar euro verkoopt.

[DennisH82]

Juist dat is het hele punt, alles gaat om zo laag mogelijke prijzen en marges om te kunnen blijven bestaan, ik zie het nog wel gebeuren dat er vanuit Brussel wetgeving komt voor ieder bedrijf, ook al ben je de bakker of slager om de hoek, dat ze allemaal verplicht bepaalde IT beveiliging moeten hebben bla bla, maar dat zal de doodsteek worden voor heel veel kleine winkels, helaas...

[laptopleon]

Ten eerste heeft ‘Brussel’ er tot nu toe eerder toe geleid dat er zaken zoals middenstandsdiploma’s zijn afgeschaft. De focus ligt immers meer op gelijk speelveld en concurrentie met buiten-EU-bedrijven. Veiligheid heeft bepaald geen prioriteit. Sowieso duurt het eindeloos voor over zoiets een akkoord wordt bereikt, als het al lukt.

Daarnaast is handhaving het eeuwige probleem. Het invoeren van verplichte minimum eisen is een mooi idee, maar zelfs als het lukt vrij zinloos als de pakkans nihil is. Aangezien er een soort cyber-politie of controlerend IT-overheids-orgaan aan te pas moet komen (die ‘wel wat beters te doen heeft’ of zoals onze Autoriteit Persoonsgegevens verzuipt in de meldingen), zal het weer een papieren tijger blijken.

[DennisH82]

Handhaving heb je zeker gelijk in, maar dat is met meer wetten en regels

[sympa]

Een bakker moet ook helemaal geen IT hebben met klantdata, gekoppelde spaarkaarten en dat soort ellende.
Die wildgroei is bron van problemen.

[DennisH82]

Dat ben ik helemaal met je eens

[P_Tingen]

Je hoeft niet persé een fort Knox te zijn. Een slimme backupstrategie brengt je al een heel eind. Als je regelmatig een backup maakt en die offline bewaart heb je al een groot deel van je risico afgedekt.

Uiteraard kan het zijn dat de ransomware ook in je backup zit, maar veel van de ransomware-aanvallen op lokale bakkers zullen niet maandenlang voorbereid zijn, maar meer het gevolg van een soort schot-hagel-taktiek waarbij de bakker per ongeluk een mailbijlage heeft geopend in de veronderstelling dat het een bestelling voor een lekker taart is.

[Janusch]

Hoe zit dat eigenlijk met backups in de cloud, zoals Google Drive, Dropbox etc.
Deze files kun je tot X aantal dagen terughalen.
Of is het probleem juist dat de malware bestanden er al lang in zitten (30 dagen+) en dan opeens pas geactiveerd worden? Als je dan 30 dagen teruggaat, dan heb je alsnog geïnfecteerde bestanden.

[Mexxwelll]

Buiten het feit dat er nog geen ransomware is die Office 365 kan encrypten, is het alsnog belangrijk om je back-ups op orde te hebben. 30 dagen retentie is geen back-up.

[daredevil__2000]

Buiten het feit dat er nog geen ransomware is die Office 365 kan encrypten, is het alsnog belangrijk om je back-ups op orde te hebben. 30 dagen retentie is geen back-up.

Geen ransomware welke zelf met 365 praat. Maar er zijn genoeg mensen die syncen met de onedrive binnen 365 en dan kunnen besmette bestanden gewoon via de sync ook op 365 terecht komen. Onder teams en de verschillende sharepoint sites zitten ook gewoon onedrive and bestandsbibliotheken welke je kan syncen of waar jouw werkplek toegang toe heeft.

Er zijn wel handigheidjes om het syncen van besmette bestanden te beperken door in Onedrive in te stellen welke bestandsextensies niet toegestaan zijn. Maar ja dat helpt dus maar deels.

[nokiaClassic]

Dat is goed mogelijk. Ransomware die grote bedrijven besmet zijn meestal speciaal ontworpen voor hun target. En dan is het afhangelijk van hoe het bedrijf opereert hoe de malware werkt. Het kan zijn dat het stil leggen van hun operaties al genoeg reden is om losgeld te betalen (restoren van de backup kost te veel tijd). Ook kan de ransomware zich inderdaad stil houden voor een bepaalde periode, tot er een groot genoege periode van de backup besmet is, dat restoren geen optie meer is. En soms wordt de backup ook gewoon encrypted.

Maar hoedan ook een backup hebben is toch belangrijk (zelfs voor de bedrijven die er tegen zijn verzekerd). Omdat tijdens het encrypten dingen mis kunnen gaan, waardoor de alle of een deel van de gegevens verloren kunnen gaan. Soms mag er zelfs wettelijk geen losgeld worden betaald omdat een terroristische orginisatie, Noord-Korea of degelijke erachter zit. En een backup kan je natuurlijk ook gewoon het losgeld besparen.

Voor thuisgebruikers of een bakker zijn de aanvallen gelukkig minder sophisticated. Verre weg de meeste ransomware zal zich proberen te verspreiden en direct daarna je gegevens encrypten. Dus de cloud met 30 dagen terugzetten is een goed oplossing.

[R3m3d7]

Zo werkt dat niet. Je schakelt de hulp van bv foxit in, je zet de unencrypted data terug en zij halen de malware uit de geisoleerde omgeving. Security is belangrijk maar ga er vanuit dat ze je pakken en zorg dat je backup snel te restoren en immutable is.

[sympa]

Je moet ook een restore kunnen doen. Systemen kunnen schoonmaken. En allemaal in korte tijd.
Om dat te testen betekent het dat je het regelmatig moet testen. Of het moet opgezet zijn op een manier dat testen niet nodig is. Dan niks custom, alles turn key. Voor de supermarkt: kassasysteem uit het netwerk trekken, opslagmodules uitschakelen en USB-sticks uit de kluis er in stopen en weer draaien.
(Alleen waar komen de artiekelen en prijzen dan vandaan?)
Maar neem een supermarkt, na zo'n hack wil je toch binnen 24 uur weer open kunnen. En als je na 48 uur geen toelevering hebt dan heb je ook een probleem.

[ejabberd]

Idem, al is het toch vooral de onkunde in de IT-sector waar je je vaak aan moet storen. Dat de lokale bakker van die dingen geen kaas heeft gegeten is te begrijpen. Dat IT-bedrijven diensten en producten voor veel geld aan de man brengen zonder het zelf altijd goed te snappen of de nodige kennis in huis te hebben niet.

IMO zijn er veel gelijkenissen met de bankensector vlak voor de kredietcrisis. Arrogante verkopers met flashy PowerPoints die potentiële klanten vanalles beloven zonder zelf goed te snappen wat ze verkopen, voor veel geld rommelkredieten/rommelsoftware aansmeren en als er iets misloopt dan probeert men de eigen schuld te minimaliseren.

[MsG]

Volgens mij is het redelijk sector-agnostisch dat een sales-afdeling vooral verstand heeft van verkopen en/of relatiebeheer, maar niet zoveel van het product, in elk geval niet onder de motorkap, dat is ook helemaal niet hun afdeling in de organisatie, net als dat je een gemiddelde programmeur niet iets moet laten verkopen.

[JAHRASTAFARI]

Vind maar eens goede mensen. Veel hbo’s stellen niks meer voor, nul diepgang en er wordt weinig echte kennis opgedaan.

[Havelock]

Soms moet je die criminele in huren om dit soort zaken bloot te leggen klinkt raar maar deze mensen denken vaak anders dan reguliere ict mensen!
Dan kom je vaak tot andere inzichten out of de box denken!
Maar goed vaak zijn dit soort lui uit de ict eigenwijs en betweters vaak genoeg gezien van mensen die denken het beter te weten!

[quartex]

Soms moet je die criminele in huren om dit soort zaken bloot te leggen klinkt raar maar deze mensen denken vaak anders dan reguliere ict mensen!

IT specialisten kunnen deze 'oorlog' nooit winnen als de criminelen meer geld verdienen en zich niet aan bepaalde regels hoeven te houden.

[whiner]

Dat zie je ook wel terug in de reacties

[mr_evil08]

Dat klopt maar ook de kleine bakker kan alsnog aan back-ups doen en dat kan al eenvoudig met een paar usb sticks het hoeft niet duur, maar helaas heel veel van dit soort bedrijven is het een zooi en backups maken kost tijd dus wordt niet gedaan.

Of überhaupt een beetje uitkijken wat je met de bedrijfspc doet dan lukraar van alles installeren.

[Berlinetta]

Je kan er vaak gewoon niks aan doen.

Dus dan gaan we maar gewoon wachten en kijken wanneer het bij "ons" gebeurd.
Weetje, dit is niet pro-actief en het doet mij gewoon pijn, maar dat ben ik, ik zit hier fout.

[NielsFL]

Als iets ontastbaar is moet je het niet zelf willen regelen.

Hier op het Tweakers forum zie ik vaak vragen over dingen waar de meterkast bij komt kijken. Het advies is dan meestal direct: laat het alsjeblieft door een elektricien doen of controleren. Dat terwijl het vaak helemaal niet zo ingewikkeld is. 99.9% kans dat de Tweaker in kwestie het prima zelf kan doen. Maar iedereen is zich heel bewust dat die 0.1% kans dat het fout gaat in immens veel schade kan resulteren. En dus het advies: doe het niet zelf.

Bij IT/ICT zaken kom ik een dergelijke houding nog veel te weinig tegen. Bij grote systemen als SAP wordt er wel vertrouwt op externe expertise en beheer, maar zodra het iets kleiner wordt denkt de IT afdeling het allemaal zelf wel te kunnen. Net als die Tweaker met z'n meterkast: boekje volgen en het gaat allemaal goed, toch? En ja, het gaat meestal ook gewoon goed. Totdat het een keer fout gaat.

In het artikel wordt genoemd dat een Nederlands bedrijf de servers binnen twee minuten na een waarschuwing wist uit te zetten. In de updates van Kaseya zelf wordt een nieuwe besmetting genoemd waarbij ze expliciet aangeven dat dit komt omdat dat bedrijf de server niet op tijd had uitgezet. Het verschil hier is dus iemand die oplet en actie onderneemt, niet eens iets erg technisch.

Daarom stel ik voor dat iedereen die dit leest voor zichzelf afvraagt: kan ik/mijn IT afdeling voor elke applicatie die we gebruiken binnen 2 minuten de juiste actie (ook als die wat ingewikkelder is) uitvoeren? Is er überhaupt iemand die 's nachts dat soort meldingen monitort? Ik weet uit ervaring dat dat bij een heleboel bedrijven simpelweg niet het geval is. Ook daar zou het advies moeten zijn: doe het niet allemaal zelf.

[stefanhendriks]

Het hacken van een systeem is toch iets anders dan prutsen in je meterkast? Daarnaast, het werken met software is vele malen eenvoudiger en laagdrempeliger. Met een paar muisklikken heb je een webshop. En dan ga je er vanuit (als afnemer) dat het maar goed geregeld is. Terwijl het hoogstwaarschijnlijk default instellingen/beveiliging is.

Wat prima werkt voor 90% van de gevallen. En het “goed mis gaan” is in deze dat iemand je meterkast openbreekt (huisvredebreuk) en je stoppenkast aan gort helpt. Vervolgens doen we aan victim blaming dat je je huis niet genoeg hebt beveiligd.

Klinkt allemaal erg makkelijk in mijn oren. Als iemand in je systeem wil komen dan zal dat best lukken met genoeg moeite.

[nst6ldr]

Klinkt allemaal erg makkelijk in mijn oren. Als iemand in je systeem wil komen dan zal dat best lukken met genoeg moeite.

Het gaat erom dat je je bedrijf weer draaiende hebt na recovery, niet dat je alles kan voorkomen. En dat is best goed te doen. Beter nog, juist de kleinere bedrijven hebben minder data te beschermen, dus is dat eenvoudiger op te zetten.

[Deleon78]

Hoewel ik het grotendeels met je eens ben, worden ook de partijen aan wie zaken worden uitbesteed gewoon slachtoffer. Ook de externe “experts” zijn maar gewone mensen met hun beperkingen (en vaak nog net te hoog weggezet, want euro’s).

[daredevil__2000]

Als iets ontastbaar is moet je het niet zelf willen regelen.

Hier op het Tweakers forum zie ik vaak vragen over dingen waar de meterkast bij komt kijken. Het advies is dan meestal direct: laat het alsjeblieft door een elektricien doen of controleren. Dat terwijl het vaak helemaal niet zo ingewikkeld is. 99.9% kans dat de Tweaker in kwestie het prima zelf kan doen. Maar iedereen is zich heel bewust dat die 0.1% kans dat het fout gaat in immens veel schade kan resulteren. En dus het advies: doe het niet zelf.
....

Je vergeet hier even de variabele in dat bij een meterkast een foutje in het ergste geval ook een dodelijke afloop zou kunnen hebben door middel van een schok of door een eventuele brand. Bij een foutje met de IT is het over het algemeen puur een financieel risico. Daardoor is het zelf proberen met IT systemen een stuk laagdrempeliger.

[w3news]

Probleem herken ik, als software development bureau staat code kwaliteit hoog, maar hoe verkoop je dat aan de klant dat het daardoor wat meer tijd initieel kost.
Het gebeurde wel dat klanten weg gingen, en een jaar of 2 jaar later alsnog terug kwamen.
Lijkt de concurrent goedkoper, maar uiteindelijk wil je daar het gewoon goed werkt.

Merkte het ook met solliciteren.
Denk je bij een goede club te solliciteren, merk je dat ze niet eens doen aan linting, automatische tests, goede CI/CD straat, ...

[harrytasker]

Ik vraag me ook af wat voor "garantie" je als sofware development bureau geeft, als je een programma/software aflevert? Wie kan je aansprakelijk stellen bij bv een lek in de door het bedrijf gemaakte software?

[w3news]

Ik weet als programmeur dat ik wel zelf zekerheid over de applicatie wil dat het werkt, en eis dat ik de ruimte krijgt om goede software te kunnen maken.
Dat sommige dat niet doen vindt ik onverantwoordelijk.

[vgroenewold]

Ja, het "nee" kunnen zeggen is heel verstandig, als je weet op welk moment. Maar dat is wat velen simpelweg niet kunnen of durven. Heeft daarnaast ook nog met de bedrijfscultuur te maken.

[Gamebuster]

Clubs die aan tests doen zijn verassend zeldzaam inderdaad. Ik heb soms het idee dat enkel kleine clubjes met passie testen

[vgroenewold]

Ja dat zou kunnen, de startups willen nog weleens goed beginnen (ook niet altijd). Probleem is denk ik, als je dan succesvol wordt, moet je gaan concurreren op prijs (en tijd = geld). Tegenwoordig vind iedereen Agile ook de normaalste zaak van de wereld (wat simpelweg een management uitvinding is om mensen nog harder te laten werken) en als je dan afgerekend wordt op wat je in 2 weken hebt geproduceert dan krijg je dat soort code toestanden. Tests kosten veel tijd, doel is "het moet werkend zijn over 2 weken".

[Reactie gewijzigd door vgroenewold op 23 juli 2024 08:56]

[Gamebuster]

Agile kan prima met TTD. Ook zijn wij echt goedkoper dan vele grote kantoren die zonder tests werken, zeker over langer termijn na de 1e opzet van een project.

Mijn ervaring is dat TTD bijna niet meer tijd kost, hooguit in het begin. Als bonus heb je daadwerkelijk stabielere code, met minder fouten.

Je kan in onze error reporter perfect zien welke apps er met en zonder TTD zijn geschreven.

[Reactie gewijzigd door Gamebuster op 23 juli 2024 08:56]

[vgroenewold]

Oh zeker, nette code en tests zijn op de lange termijn inderdaad kosten besparend. Echter denk ik dat veel managers meer op de korte termijn denken.

[sympa]

Met testen controleer je of iets aan specificaties voldoet. Maar het betekent niet dat die specificaties kloppen.
Je kan (naar mijn bescheiden mening) niet ergens aan testen net totdat de kwaliteit goed is.
Kwaliteit zit in het ontwerp en de opzet. En daar ontbreekt het aan. Door de klant die steeds meer wil (ik wil ook ... op de website hebben staan dus maak die koppeling maar) en door de IT-afdeling die in elk vraagstuk een IT-probleem ziet. Denk maar eens aan "smart blah cloud" IoT. Gaan de lampen niet aan. Of de deur niet open.

[Gamebuster]

Met testen test je gewoon of je code doet wat je wil dat het doet, even los van de specificaties, en heb je automatisch bij iedere wijziging die je maakt dat je test of niet iets anders opeens breekt.

Ik snap verder niet precies wat je boodschap is - ben je nu tegen testen? Vind je ze nutteloos? Of zeg je dat specificaties ook belangrijk zijn, net als testd?

[Reactie gewijzigd door Gamebuster op 23 juli 2024 08:56]

[sympa]

Ik probeer duidelijk te maken dat testen onvoldoende is. Het is noodzakelijk voor kwaliteit, maar niet voldoende.
Aan iets wat complex is kan je best veel testen. Maar met testen bereik je nog geen goed ontwerp. Zeker in de beveiliging niet.
Als je een slot ontwerpt doe je dat met verzamelde kennis van inbrekers, over welke manieren er zijn om binnen te komen. Met trillen, met een magneet, met haakjes, met een boormachine. En dat ontwerp je er van te voren in. Niet achteraf pleisters plakken na testen.

[Gamebuster]

Natuurlijk is alleen testen onvoldoende, maar niet testen vergroot je kansen op een slecht ontwerp, bugs of andere issues enorm.

Je analogie is een beetje raar - mijn tests zouden het slot laten trillen, of testen met magneet, of met haakjes, of met een boormachine. Niet achteraf, tenzij achteraf pas blijkt dat ook andere issues zijn. Jij noemt het plijsters plakken, maar het is gewoon testen.

Hoe je het ook wil noemen, het voelt een beetje alsof je je eigen gebrek aan tests probeert goed te praten. Natuurlijk kan je goede software maken zonder tests, maar je kan ook spijkers slaan met een baksteen ipv een hamer. Niet ideaal, maar hey, als jij daar vrolijk van wordt.

[sympa]

Nee hoor ik vind tests prima. Maar je moet eerst weten dát je met een magneet naar binnen zou kunnen komen.
Dat kan je van buiten aan een slot niet zien. Maar wel als je naar het ontwerp kijkt en weet wat er kwetsbaar zou kunnen zijn. En die kwetsbaarheden niet in het ontwerp stopt.
Wat testen ook belangrijk maakt is dat je met visuele inspectie niet ver komt bij software. Bij het maken van een slot lukt het je niet om een testsleutel, boortje of zelfs een hele draaibank in elk nieuwe slot achter te laten. Met software lukt ons dat probleemloos...

[Gamebuster]

gelukkig is er gewoon de https://owasp.org/www-project-top-ten/ die je kan langsgaan met meest voorkomende magneten.

[sympa]

Veel voorkomende fouten eruit halen. Zo'n test hoort te zijn ter bevestiging. Daar hoort bij te staan "laatste keer dat ie aansloeg was 328 dagen geleden". Net als bij veiligheidsincidenten in de bouw.
En er bestaan wel goedkope sloten, waarmee je een luchtrommel beveiligt. Maar software lijkt altijd een veiligheidsrisico te vormen als het lek is. Zelfs een tekenprogramma.
Komt door het gebrek aan compartimentering op bijvoorbeeld de desktop.

[shadow1967]

Net als bij meubels heb je in ICT kwaliteitslabels. Als je daar aan twijfelt, koop dan lei en griffel. Als je die kwaliteitslabels niet wil betalen, als je kwaliteitscontroles bewust gaat mijden dan is dat op risico van de koper. (Je hoeft bij wijze van spreken enkel de garantievoorwaarden goed na te lezen) Dat laatste is van toepassing, zowel op de meubelen als ICT, als een wagen, een hotel, ....

[d3burt]

Ehhm, Kaseya heeft ISO-27001, SOC1 en SOC2. Op certificering lijkt niet te niet worden bezuinigd. Ook de klanten van Kaseya lijken een keuze voor kwaliteit te maken, vandaar de keuze voor Kaseya. Ik denk niet dat het aan de effort of de goede bedoelingen ligt.

Je kunt niet beveiligen tegen een aanval op je zwakste punt (en dat is over het algemeen de employee). Beveiliging komt in lagen, maar als het geboefte een klein gaatje heeft is het in bijna alle bedrijven een kwestie van zorgvuldig doorwerken voor de jackpot. En zodra een product verzoeken van het Internet verwerkt is het detecteren van afwijkend gedrag verdomde lastig. Ik ken maar heel weinig DMZ's waarin het web verkeer zo wordt schoongemaakt dat het opvalt als er in het backend rare meuk voorbijkomt, zoals geëxfiltreerde data of C&C traffic.

[kurt15]

Heb je misschien een bron waaruit blijkt dat Kaseya ISO 27001 gecertificeerd is? Ik heb zelf namelijk op google gezocht maar niets kunnen vinden. Ook ten aanzien van SOC 1 en SOC 2 auditing kon ik niets vinden. Er wordt alleen genoemd dat "Kaseya AuthAnvil On-Demand" ISO 27001, SOC 1 en SOC 2 compliant is. Maar dat wil nog niet zeggen dat het een en ander bevestigd is door een externe auditor.

[shadow1967]

Mijn opmerking verwijst net naar dat fenomeen/discussie (maar niet zeggen goed verwoord)

[sympa]

Als ik een nieuwe auto koop dan is die een kwaliteitskeuring doorgekomen. En keuring wordt ook (in de vorm van APK) periodiek toegepast.
Voor ICT moeten we toch ook zoiets hebben? Al is het maar vanuit verzekeraars.

[Gamebuster]

Die kwaliteitslabels zijn compleet waardeloos. Geen controle, en je software kan super veilig zijn maar als iemand vervolgens een XLS dump op een usb stick zet en die in de trein achter laat schiet je er alsnog niet mee op

[Reactie gewijzigd door Gamebuster op 23 juli 2024 08:56]

[Frame164]

Kwesite van betere consultative selling skills ontwikkelen in de organisatie. Daarmee leer je de klant duidelijk te maken waar (in deze context) risico's zitten. Je kunt het de klant nooit verwijten, wij zijn de experts die ze ze inhuren omdat ze zelf de competentie niet in huis hebben.

[stefanhendriks]

Code kwaliteit garandeerd niet dat je infra / security op orde is helaas.

[Plep]

Dat is deels zeker waar.
Maar het is ook dat veel bedrijven niet teveel voor ICT over hebben. Zeker in het MKB wordt ICT nog vaak gezien als alleen kosten.

Het kan allemaal een heel stuk veiliger, maar dan gaat de prijs van de producten en dienstverlening een stuk omhoog en als je dat als software leverancier of MSP aanbied gaan ze toch vaak naar de concurrent.

[Frame164]

Zie mijn reactie hierboven. Het is aan ons ICTers om de klant goed te adviseren. En als we dat niet goed kunnen moet daar op getraind worden.

[dakka]

Wij ICTers zijn alleen meestal niet degene die in contact staan met de klant

[vgroenewold]

Precies, ik denk niet dat ik als programmeur even voor de zaak een deal ga afsluiten die standaard over-promised is.

[Berlinetta]

Hier ben ik het mee eens.

[sympa]

En de kwaliteit van het geleverde is betreurenswaardig. En dat vinden we "normaal".
"Ja, je moet je hele huis nalopen en de meeste onderdelen vervang je elk jaar wel een keer. Soms passen ze niet, huur dan maar iemand in om het alsnog passend te maken."
Wat wordt verergerd doordat de nadruk ligt op hoe mooi de onderdelen zijn en wat ze allemaal kunnen...

[Berlinetta]

Genoeg snelle jongens die daar graag wat aan willen verdienen met matige kennis en service en een mooi verhaal.

Dat gebeurd overal in de I.T. (Niet dat ik het goedkeur)
En merk je vaak genoeg ook op het forum en reacties.

[me2001]

Het lastige van deze aanval, supply chain attack, is dat iedereen die nu de Sjaak is waarschijnlijk gewoon goede contracten heeft afgesloten met betrouwbare partijen om hun landschap te beheren. De beherende partij weer vertrouwen heeft in een bepaald management product en daar ergens iemand heeft ingebroken. Deze supermarkt keten kun je waarschijnlijk vrij weinig verwijten, behalve dat ze niet _alles_ helemaal zelf gedaan hebben met volledig capabele mensen. Maar dat is natuurlijk niet realistisch, want dan zouden ze dus beter en goedkoper moeten werken dan een gemiddelde it dienstverlener.

Wat we ook hebben kunnen zien afgelopen jaar is dat aan alle kanten dit soort problemen voorkomen, Microsoft wordt gehacked m.b.v. een lek in solarwinds. Microsoft zelf heeft weer kleine probleempjes met Exchange en nu weer de printerservice in Windows. Ofwel enige manier om niet afhankelijk te zijn van lekkages van andere is door alles zelf te doen.

Laatste punt, zolang hacken loont en je je kan verschuilen zal het blijven plaatsvinden. Lekker ver weg vanuit Rusland een paar Amerikaanse of Europese bedrijven hacken en niemand die je iets zal maken. Geld innen per Bitcoin of wel alternatief dan ook en ook dat is niet goed traceerbaar en dus 'veilig'. (Incidenten waarbij toch wat getraceerd is daargelaten). Zeker op niveau middenmanagement, een supermarktketen, een universiteit, een IT bedrijfje, zal niemand echt hard achter je aankomen gok ik.

Samenvatting is wat Nexhil hier ook al zei:
"Niet. Ga er maar vanuit dat we dit vaker gaan zien."

[thanx]

Dat bitcoin niet traceerbaar is, is maar ten dele waar. Het losgeld van de oliepijpleiding in de USA is ook voor een groot deel terug.


Probleem is meer dat we achter de feiten aanlopen.
- justitie heeft onvoldoende kennis/tooling om bitcoin te monitoren.
- bedrijven hebben nog geen adequate processen om dit soort code injecties te detecteren
- bedrijven hebben nog geen tools die de versleuteling van hun systemen detecteren
- back-up processen zijn nog niet/niet meer volledig off-line waardoor back-up ook niet meer bruikbaar is
- etc.

Bewustwording komt wel op gang, maar het is net als met grote schepen. Koerswijzigingen vragen (veel) tijd. Bovendien kost het veel capaciteit/geld om processen anders in te richten, dus gebeurd het stapsgewijs en heeft de ketting langdurig zwakke schakels. Als de schade zo snel blijft stijgen als de laatste paar jaar dan verwacht ik wel meer druk vanuit overheid, regelgeving, verzekeringen, etc om processen sneller te optimaliseren.

[devices]

Sterker nog bitcoin is perfect traceerbaar. Elke transactie is publiekelijk in te zien in de Blockchain. De uitdaging is om een persoon aan wallet(s) en/of transacties te koppelen. Juist door de traceerbaarheid van bitcoin is het lastig om het anoniem op te nemen in normale valuta.

[RocketKoen]

Bitcoin is anders ook heel goed wit te wassen. Het is een kwestie van heel veel transacties doen met je illegale bitcoin. Die bundel je dan met legale transacties (van anderen). En je springt tussen enkele tientallen verschillende crypto's.

Het losgeld dat voor die pijplijn is betaald vonden ze dan ook niet terug door de bitcoin the tracen. Ze hebben een aantal van de daders opgepakt. En 1 van hen had het wachtwoord van de wallet met het losgeld op zijn computer staan.

[sympa]

En dat opnemen en witwassen is makkelijker naarmate er meer liquiditeit is. Dus naarmate er meer mensen geld opnemen en storten en andere transacties doen.
Overigens (ik zie het niet snel gebeuren) als er een forse straf staat op het aankopen/handelen dan wordt het ook moeilijker om af te persen. Het maakt het betalen van losgeld moeilijk, want als je betaalt heb je als ondernemer ook ellende.

[SkyStreaker]

Dit gebeuren maakt dat het nu op enorm grote schaal gebeurt en dat het tastbaar kan gaan worden in een door COVID al brakker lopende wereldeconomie, naar mijn idee. Het antwoord is dat je dan ook gaat opschalen in bestrijding, althans - zou je denken dan.

[Berlinetta]

Precies wat Microsoft gaat doen met Windows 11

[thibaultvdb]

Ik ben hier enkele weken geleden helemaal weggemod omdat ik verkondigde dat deze jongens niet langer btc zouden gaan gebruiken. Nu hebben ze surprise surprise de btc optie volledig geschrapt. Enkel xmr is beschikbaar als betalingsoptie. Geen kat die het er over heeft.

[Reactie gewijzigd door thibaultvdb op 23 juli 2024 08:56]

[Jeanpaul145]

Maar dat is natuurlijk niet realistisch, want dan zouden ze dus beter en goedkoper moeten werken dan een gemiddelde it dienstverlener.

Nou zo onrealistisch is 't niet. Het goedkoop zijn komt niet omdat de dienstverlener nou zo aardig is, 't komt door schaalvoordelen. Dus typisch zo'n groot bedrijf als COOP kan dat in theorie prima voor elkaar krijgen. Extra helpende hand daar is dat ze aan die activiteiten geen winstoogmerk hoeven te verbinden, iets dat een dienstverlener wel moet doen om overeind te blijven.

[shadow1967]

Er bestaan niet voor niks standaarden rond software assurance, safe source controle mechanismes, maar hoeveel bedrijven hebben deze maatregelen genomen in hun processen. Uit ervaring weet ik dat het er bitter weinig zijn (het voegt kost toe) en de 'agile' interpretatie van velen ziet deze controles lals hinderlijk voor de efficientie.

[jbhc]

De enige manier om dit te voorkomen is om niet al je zooi aan het internet te hangen......

[OkselFris]

Och zo naïef, was dat maar waar.

[jbhc]

Wat is daar precies naïef aan? Als je veel meer standalone zou draaien heb je veel minder last van een cyberaanval.

[TheBoneJarmer]

Ik dacht hier daarjuist ook al aan. En dan echt oprecht de vraag of dit inderdaad veiliger is. Want waarom überhaupt een deur bouwen als het niet nodig is, right? Want dat is ook hoe ik thuis mijn webserver heb opgezet. Kan er enkel via ssh in via ons netwerk en van buitenaf verder niet. En de enige port die openstaat is 443 voor mijn website.

That said, dan heb je ook nog corona en het feit dat iedereen thuis moet werken. Kan je als bedrijf nog je systeem zo goed dichtgetimmerd hebben, als personeel thuis moet werken ga je toch een lijntje open moeten zetten naar buiten toe.

[themadone]

Ok, dus 443 open, gat in de webserver, credential elevation, bye bye thuisnetwerk.

Mensen op tweakers zijn soms een beetje naief. Zolang er ergens in het fysieke netwerk een internet verbinding is ben je klaar.

Als we dit geval wat verder doortrekken, je hebt alles offline, beheert je interne spul met een on prem kaseya server die je update via usb stick. Heb je alsnog een probleem dus.

We zijn te afhankelijk geworden van internet en bedrijven al helemaal.

Voor kritische processen is het geen probleem om ze geïsoleerd te houden, echter kom hier eens om op de gemiddelde sales of marketing afdeling. Ja sorry jullie hebben geen email en internet meer want dat is veiliger, dat gaat dus niet.

Waar we met zijn allen op in zouden moeten zetten is het uitroeien van de bron en het onrendabel maken van het huidige businessmodel. Dus cryptos er helemaal uit, en ja dat kan als we het allemaal willen. Rusland van internet af totdat ze deze lui richting gulag sturen. Etc etc.

De harde hand is de enige oplossing in deze helaas.

[jbhc]

En dit is nu exact wat je niet moet willen. Dingen gaan verbieden omdat er wel eens misbruik van gemaakt kan worden.

We gaan het officiële geld toch ook niet verbieden omdat er wel eens misbruik van gemaakt wordt? (Al begint het er hier in Nederland aardig op te lijken totdat het digitale banksysteem plat gaat waarvan het zeker niet de vraag is of maar wanneer dat lukt)

[themadone]

Officiële geld is traceerbaar en maakt overdracht een stuk lastiger, weg businessmodel.

[sympa]

Sommige dingen hebben niet veel praktisch nut, maar ontlenen hun nut aan de mogelijkheid om er algemeen aanvaarde regels mee te omzeilen.
Denk aan radardetectors in de auto.

[laptopleon]

Wat er naïef aan is, is dat totaal niet realistisch is.

Betalingen, financiële administratie, klantenadministratie, correspondentie, afijn alles wat een gemiddeld bedrijf doet waar een computer bij gebruikt wordt, maakt gebruik van internet. Hoe zie je het voor je dat dat losgekoppeld nog zou werken? Hoe ga je betalingen verwerken zonder koppeling met de bank? Hoe ga je klanten de factuur mailen? Hoe beheert het IT-bedrijf je computer als er iets niet werkt?

Het is net zo’n oplossing als de files op willen lossen door te stellen dat mensen geen auto meer moeten rijden. Alsof dat voor iedereen een vrijblijvende keuze is.

[P_Tingen]

... en toen kreeg je een legitiem uitziende mail die jij of een van je huisgenoten / collega's per ongeluk opende ....

[theobril]

Er was eens een hal met centrifuges in Natanz

[xelnaha]

Dat is hetzelfde als ‘Wanneer worden er geen moorden meer gepleegd? ‘

Met andere woorden nooit. Misschien weer terug naar ouderwets pen en papier?

[moonlander]

Als bedrijf moet je misschien wat minder de systemen online koppelen. Een kassa hoeft niet aan internet te hangen.

[Jeanpaul145]

Dat zou je denken he? Maar er zijn minimaal 2 goede redenen om dat wel te doen:

1. Het interne IT departement kan softwarematig dan onderhoud verrichten aan de machines zonder naar elk van die 800 locaties (in 't geval van COOP) te gaan. Dit alleen al zou het makkelijk kunnen rechtvaardigen.

2. Tracken wat de gemaakte omzet is, per winkel, per kassa, per transactie. Als grote franchise houder die franchise afnemers heeft zou ik dat ook doen, het is gewoon good business.

Nu zien we dat er een tradeoff aan kleeft in de vorm van steeds vaker voorkomende ransomware attacks. Is het het hiermee nog waard om zulke apparaten remotely te beheren?
Die afweging ligt bij iedereen die een functie bekleedt met zo'n verantwoordelijkheid, typisch de CIO van een bedrijf of organisatie.

Maar persoonlijk zou ik zeggen: ja, maar alleen als de onderliggende software in een taal als Rust is geschreven. Niet dat daarmee allee bugs meteen de wereld uit zijn, maar papers van oa Microsoft hebben aangetoond dat relatief aan een equivalente C/C++ code base, er 70% minder memory-unsafety bugs zitten in de Rust versie. En laten nou net zulke memory unsafety bugs een perfecte achterdeur vormen voor zulke "hackers".

En de andere 30% van de bugs? Dat zijn vooral logic bugs, die dus in elke taal gemaakt zouden kunnen worden. Daar staat wel tegenover dat zulke bugs makkelijker voorkomen kunnen worden omdat er beter op te testen is.

[Reactie gewijzigd door Jeanpaul145 op 23 juli 2024 08:56]

[Houtenklaas]

En daar heb je dus echt geen "internet" voor nodig. Dit is HET bestaansrecht van MPLS VPN's die volledig losgekoppeld zijn van het Internet. Daarmee is het probleem overigens niet opgelost, als een handige Harrie alsnog lokaal een internet breakout aansluit loop je nog steeds risico (reden voor staande voet ontslag). Ik vind het een angstig idee dat ook hier op Tweakers er vaak vanuit wordt gegaan dat "Internet" het enige IT middel is om sites met elkaar te verbinden.En voor de goede orde, een MPLS VPN is niet een VPN die over een internet access loopt, maar een uitloper die los van het internet in je eigen IT wolk uitkomt. Mobiel is dat ook keurig te bereiken met een private APN. Maar ja, een dergelijk aansluiting is al gauw 2 tientjes per maand duurder dan een willekeurige internet aansluiting. En in de "race to the bottom" zijn dat 2 tientjes die ervoor zorgen dat security wordt opgeofferd bij een aantal bedrijven.

[barbarbar]

VPN is ook echt niet de heilige graal zoals die vaak verkocht wordt. Twee jaar geleden nog lag een groot gedeelte van zakelijk Nederland plat omdat VPN verbindingen van Fortigate en ook Cisco lekken hadden die actief misbruikt werden. Zelfde met Citrix tijdje terug, toen moest stijl op sprong alles geüpdatet worden en konden veel mensen nog dagenlang niet werken.

Ik zie de vraag voor VPN ook nog soms voorbij komen, steevast wijs ik ze erop dat de versleuteling van https exact hetzelfde is en webservers veel vaker bijgewerkt en getest worden, en je dus alleen maar een vals gevoel van veiligheid creëert als je VPN gebruik als beveiliging.

Tenzij je zelf kabels gaat graven tussen als je locaties, en daar 24/7 fysieke beveiligers bij zet om afluisteren of fysiek inbreken tegen te gaan, heb je te maken met lekken die misbruikt kunnen worden. Ook bij jou private apn dienstverlener kan een lek ontstaan die misbruikt word, ben je dus net zo ver qua risico.

[Reactie gewijzigd door barbarbar op 23 juli 2024 08:56]

[Houtenklaas]

Heb je gelezen wat ik schreef? Citrix en Fortigate zijn internet based oplossingen. En je onderschrijft daarmee exact wat ik bedoel, de kennis - ook hier van besloten VPN's volledig los van het internet - is bedroevend te noemen. Alles wat aan het internet hangt kan per definitie lek zijn moet je uitgangspunt zijn bij een risk assessment.

En alles wat volledig los hangt van het internet - geen Fortigate of Citrix dus- geeft minder risico. Het risico is zeker niet nul, maar heel, heel veel minder dan een open internet verbinding.

Aanvullling: Ik neem aan dat je hierop doelt. Een "Man In The Middle" attack is niet heel bijzonder meer te noemen. Er van uitgaan dat een Fortigate certificaat altijd OK is, is vragen om ellende. Niet goed getest wat bij een security product eenvoudig een doodzonde is.

[Reactie gewijzigd door Houtenklaas op 23 juli 2024 08:56]

[themadone]

Mpls is een mooi oplossing om vestigingen aan elkaar te knopen, lekker private. Geldautomaten werken bijvoorbeeld op die manier.

Echter, hoe krijg je een mailtje bij een medewerker? Hoe doe je belastingaangifte vanaf de finance department? Hoe regel je douane papieren voor die export zending? Hoe track en trace je die container die op de boot staat?

Een bedrijf wordt gedwongen om deels connected te zijn, en natuurlijk kun je de boel segmenteren, maar zolang er een fysieke verbinding is kan het stuk.

[barbarbar]

Ik begrijp wel wat je zegt, maar ben het niet met je eens dat je dan minder risico loopt. Er hoeft maar op één plek een klein gaatje te zijn welke misbruikt wordt, om je hele bedrijf plat te leggen. Recente voorbeelden zijn universiteit maastricht waar een admin account bemachtigd werd en misbruikt. Maar bij bijvoorbeeld de colonial pipeline was het het facturatie en administratie systeem wat plat lag, waardoor de levering zelf is stilgelegd. Het ging daar niet om de aansturing van de kleppen o.i.d. wat niet meer werkte, maar omdat de administratie niet bijgehouden kon worden lag het bedrijf stil.

Hoewel je vanuit IT perspectief zeker een punt hebt, is het resultaat hetzelfde: je bedrijf ligt stil. In de context hier van de supermarktketen, die had door allerlei oorzaken dicht gemoeten. Nu is het het kassasysteem, maar het komt ook regelmatig voor dat de pin eruit ligt voor verschillende redenen. Resultaat is hetzelfde: winkel dicht en geen omzet.

Als KPN ooit te maken krijgt met een aanval van deze omvang, dan zit iedereen die via hun verbindingen hebben lopen met het probleem. Op een gegeven moment moet je vertrouwen op je leverancier, die ook weer vertrouwd op leveranciers. In die hele keten hoeft maar één minuscuul plekje te zitten die misbruikt word om je hele bedrijf plat te leggen. Die oneindig veel plekjes kun je onmogelijk allemaal afdekken. Al houd je je aan alle best practices, houd je alles netjes bij, reageer je binnen een minuut op een melding, dan nog ben je niet veilig voor aanvallen op je leveranciers. Dat is een risico die je moet afvangen met andere middelen dan puur alleen IT, zoals alternatieve (zonder IT) processen en/of verzekeringen.

[Reactie gewijzigd door barbarbar op 23 juli 2024 08:56]

[Houtenklaas]

Als er bij mij één raampje op zolder openstaat en bij de buren staan de deuren en alle ramen beneden wagenwijd open, is dan het risico dat er ingebroken wordt hetzelfde? Een admin account heeft niet zoveel waarde als ik niet bij de machines kan. Maar als die aan het internet hangen, dan is het allemaal een stuk minder lastig en kan je vanuit elke willekeurige plek op deze aardbol er bij. Daar zit wel degelijk een ander risico profiel aan vast.

Risico management zou verplicht moeten zijn om te ontdekken wat je risico's zijn en welk risico acceptabel is, maar vooral wat je moet gaan doen bij een dergelijke aanval. Melden dat "niks meer werkt" heeft weinig zin. Wel het verkrijgen van inzicht. En of het acceptabel is dat je bedrijf stilstaat. Als het antwoord "nee" is, dan is de volgende vraag wat je daartegen moet doen en dat vervolgens gaan inrichten, met "zero trust" in het achterhoofd.

Als ik een dikke TV en dure dingen achter mijn raam in het zicht leg, dan weet ik dat mensen dat kunnen zien die voorbij lopen. Daar is dan ook mijn hang- en sluitwerk op aangepast. Daar is een gedegen risico analyse aan vooraf gegaan. En dat is geen garantie uiteraard, het risico is nooit "nul". Maar zolang het bij de buren heel veel makkelijker is om binnen te komen, zijn die attractiever. De boeven die ook dat inzagen hadden echter niet op de hond van de buren gerekend Ook een vorm van risico mitigatie.

[Reactie gewijzigd door Houtenklaas op 23 juli 2024 08:56]

[aikebah]

Hangt natuurlijk wel af van wat voor communicatie je hebt. VPN biedt veel meer protocol-compatibiliteit aan. Als het enkel http-protocol is wat uitgewisseld wordt is tweezijdig TLS inderdaad net zo bruikbaar. Maar niet elk communicatieprotocol kan over https getunneld worden, terwijl VPN je gewoon eeen virtueel netwerk geeft waarover veel meer protocollen kunnen functioneren.

[laptopleon]

Er zijn allerlei prachtige oplossingen te verzinnen, maar zo lang er een IT-bedrijf bij betrokken is wat ‘er bij moet kunnen’ – zoals in het artikel – blijft het alleen al daarom mensenwerk.

Als je hier op tweakers regelmatig het nieuws leest, zie je zaken voorbij komen die je nooit allemaal vóór kunt zijn.

Wat dacht je bijvoorbeeld van de sms-hack met sim-kaarten die gekopieerd bleken door een fraudeur bij het telecombedrijf of de ‘Mercedes hack’ waar de eigen werknemers al in de fabriek de (digitale) sleutels kopieerden.

Persoonlijk zie ik daarom meer in een ‘Plan B’ voor noodgevallen, dan te proberen met alle geweld Plan A 100% waterdicht te maken.

[Houtenklaas]

De grap is dat 'Plan A waterdicht' maken op voorhand kansloos is. Er is ALTIJD risico. Alleen moet je proberen de drempel hoog genoeg te maken dat het voor de hackers teveel moeite gaat kosten. En met een 'Suplly chain attack' ben je dan alsnog de pineut. De SIM kaart fraudeur is echter wel een éénling die binnen zit, daar doe je weinig tegen. Maar dat is toch wel wat anders dan de internetdeur wagenwijd open zetten. Daarmee is het in ieder geval mogelijk om makkelijk aan te kloppen. Ringen maken, segmenteren en afscheiden van het internet waar mogelijk zijn relatief simpele ingrepen die het gelijk erg lastig maken om binnen te komen. Behalve dan met een supply chain attack.

[Stufipower]

Met de opmerking over Rust laat je alle andere lagen dan de applicatielaag buiten beschouwing. Dat wilde ik even zeggen. 👍

[naaitsab]

Zo veel mogelijk segmenteren is wel een van de beginselen van IT veiligheid. Echter in deze usecase kom je al snel klem te zitten.

Kassa systeem is ring A
Prijzen waar read-only gelezen worden door ring A is ring B, wordt door het hoofdkantoor beheerd (prijzen fluctueren)
Netwerk van hoofdkantoor zit in ring C, bijvoorbeeld VPN komt men in de systemen van ring B. Hier zit al direct de volgende kwetsbaarheid in. Je moet in ring B kunnen komen.
Kassa's sturen betaal bedrag naar ring D (PIN), hier is ook weer 2-weg verkeer nodig (is de betaling gelukt?)

Als ring C wordt aangevallen, hier zullen de meeste lekken zitten in de vorm van medewerkers (email voornamelijk) dan zal in deze usecase de kassa door kunnen draaien. Echter als zij in ring B uitkomen en zeg de database onklaar maken dan is Ring A ook kansloos en kan je alles sluiten.

Veel systemen zijn echter in verband met het grootste probleem namelijk gemak onveilig gemaakt. Denk aan de energiecentrale. Top dat je vanuit je luie stoel de boel kan monitoren en eventueel ook aansturen. Alleen kunnen derde dit ook. Enkel gegevens uitlezen en alle aansturing lokaal op een totaal losstaand netwerk draaien is wenselijk maar lastiger voor de medewerkers.

Dus ja minder dingen koppelen is een optie maar in de praktijk kom je al snel in een wespennest uit.

[Terrestrial]

Nee hoor wat jij hier stelt is uitstekend haalbaar, het 2-weg verkeer is geen probleem, het gaat er om waar je de connecties initieert. vaak kun je heel veel dingen ook oplossen met reverse proxies. Alleen in dit geval ging het om management software. Als je dan hetzelfde principe van segmentatie niet toepast op het management software verhaal krijg je dit soort grote problemen. Ik noem dit een ontwerpfout waar we van moeten leren.

[Havelock]

Net zoals die GGD export knop welke oetlul bedenkt nu zo iets dat iedere medewerker dit kan doen en op het internet kan verspreiden!

[PPie]

Net zoals die GGD export knop

Dat klinkt als een heel handige knop voor statistiek en dergelijke.
Deze had echter niet beschikbaar mogen zijn voor iedereen die de afspraken maakt, maar enkel voor vertrouwde personen die daadwerkelijk met dit soort statistieken bezig zijn.

[naaitsab]

Management software is weer inherent aan het menselijke gemaksdeel, dit is ook een van de grote veiligheidsproblemen in een gesloten netwerk. Kijk naar de SolarWinds 'hack'.

Het is fijn dat je niet in de auto hoeft te stappen voor elke scheet maar het is een flinke deur die open gebroken kan worden door derde. Zeker gezien de software nagenoeg altijd de link is tussen verschillende systemen/netwerken is dit een goudmijn voor hackers.

Hierin zou je iets kunnen bedenken dat je management systeem per netwerk is afgestemd en ook enkel op dat netwerk is te benaderen. Dit zie je in de praktijk eigenlijk nooit omdat het gewoon erg omslachtig is om goed te doen. In de praktijk zou je dan bijvoorbeeld 3 PC's hebben staan verbonden aan verschillende netwerken dmv VLAN's, welke de beheerder met een KVM switch aanstuurt.

[SkiFan]

De hele essentie van een Supply Chain aanval is ook dat de apparatuur niet aan internet hoeft te hangen. Dit netwerk werd juist besmet ondanks dat er wellicht helemaal geen gateway naar interet was, maar via de beheerssoftware.

Wellicht kun je je voorstellen dat juist een kassa wél aan een intern netwerk moet hangen, omdat anders er geen transacties kunnen plaatsvinden. Denk aan pin-tranacties, maar ook verkopen die in de ERP databse terecht moeten komen om nieuwe voorraden in te kunne kopen.

[klakkie.57th]

Maar de beheerssoftware had dus wel internet access en dat is iets wat strict gezien niet noodzakelijk is.
Ook alle backoffice taken kunnen perfect in een heel afgesloten proces/omgeving draaien, waar enkel strict noodzakelijke traffic toegrlaten wordt. Dit is gewoon niet zo “handig” en “moeilijker” in beheer.

In dit geval ben je dus afhankelijk van “kaseya” en of zij hun zaakjes wel op orde hadden en dat blijkt nu toch niet 100% waterdicht te zijn.

[Reactie gewijzigd door klakkie.57th op 23 juli 2024 08:56]

[SkiFan]

Je gaat er vanuit dat Kaseya inderdaad de boel op orde heeft, en doorgaans zijn updates om fouten op te lossen. Dus laat je de updates van Kaseya toe, en bam, je zit met een probleem.

[themadone]

Of je installeert een signed driver van Microsoft, een update op solarwinds etc etc.

Al die betweters hier hebben geen idee hoe het er in de echte wereld aan toe gaat. Zelfs banken hangen aan het internet, hallo internetbankieren. En natuurlijk zitten er 20 lagen tussen internetbankieren en de daadwerkelijke transactie afhandeling, maar zolang niet 1 van die lagen een stel typistes is zal ook dat kapot kunnen.

[SkiFan]

Precies, je bent altijd afhankelijk van anderen. Het is dit of gaten oplopen doordat je niet update.

[Rouwette]

Lekker makkelijk meteen de kasboeken naar de boekhouding. Winsten per dag, per uur per kassa inzichtelijk…

[jbhc]

De vraag is of het ook echt nodig is. Dat 'lekker makkelijk' zorgt vaak juist voor problemen.

[JackBol]

Hoe denk je dat supermarkten hun voorraad beheren? Een keer per week een floppy via de post naar het hoofdkantoor?

[jbhc]

Systemen fysiek van elkaar scheiden is wel een van de oplossingen om dit soort dingen te voorkomen.

Ik verbaas mij al vrij lang over hoeveel dingen er niet alleen aan het internet maar ook aan elkaar geknoopt worden.

Het is 'ontzettend makkelijk' totdat het mis gaat. En dat geldt voor de complete digitalisering die momenteel op alle denkbare vlakken aan de gang is en waar maar niemand naar de risico's lijkt te willen kijken.

[Reactie gewijzigd door jbhc op 23 juli 2024 08:56]

[nokiaClassic]

Systemen fysiek van elkaar scheiden is wel een van de oplossingen om dit soort dingen te voorkomen.

Het isoleren van systemen kan niet omdat die systemen essentiële gegevens doorgeven.

Het is 'ontzettend makkelijk' totdat het mis gaat. En dat geldt voor de complete digitalisering die momenteel op alle denkbare vlakken aan de gang is en waar maar niemand naar de risico's lijkt te willen kijken.

Ik denk eerder dat jij niet naar de voordelen kijkt. Er wordt enorm veel geld bespaart door het digitaliseren van informatiesystemen. Neem als voorbeeld Walmart (een supermarktketen) doordat ze zijn over gegaan op een digitaal voorraadsysteem maken ze een omzet van 600+ dollar per square foot, en hun gemiddelde concurrentie maar rond de 300-400 dollar. Dat is een enorm concurentievoordeel.

Er zijn nog een meer voordelen, zoals verbeteringen in coordinatie, besluiten, productiviteit ect. Het punt is de verhoging van efficient bespaard veel geld. Als het bedrijf het niet zou doen gaat het out of business door de concurrentie die het wel doet.

De kosten die ransomware zou kunnen veroorzaken zijn in verhouding accepteerbaar. Daarnaast zijn de grote bedrijven verzekerd tegen zulke aanvallen.

[jbhc]

Ik denk eerder dat jij niet naar de voordelen kijkt. Er wordt enorm veel geld bespaart door het digitaliseren van informatiesystemen.

Waarom denk je dat ik niet naar de voordelen kijk?

Ik denk alleen dat er te weinig naar de nadelen wordt gekeken. Dat is iets wat imho al jaren aan de gang is met de digitalisering van bijna alles. Men kijkt primair naar de directe besparing en gemakken maar de indirecte kosten, zoals onderhoud daar wordt maar weinig naar gekeken en liever niets aan uitgegeven.

[Reactie gewijzigd door jbhc op 23 juli 2024 08:56]

[laptopleon]

Dat is geen kwestie van voorkeur. Elke euro die zo’n supermarktketen uitgeeft, gaat af van de rendabiliteit en maakt de kans op overleven net zo goed kleiner.

Achteraf is het makkelijk praten. Voor hetzelfde geld was het een heel ander type hack geweest.

Als de IT waterdicht is, verzinnen dit soort afpersers wel weer iets anders. Dreigen met een gewelddadige stroomstoring, ontvoeren van een familielid van de directeur… als je je niet aan de wet stoort zijn er opties genoeg.

[Aphelion]

Real-time prijs wijzigingen. Koppelingen met loyalty/giftcard systemen. Voorraadinformatie. Bestelfunctionaliteit voor een product dat niet op voorraad is in de winkel. Producten retour kunnen nemen uit een ander filiaal.

[klakkie.57th]

En dat moet over het internet ?
Kan toch perfect over private WAN ? Dit is hoogstwaarschijnlijk een pure management beslissing om dingen “makkelijk” en “goedkoop” out te sourcen.

Alles moet “snel” , “agile”, “goedkoop” en liefst de verantwoordelijkheid bij iemand anders leggen.

[Citroentjuh]

Een kassa in een grote winkelketen heeft toch echt wel verbinding met het hele bedrijf nodig alleen al omdat prijzen per dag kunnen wisselen. Verder wordt er ook veel gebruik gemaakt van functies om in realtime de omzet per afdeling, filiaal etc te volgen.

[PPie]

Een kassa in een grote winkelketen heeft toch echt wel verbinding met het hele bedrijf nodig alleen al omdat prijzen per dag kunnen wisselen.

Daarvoor is absoluut geen verbinding nodig met het hele bedrijf.
Enkel met één computer (wellicht zelfs binnen de winkel) die de prijzen mag aanpassen.

Verder wordt er ook veel gebruik gemaakt van functies om in realtime de omzet per afdeling, filiaal etc te volgen.

Ook hiervoor is het niet nodig om een verbinding met het hele bedrijf te kunnen opzetten. Enkel met één computer (wellicht zelfs binnen de winkel) die de transacties ontvangt.

[Citroentjuh]

Ja ik snap dat het geen rechtstreekse verbinding hoeft te zijn maar dan is er alsnog via een tussenschakel wel verbinding nodig.

[PPie]

Maar niet naar iedere andere computer binnen het hele bedrijf.
En dat beperkt de mogelijke aanvalsmogelijkheden.

[Citroentjuh]

Nee daar heb je een goed punt en snap ik ook maar reageerde meer op moonlander omdat het leek of hij vond dat een kassa helemaal stand alone zou moeten/kunnen zijn

[dakka]

en hoe geeft die ene computer de informatie door aan de POS's ? iedere 10 min een uitdraai maken en updates invoeren voor de 10.000+ producten?

[PPie]

en hoe geeft die ene computer de informatie door aan de POS's ?

Heel simpel. Je pust de nieuwe prijzen vanaf de centrale computer naar de kassa's, of je doet een pull van de kassa's van de centrale prijslijst.
Daarvoor is absoluut geen verbinding nodig met het hele bedrijf.

Maar even een wedervraag: Hoe zou jij het doen als wel het hele netwerk open staat? Toch ook op dezelfde manier? Dus waarom zou het hele netwerk dan open moeten staan, wat enkel maar onveilig is?

[Lapa]

Maar ik zie ook geen enkele aanwijzing dat het bij deze supermarkt NIET op de manier die jij beschrijft was geregeld. Die werkwijze beschermt je niet of nauwelijks tegen deze aanval. Het is niet nodig dat de kassa's zelf geïnfecteerd zijn (wat ze dus hoogstwaarschijnlijk ook niet zijn) om het bedrijf plaat te leggen.

[dakka]

Wat Lapa als reactie dus al gegeven heeft, al heb je nog zo'n grote airgap, waar data is, is een een mogelijkheid.

En als antwoord op je wedervraag: Ik zou de POS systemen gewoon via een API verbinden voor het updaten van de dingen waarvan er weinig foute data over heen en weer zou kunnen, volgens mij is dat al zo maar helaas zit je dan nog steeds met software updates van de systemen zelf

[PPie]

Wat Lapa als reactie dus al gegeven heeft, al heb je nog zo'n grote airgap, waar data is, is een een mogelijkheid.

Natuurlijk is dit zo. Er is altijd een mogelijkheid voor misbruik of hacken.
Echter is er wel een groot verschil tussen 'Een kassa in een grote winkelketen heeft toch echt wel verbinding met het hele bedrijf nodig' zoals Citroentjuh schreef en 'Enkel met één computer (wellicht zelfs binnen de winkel) die de prijzen mag aanpassen' zoals ik schreef. Daarmee is je attack surface vele malen kleiner.

En als antwoord op je wedervraag: Ik zou de POS systemen gewoon via een API verbinden voor het updaten van de dingen waarvan er weinig foute data over heen en weer zou kunnen, volgens mij is dat al zo maar helaas zit je dan nog steeds met software updates van de systemen zelf

Zoals ik al schreef. Mooi dat we op een zelfde soort oplossing uitkomen

[SkiFan]

Ja, naar het kassa-beheerssysteeem, maar buiten dat ook naar:

- De DC's voor de policies
- De management server voor het beheer
- De DNS voor de lookups
- De DHCP voor de IP Adressen
- De SCCM bak voor het beheer van de software
- De Deployment omgeving
- De WSUS voor de Windows Updates
- De file-Servers omdat er ongetwijfeld af en toe iets handmatig gedaan moet kunnen worden.

Je ziet het, je mag nogal wat regels op de firewall aanmaken. Vergeet er een en iedereen piept.

[Reactie gewijzigd door SkiFan op 23 juli 2024 08:56]

[PPie]

Je ziet het, je mag nogal wat regels op de firewall aanmaken. Vergeet er een en iedereen piept

Helemaal waar. Je zal wat gaten moeten prikken in de firewall.
Mooie van alles dichtzetten en dan weloverwogen openzetten, met filterregels op de verschillende diensten die verkeer enkel toestaan vanaf de bedoelde servers (Dus bijvoorbeeld een DHCP ACK enkel vanaf de DHCP server) is dat het gelijk duidelijk is dat er een regel vergeten is, terwijl de attack surface zo klein mogelijk is.

[Cuvall]

Onze voorraden staan tegenwoordig online inzichtelijk voor de klanten. Zonder kassa koppeling word het er vervelend om dit kloppend te houden. Het is nu al lastig om alles bij te houden met alle koppelingen. Nee, tegenwoordig zal die kassa toch echt een aansluiting moeten hebben.

[Mathijs]

Er zijn genoeg voordelen, zeker voor grote ketens, om dat wel te hebben.
Je denkbeelden hebben een update nodig vrees ik.

[Houtenklaas]

Wat @moonlander zegt is dat het niet aan internet hoeft te hangen. En daar heeft hij 100% gelijk in. Zoiets als dit dus. De verbinding naar het internet is daarbij volledig naar keuze of je dat wel of niet wenst en voor de werking van je VPN totaal niet nodig. Los van het internet loop je simpel enorm veel minder risico. Door een supply chain attack kan je overigens nog steeds "de Sjaak" zijn.

[Cyberpuppy]

Op zich is een kritische houding t.o.v. alles aan internet hangen wel goed.

Het grootste probleem zit momenteel zit niet bij de beheerders. Ja, ook daar is er gebrek aan kennis, maar als ik zie hoe het gemiddelde softwarepakket in elkaar steekt dan vind ik het eigenlijk nog best meevallen met die aanvallen.

Kassasysteem ziet er bij de gemiddelde MKB klant als volgt uit:
-Een luie kassaleverancier die enkel nog remote support wil leveren, dus dan ga je niet moeilijk doen met VPN tunnels etc..
-Standaard Windows 10 op die systemen. Dus elke medewerker die even iets moet opzoeken op internet gebruikt wel even de kassa pc
-Virusscanner, waarom zou je
-Apart VLAN voor de kassa's, VLAN wat is dat?
-Wachtwoord., Check, is aanwezig. Zie het gele briefje op de monitor voor admin toegang

En dat dus alleen al op netwerk niveau. Kun je nagaan wat er in de software zelf nog allemaal mis kan gaan.

[nexhil]

Niet. Ga er maar vanuit dat we dit vaker gaan zien.

[michelr]

Zolang er betaald wordt en het een lucratief model is.

[field33P]

Én zolang betaling in ontvangst genomen kan worden. Zodra regulatoren korte metten gaan maken met het wilde westen wat cryptocurrency is zal het volume aan ransomware-aanvallen flink afnemen.

[Havelock]

Geld overmaken naar Cryptocurrency(anoniem digitaal geld) is vaak het probleem!
Je hoort vaak bij dit soort aanvallen dat ze geld moeten overmaken naar een cryptocurrency platformen!
Komt alleen maar omdat dan deze manier niet te traceren zijn waar geld naar toe gaat.
Dit soort systemen werk alleen maar criminelen in de hand!
Als de Amerikaanse regering dit verbiedt of een ander land waar crypto munten geaccepteerd is en in gewisseld kan worden voor echt geld dan heb al heel deel van de keten oplost denk ik(maar dan verzinnen wel weer iets nieuws waarschijnlijk)!
Maar blijkbaar heeft de Amerikaanse regering belangen bij om het in stand te houden van deze digitale munten.
Anders hadden ze het al lang aan banden gelegd.

Of zie ik het nu verkeerd!

[field33P]

Maar blijkbaar heeft de Amerikaanse regering belangen bij om het in stand te houden van deze digitale munten.
Anders hadden ze het al lang aan banden gelegd.

Het is eerder het geval dat er in het verleden terughoudend mee om is gegaan (in tegenstelling tot wat de cryptocurrency-community met hun vervolgingscomplex jarenlang beweerde). Dat is op zich geen verkeerd principe, maar dat heeft wel jarenlang een festijn voor witwassen, drugshandel, ransomware en andere vormen van georganiseerde criminaliteit gefaciliteerd.

[Michael_OsGroot]

Ik denk dat het alleen maar erger wordt. Om met een analogie te spreken: als je gewoon 1 winkel hebt met een slot op de deur dan kunnen er realistisch gezien 1 of 2 inbrekers per nacht binnen proberen te komen. Daarvoor moeten ze fysiek aanwezig zijn en de politie kan ze meteen meenemen als ze gezien worden. Zelfs als je dan een matig slot hebt, dan ben je nog relatief veilig.

Nu kunnen alle virtuele inbrekers vanuit de hele wereld bij alle winkels ter wereld alle deuren praktisch onbeperkt proberen te forceren. Dan is de kans dat ergens wordt ingebroken natuurlijk veel groter. Daarbij geldt ook nog dat de politie in Zweden er weinig aan kan doen als de aanval wordt gepleegd vanuit een tropisch eiland, of een land waar men geen uitleveringsverdrag mee heeft.

[Reactie gewijzigd door Michael_OsGroot op 23 juli 2024 08:56]

[Havelock]

Daarom moeten landen(politici en bedrijven) internationaal samen werken!
Maar helaas gaat dat niet omdat iedereen andere belangen heeft en ander visie hoe ze tegen dingen aan kijken!
Waardoor het lastig om internationaal afspraken te maken en het samenwerken moeilijker maakt.

[Visgek82]

Deze ellende houdt op als men stopt met betalen. Als er niks te halen is , houdt het vanzelf op.

[Pietervs]

Gezien het feit dat er verzekeringsmaatschappijen verzekeringen aanbieden die uitkeren bij een ransomware aanval lijkt het erop dat er in de toekomst alleen maar vaker betaald zal gaan worden.
Voordeel is wel dat die verzekeringsmaatschappijen eisen stellen aan de beveiliging van je ICT, waarmee de beveiliging voor de bedrijven die zo'n verzekering willen in ieder geval naar een behoorlijke standaard opgekrikt wordt.

[Blokker_1999]

Noem eens 1 vorm van criminaliteit die door de jaren heen succesvol is aangepakt en daardoor verdwenen.

Criminaliteit loont.

En vertrouwen op brakke software? Er is geen software zonder fouten in. Die bestaat simpelweg niet. Zelfs de meest up to date systemen bevatten kwetsbaarheden. Het zal altijd een gevecht zijn tussen het oplossen van die bugs en het vinden van die bugs om te kunnen misbruiken.

[field33P]

Noem eens 1 vorm van criminaliteit die door de jaren heen succesvol is aangepakt en daardoor verdwenen.

Autoradio's worden tegenwoordig nauwelijks nog gestolen. De klassieke bankoverval is ook nagenoeg verdwenen in het westen.

[Blokker_1999]

OK, maar hoe komt dat?

Autoradio's worden niet meer gestolen omdat de tijd van losse DIN radios voorbij is. Alles zit geïntegreerd in het dashbord. Er valt geen autoradio meer te stelen. Het is dus niet dat we die misdaad hebben weten aan te pakken op een manier dat ze ermee gestopt zijn omdat het niet meer loont. Het is vanzelf uitgestorven omdat datgene wat ze stelen niet meer te stelen is. Autoinbraken gebeuren nog altijd, alleen is het doelwit veranderd. Men gaat vandaag bijv. achter airbags aan.

En ook bankovervallen horen in dat rijtje thuis. Waarom vandaag nog een bank overvallen, er is amper geld aanwezig in een bank. Als jij vandaag naar de bank gaat en vraagt om even 5000 euro van je rekening te halen dan zal de bank zeggen: kom binnen 2 dagen nog eens terug. We hebben zoveel hier niet liggen. Dus opnieuw iets dat verdwenen is ten gevolge van veranderingen in het doelwit van de criminaliteit, niet zozeer omdat we het goed hebben weten aan te pakken. Waarom denk je dat ze tegenwoordig bankautomaten laten ploffen? De enige plaats waar een bank nog cash geld heeft zitten.

[raro007]

Brakke software die door brakke IT personeel gemaakt is?
En dat de internet te veel open is en je moeilijk achterhalen is wie het gedaan heeft.

[Soeski]

Ik ben wel benieuwd hoe dit heeft kunnen gebeuren inderdaad - het lijkt alleen bedrijven getroffen te hebben die (on-premises) een eigen Kaseya VSA hebben draaien, en niet SaaS.
Was deze dan wel geheel up to date of zit er een vulnerability in, die ook in de SaaS variant kan/zal zitten?
Kaseya an sich brak noemen is denk ik niet zomaar terecht.

[JeroenH]

Als ik het goed begrijp heeft Kaseya zelf hun SaaS-versie offline gehaald, maar als je het on-premises hebt zul je dat zelf moeten doen. Hoe dan ook, je bent de beheer-functionaliteit (waar je Kaseya voor hebt) voorlopig wel kwijt.

[Soeski]

Dat zeker. Wij hebben jaren Kaseya gebruikt en zijn overgestapt naar andere oplossingen (sinds een jaar nu SaaS, voorheen ook on-premises). Los daarvan ben je als IT dienstverlener echt onthand, en erger - als je klanten de Sjaak zijn dan heb je wel even wat werk te doen. En zij zullen jou toch aansprakelijk stellen.

[Reactie gewijzigd door Soeski op 23 juli 2024 08:56]

[L0g0ff]

Ik ben wel benieuwd hoe dit heeft kunnen gebeuren inderdaad - het lijkt alleen bedrijven getroffen te hebben die (on-premises) een eigen Kaseya VSA hebben draaien, en niet SaaS.
Was deze dan wel geheel up to date of zit er een vulnerability in, die ook in de SaaS variant kan/zal zitten?
Kaseya an sich brak noemen is denk ik niet zomaar terecht.

Dat kwam volgens mij omdat kaseya meteen zijn eigen (saas) vsa's uitgezet had.

edit:
bron: https://status.kaseya.net.../60df588ba49d1e05371e9d8b

[Reactie gewijzigd door L0g0ff op 23 juli 2024 08:56]

[Rataplan_]

Dus als er in Linux of Windows een 0day wordt ontdekt ligt dat aan je personeel? Ouch.

[nelizmastr]

Want het IT personeel heeft de software gemaakt? Het aanleveren van de patches is de verantwoordelijkheid van Kaseya, het bijhouden van het IT personeel.

Zelfs al zit je op het allernieuwste patch level, dan nog ben je voor deze ransomware vatbaar. Dat noemen ze een lek vinden die de ontwikkelaar ook nog niet heeft gevonden, typisch iets voor hackers.
IT personeel kan hier niets aan doen. Het balletje ligt bij Kaseya zelf.

[JaimeJeter]

Makkelijk wel om de software brak te noemen. Misschien is REvil wel gewoon zó goed. Is iedere sprinter die het aflegde tegen Usain Bolt een brakke sprinter?

[Trommelrem]

Niet. Het blijft verschuiven. Gelukkig zijn hierdoor terroristische aanslagen met bommen en explosies verleden tijd. Over enkele jaren zullen terroristen simpelweg de stroom van alle supermarkten een maand lang afsluiten, zodat de supply chain voor levensmiddelen stopt. Voor een terrorist is dat veel effectiever en makkelijker dan een plaatselijke explosie.

[jqv]

Dat van die brakke software is de vraag wanneer dit beter gaat.

En het willen uitbuiten of infiltreren zal nooit voorbij gaan. Er zal altijd een groep mensen zijn die dit op 1 of andere manier zal blijven doen. En in het digitale tijdperk is het nog makkelijker geworden om uit de greep te blijven van de overheid.

[Noresponse]

Dit soort lui maken de wereld om ons heen stukje bij stukje kapot door niet alleen bedrijven te gijzelen, of derden maar ook medewerkers en gezinnen. Alleen in Nederland hebben we het over honderden bedrijven. Het wordt tijd dat we bepaalde verbindingen buiten de EU gewoon dichtgooien en meer gaan werken met beveiligingen zoals buffers , geregistreerde codes op moederborden, hardware. Het is wat BlackBerry ooit al eens aan heeft gegeven dat het internet zichzelf gaat ondergraven door onzichtbaar hacks, aanvallen en er niets tegen kan doen tenzij er controle is wie de gebruikers zijn en wie er op het netwerk mag komen.

[computerjunky]

Als sukkels stoppen met betalen. Zolang betalen een optie is blijft het leuk verdienen voor criminelen.

[Edgarz]

Niet.
Software en de supply chain zal altijd kwetsbaar blijven.
En dit soort gasten pakken...lang leve de anonimiteit van internet toch?

[project.bobby]

Ik ben ook benieuwd wanneer bedrijven er weer voor gaan kiezen om dingen op papier te doen ipv. digitaal.

[bamboe]

Ik blijf er bij dat digitale coins en zeker bitcoin dit soort afpersingen gemakkelijker maken en mischien zelfs extra uitnodigen.
De meeste andere betalings methodes via banken in dubieuze landen word steeds verder aan banden gelegd. Daar in tegen kan je de bitcoins die je hier mee verdiend omzetten in andere coins en op een gegeven moment is het niet meer te achterhalen.

[SniperEye]

Ik lees vele comments die gaan over slecht systeembeheer, of brakke servers en dat soort kreten. Dat schaar ik onder 'victim blaming'. Het is net als met zakkenrollers en al het andere uitschot, namelijk de pakkans. Als de kans dat je gepakt wordt groot wordt, dan ga je wel iets anders zoeken. Punt is dat het over het www gaat en de boef dus op een zonnig eiland kan vertoeven met zijn laptop op schoot.

Vroeger liep je een bank binnen met een groot geweer. Nu dus vanaf een zonnig eiland met een laptop.

[Juliuth]

Hierbij vergeet je wel dat je voorbeeld van zakkenrollen vaak ook een opportunistische crime is. Als jouw portemonnee half uit je zak steekt en je al de heletijd op je telefoon zit te turen in de tram. Is de kans dat iemand zich uitgedaagd voelt om toe te slaan significant hoger.

[Calypso]

Dit is toch wel enigszins 2010 denken. Tegenwoordig is het veel geraffineerder: men zoekt het slachtoffer uit op basis van bijv. leeftijd (want oudere mensen hebben vaak wat meer geld is de gedachte, zijn makkelijker te rollen en als ze via een pas afrekenen gebruiken ze bijna altijd nog een PIN code), vervolgens "volgen" ze het slachtoffer om PIN code te achterhalen en rollen ze de PIN pas. Veel meer opbrengsten, en vaak een kleinere pakkans.

Precies zo is het met dit soort cybercriminaliteit. Vroeger wilde men het "laaghangend fruit" pakken, tegenwoordig kijken ze naar een target. Kaseya is best wel een behoorlijke naam in de wereld van remote beheer, dus dat is een interessant slachtoffer: wie weet waar je allemaal binnen kunt komen wanneer je Kaseya te pakken hebt. En dan gaat men zoeken, targetten, etc etc.

Zo gaan de echt serieuzere groepen tegenwoordig te werk - degenen die zich met klassiek zakkenrollen bezighouden zijn een stuk minder geraffineerd en lopen niet zomaar tegen een lek bij bijv Kaseya aan.

[kodak]

Als je meent dat dit geen gelegenheidscriminaliteit is dan mag dat eerst wel ergens uit blijken. Er is namelijk nooit zomaar minder gelegenheid geweest omdat criminelen nu meer lijken te gaan voor winst of ander slachtoffers. De software die de bedrijven gebruiken, het gebrek aan segmenteren, gebrek aan backups enz zijn er niet pas sinds 2010. Wel zijn bedrijven en mensen steeds meer uit gaan besteden om zelf goedkoper uit te zijn en bijvoorbeeld meer winst te nemen in plaats van de klanten en zichzelf behoorlijk te beschermen als een crimineel hun kiest. De fouten waardoor het hiet mis gaat zijn niet zomaar heel bijzonder omdat men er tot nu toe mee weg leek te komen geen slachtoffer te zijn.

[Noresponse]

Gebruikers zijn makkelijk over te halen zowel jongeren als ouderen en zie dit ook steeds meer dat mensen persoonlijk benaderd worden en dat komt mede door social media. Als je zelf al aangeeft op facebook, linkin dat je bij bedrijf X werkt ben je al een doelwit. Zo worden ook medewerkers van telecombedrijven, telecom winkels benaderd om informatie te geven aan criminelen voor een bedrag per gebruiker en dit was een tijdje geleden ook al op het nieuws en moet zeggen dit zelfde schijnt ook bij andere bedrijfstakken te gebeuren waar klantengegevens worden gebruikt voor een dienst.

[Andros]

Hij heeft wel een punt. Al hangt die portemonnee aan een touwtje half naast je broek te bungelen, ze hebben er gewoon met hun tengels af te blijven, punt. Er is nooit een reden om criminaliteit goed te lullen, nooit.

[The Zep Man]

Tegelijkertjid is er wel een verschil.

• Een portemonnee in jouw zak bevat spullen die van jou zijn.
• Een gecompromitteerd systeem bevat vaak ook gegevens die van een ander zijn.

Over het eerste ben je alleen voor jezelf verantwoordelijk. Over dat laatste ben je ook verantwoordelijk naar de eigenaren van de betreffende gegevens. Als bij een aanval blijkt dat niet security best practices zijn gehanteerd en dat je nalatig bent geweest, dan ben je zowel slachtoffer van de aanval als (mede)dader van de gevolgen.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 08:56]

[Primal]

Ik snap jouw redenering, maar die is wel erg gebaseerd op een standpunt waarin je ervanuit gaat dat iedereen voldoende heeft om in de basisbehoeftes van het leven te kunnen voorzien. Wanneer dat niet zo is, dan ...

[SMGGM]

Correct, al moet je als goede huisvader geen opportuniteiten maken. Als je op café bent en je laat gewoon je portefeuille achter aan een tafel, dan zal de gelegenheid de dief maken.

Je zou dan hetzelfde kunnen zeggen van IT beveiliging. Als je als bedrijf een wanbeleid hebt op vlak van IT, dan zal je mogen verwachten dat je al sneller het slachtoffer zal worden.
Ik werk zelf in de financiële sector en hier is er nagedacht over zowel het IT beleid als de gebruiker zelf. Always on VPN, 2 factor authentication, geen admin rechten, geen toegang tot persoonlijke mail / online opslag,... maar ook iedere werknemer (en dan letterlijk iedereen dat aan een computer zit) krijgt maandelijks een verplicht 10 min training over een topic over veiligheid (telkens een ander topic zoals wachtwoordbeheer, mail beveiliging, phishing, anti-witwas, factuur fraude,...).
Al die dingen moeten natuurlijk wel vanwege de verzekeringen, maar kan elk bedrijf wel aanraden. Zeker met thuiswerk want dit maakt het toch allemaal wat complexer (even aan een collega vragen van een mail die je hebt gekregen is moeilijker, iets privé doen op je werklaptop zal al sneller gebeuren,...).

Niets is natuurlijk onmogelijk, maar ik ga er vanuit dat ons bedrijf geen laaghangend fruit is. Het moet dan al een gerichte aanval moeten zijn om een ietswat hogere kans te hebben op slagen.

[PhWolf]

Let op ik praat de actie van deze hackers niet goed, maar wil wel even advocaat van de duivel spelen omdat je zo stellig bent. Mag iemand geen brood stelen als diegene een gezin met kinderen moet voeden en geen andere mogelijkheid ziet? Dat is sec gezien ook criminaliteit namelijk.
In Nederland zijn we niet perfect maar hebben we wel voor vrijwel iedereen een prachtig sociaal vangnet maar er zijn veel plekken waar dat niet zo is. Sterker nog op veel plekken worden bepaalde groepen actief tegengewerkt om mee te kunnen doen met het normale leven. Het is dan nog maar de vraag in hoeverre een individu voor 100% verantwoordelijk is voor zijn pad naar criminaliteit. Het zou ons sieren hier eens over na te denken de volgende keer dat we oordeel willen vellen over iemands gedrag.

[litebyte]

Mijn vrouw van buitenlandse afkomst snapt nooit waarom in Nederland vaak de schuld van een misdrijf wordt doorgschoven naar het slachtoffer...dan had je daar niet moeten lopen....dan had je je niet zo moeten kleden....dan had je je fiets daar niet moeten neerzetten...dan had je je raam maar moeten dichtdoen.

Een idiote vorm van waarden en normen verwaarlozing.

[Groningerkoek]

Dat komt omdat wij ook geloven in een stukje eigen verantwoording, veel criminaliteit komt voort uit gelegenheid en hoe gemakkelijker je het maakt des te meer kans je loopt om slachtoffer te worden.

[litebyte]

Ah! Het bekende 'een stukje' Dat stukje, waar stopt dat? Stopt dat bij de eigen verantwoording om bijvoorbeeld niet met een korte rok door de stad te lopen, laat staan na 2400 uur, of als bejaarde voor niemand meer open te doen? Of om je dure motorfiets altijd binnen in een garage (vast aan een ketting te leggen)?

Die zogenaamde verantwoording schuift steeds verder op in Nederland. op een gegeven kan dat niet meer, dan veranderd verantwoording in het recht in eigen hand nemen.

[Groningerkoek]

Er is geen keiharde grens, en ongeacht wat jij of ik ervan vinden werkt het wel zo in Nederland dat je een risico verkleinende inspanning dient te leveren in veel gevallen. Daarom betaald de verzekering niet uit als je fiets niet op slot stond of je de achterdeur open laat staan of je een laptop in zicht op de achterbank had. Ik ben ook van mening dat men van anderen en hun spullen af moet blijven en dat gelegenheid geen excuus is maar we weten ook allemaal dat veel mensen hier heel anders over denken en met die wetenschap rekening houden vindt ik zelf niet zo verkeerd.

En die motor, dat gebeurt nu ook al, oude vriend had een zelfgemaakte Custom van over de 50K waarbij diefstal niet werd vergoed als die buiten stond.

[kodak]

We hebben het hier niet over allerlei soorten situaties maar waar anderen betaald worden (of gegevens krijgen) om zelf minder te menen te hoeven doen.
En dan ook nog in situaties waarbij dat verschuiven zorgt dat anderen die daar vervelende gevolgen van kunnen ondervinden niet zomaar minder risico lopen.
Door zomaar te gaan klagen klinkt het meer alsof het onbegrip vooral gaat om verantwoordelijkheid maar af te kunnen schuiven, niet om er redelijk over te willen zijn.

[theobril]

Ja bejaarden kunnen zich vaak slecht verweren, Het is hun eigen verantwoording als ze zich toch op straat begeven. Kan, maar dan moeten ze niet verbaasd zijn als ik los ga.

[Groningerkoek]

Je begrijpt het verkeerd, het gaat erom dat men hier verwacht dat je een inspanning verricht om het risico te verkleinen. De ene keer is dat een blokje om lopen de andere keer je fiets op slot zetten of je ramen dicht doen als je even snel naar de winkel gaat. Niemand hier die verwacht dat ouderen niet buiten komen.

[Blokker_1999]

Euhm nee. Dat is echt victim blaming wat je hier doet.

Het is toch erg dat je als mens een blokje om moet lopen om het risico te vermijden overvallen te worden. Dat je als vrouw je de dag van vandaag maar beter zedig kunt kleden als je niet gemolesteerd wenst te worden, dat je als homokoppel maar beter 2m uit elkaar kunt wandelen als je niet in elkaar wenst geslagen te worden.

Moeten we criminaliteit nu zo gaan normaliseren dat we moeten gaan zeggen: ja, maar het slachtoffer had ook actie x en y kunnen nemen om het te voorkomen. Dan ben je wat mij betreft toch echt de schuld bij de verkeerde mensen aan het leggen, dan ben je het probleem van de verkeerde kant aan het aanpakken.

[Patriot]

Moeten we criminaliteit nu zo gaan normaliseren dat we moeten gaan zeggen: ja, maar het slachtoffer had ook actie x en y kunnen nemen om het te voorkomen. Dan ben je wat mij betreft toch echt de schuld bij de verkeerde mensen aan het leggen, dan ben je het probleem van de verkeerde kant aan het aanpakken.

Ik vind dat ook wel een vrij extreem standpunt. Het is onrealistisch om te doen alsof er geen manieren zijn waarop je over jezelf kunt afroepen dat je slachtoffer wordt van crimineel gedrag.

Bij ons in de stad heb je een kruispunt wat erg onoverzichtelijk is en je als fietser voorrang hebt op auto's die van links komen (en een stopbord passeren) en je slecht kunnen zien. Je kunt met een redelijke vaart aanrijden en ervan uitgaan dat iedereen echt stopt en dus de tijd heeft om te zien, maar dan roep je het over jezelf af om eens aangereden te worden door een auto.

Zeker als je daar ook nog bij telt dat je vaak niet alleen verantwoordelijk bent voor jezelf maar ook voor anderen, dan is het wel belangrijk dat je de risico's die je loopt mitigeert. Als supermarktdirectie en systeembeheer draag je een verantwoordelijkheid naar de rest van het personeel (en, in mindere mate, de klanten) om de continuïteit van het bedrijf te garanderen.

Daarmee wil ik verder niet zeggen dat er hier sprake is van het niet nemen van verantwoordelijkheid, maar het idee dat je nooit iets mag zeggen over hoe een slachtoffer zich heeft gedragen vooraf aan het gepleegde feit is wat mij betreft ook onzinnig zwart-wit.

[Groningerkoek]

Ja dat is ook erg, maar helaas is dat wel de wereld waarin we leven.

Victim-blaming of niet, we weten allemaal dat bepaalde handelingen risico verhogend werken ongeacht of we vinden dat het wel moet kunnen.

[Blokker_1999]

Dat heeft dan ook helemaal niets met eigen verantwoording te maken. En hoewel het inderdaad soms zo kan zijn vind ik het zeer spijtig dat jij dit normaal lijkt te vinden en dat mensen daarom zelf ook maar enige verantwoordelijkheid zouden moeten voelen als zij op zo een manier slachtoffer worden. Als je morgen een tienerdochter hebt en zij wordt misbruikt, zou jij het dan OK vinden als de rechter de daders vrijuit laat gaan omdat je dochter toch net iets te weinig kleding droeg bijvoorbeeld?

Dat is toch niet de wereld waarin we moeten leven. Dat heeft ook niets meer met eigen verantwoordelijkheid te maken. Dat noem ik het normaliseren van criminele feiten en dat jij je maar moet aanpassen aan de wensen van de criminelen als je door hen met rust gelaten wenst te worden.

[Groningerkoek]

Natuurlijk moet iedereen met zijn poten van anderen afblijven en natuurlijk moet strafbaar gedrag worden bestraft dan is om mij helemaal geen discussie maar de maatschappij waarin wij leven kent wel de realiteit dat sommige handelingen een hoger risico met zich meebrengen dan andere handelingen, dat ik dit inzie zegt geenszins dat ik criminaliteit goed wil praten, maar jij zou dus ook niet boos worden op je dochter als je hoort dat ze afgelopen nacht door het Vondelpark gekleed in een topje en een minirokje naar huis is gelopen, want geeft niets dat je meer risico neemt een ander heeft gewoon van d'r af te blijven.

Vindt het ook bizar dat bij een hack bij een bedrijf de comments hier vol staan dat bedrijven zelf meer moeten doen ter voorkoming, maar zodra ik dit principe breder trek vinden velen dit schijnbaar maar onzin want je hebt van een ander af te blijven..

[Reactie gewijzigd door Groningerkoek op 23 juli 2024 08:56]

[kodak]

Een supermarkt verdient geld aan de verwerking van gegevens van klanten. Ze proberen geld te bespraren om meer winst te maken, door taken die ze voor hun klanten en personeel en zichzelf hebben voor geld uit te besteden. Het bedrijf dat ze inhuren doet dat vervolgens ook. Daarmee is het risico niet zomaar gelijk of minder en al helemaal niet de verantwoordelijkheid over de gevolgen die ze indirect veroorzaken. Het is dus niet zomaar victim blaming te noemen als een bedrijf om geld hun eigen taken uitbesteed vervolgens slachtoffer is, en zeker niet als het met uitbesteden slachtoffers veroorzaakt. Het is namelijk niet zomaar minder crimineel om niet goed voor je bedrijf, werknemers of klanten te zorgen omdat je zelf andere prioriteiten hebt dan de wet vereist.

[Rav]

'wij'?
Praat lekker voor jezelf.

[Groningerkoek]

Aangezien wij als samenleving al jaren zo ver zijn dat verzekeringen bij verwijtbare nalatigheid niet hoeven uit te keren en in veel APV's is vastgelegd dat je een fiets en auto moet afsluiten als je niet direct in de buurt bent mag jij een andere mening hebben maar dit is wel hoe onze samenleving werkt.

[Juliuth]

Tuurlijk zou ik gewoon mijn auto kunnen laten draaien terwijl ik even snel de supermarkt in duik om wat te drinken te halen. Maar nogmaals zou ik me er vervolgens in de huidige maatschappij niet verbazen als hij vervolgens meegenomen is.

Laatst zag ik een item waar een oud inbreker met een nieuwsploeg langs huizen ging. Deze man moest een aantal keer lachen omdat mensen wagenwijd een raam open hadden staan en een trap in de tuin hadden liggen. En andere keren door de hoogte van het hek de conclusie trok dat het de moeite niet waard was.

Het is een wisselwerking tussen tuig moet zich gedragen, en "gewone volk" moet zichzelf beschermen.

[bouwfraude]

Dat komt door de jarenlange propaganda over preventie, beveilig je fiets met zoveel mogelijk sloten dan nemen ze wel een ander, maak van je huis fort Knox. Alleen maar omdat de politie en de rechtelijke macht weigeren om veelplegers en draaideur criminelen langdurig op te sluiten.

[Iblies]

Dat ligt er dus weer aan waar je woont.

Als je in Wassenaar of Brasschaat woont is de kans groot dat iemand keer op zal wijzen,
als je in een sloppenwijk van Bangladesh de bus pakt is dat compleet anders.

En voor het WWW maakt het allemaal weinig uit, je kunt buren van elkaar zijn.

We hebben de illusie dat het allemaal wel ok is terwijl de piotentiele gevaren steeds groter worden. Had je de yahoo-boys uit nigeria, https://en.wikipedia.org/wiki/Advance-fee_scam
later de belletjes uit India die vragen naar je wachtwoord,

nu komt er een compleet nieuwe divisie bij en die zijn in aantallen niet tegen te houden. Met een smartphone kun je al heel wat, met een raspberry heb je in principe een compleet systeem dat potentieel nog gevaarlijker is, en leg dat een gemiddelde ict’er eens uit 😄,

daarnaast komen er steeds meer iot met netwerk capaciteit maar waar verder weinig onderhoud aan wordt gepleegd.

Het is een illusie dat we in het Westen maar iets van veilig zullen worden zonder een firewall met Chinese proporties. Alles buiten de EU wil je eigenlijk niet hebben zonder reden. En die opt-in kan ervoor zorgen dat vreemd verkeer makkelijker opvalt.

[kodak]

Als je als bedrijf of klant nauwelijks weet of de software wel veilig is dan is er niet zomaar mindet opportunisme bij een crimineel. Je kan anders net zo goed stellen dat het een bedrijf of persoon dat makkelijk software en service accepteerde opportunistisch is. Waarschijnlijk is dat zelfs een stuk makkelijket te onderbouwen, want hoeveel van de klanten van deze supermarkt, of van de beheerbedrijf of van de gebruikte leverancier denk je dat zich ooit duidelijk op de hoogte hebben laten stellen waaruit goede beveiliging bleek?

[rdcL.be]

Sterk staaltje victim blaming als reply op een post over victim blaming.

[xbeam]

Wat hier ook in de vele berichten vergeten wordt is dat het een keten aanval is. Dan kan je nog zulke goede APt en EDRP beveiliging hebben.
Maar als de maleware ingebakken en verspreid wordt met vertrouwde software en distributie kanaal gaat EDR dit niet tegen houden

De 100e Nederlandse slachtoffers en ICT leveranciers treffen hier inderdaad geen enkele blaam.
Voor Kaseya is dat als cyber security bedrijf een compleet ander verhaal.
De vraag is nu welke Kaseya software is hier exact wel en niet getroffen.

[Reactie gewijzigd door xbeam op 23 juli 2024 08:56]

[YoMarK]

Nou ja, ik krijg als iemand die werkt in de IT (beveiliging) toch wel tranen in m'n broek als ik zo'n mooie 'online' management portal zie waar vanuit je direct systeembeheer kan doen bij verschillende klanten.
Men heeft gemiddeld genomen nogal veel vertouwen in andere bedrijven, ook al is iets eigenlijk conceptueel een risico. Maar dit zal niet de laatste keer zijn, bedrijven die b.v. via de cloud hun on-prem infra(switches, servers, wifi AP's, etc..) lopen dit(extra) risico gewoon, al dan niet bewust.
Als je je IT beveiliging serieus neemt, en je draait een behoorlijke omzet om je ook IT beveiliging te kunnen veroorloven, dan neem je dit soort cloud managed oplossingen gewoon principieel niet. Er zijn al genoeg andere manieren waar op ze je te pakken kunnen krijgen.

[Reactie gewijzigd door YoMarK op 23 juli 2024 08:56]

[kodak]

Je stelling dat bedrijven of personen die klant in een keten zijn geen blaam treffen is niet zomaar redelijk.

Je laat namelijk weg dat bedrijven en personen een ander taken voor zich laten uitvoeren terwijl ze zichzelf en anderen afhankelijk van die keuze maken. En moet dus wel ergens uit moet blijken dat je voldoende zekerheid hebt dat ze dat die keten dat zorgvuldig genoeg voor jezelf en de anderen doet.
Simpelweg stellen dat je het aan een ander over laat en kiest om iets te doen zonder voldoende te weten is absoluut niet genoeg om van verantwoordelijkheid af te zijn.

[Olaf van der Spek]

Dat schaar ik onder 'victim blaming'.

Het gaat er eigenlijk ook niet om wie schuldig is, maar wie wat had kunnen doen om iets te voorkomen. De aanvallers pak je toch niet, dus ja, je moet wel degelijk naar je eigen verdediging kijken.

Is hetzelfde als in het verkeer. Je hebt er niks aan als op je grafsteen staat: maar de andere partij was schuldig..

[Reactie gewijzigd door Olaf van der Spek op 23 juli 2024 08:56]

[SillieWous]

De aanvallers pak je toch niet,

Niet met die instelling nee. Als zelfs de grootste tech bedrijven al moeite hebben met dit soort problemen (zoals we gezien hebben met Solarwinds). Ben je erg onrealistisch als je denkt dat niet-tech bedrijven er veel aan kunnen doen om dit te voorkomen.

[kodak]

Het is terecht dat je van mening bent dat slachtoffers niet zomaar de schuld moeten krijgen voor de daden van criminelen. Maar de kans dat een crimineel zich ergens zou bevinden waar je die niet kan zien of pakken heeft niet zomaar te maken met verantwoordelijkheid van slachtoffers vooraf.

[Mangu429]

Slachtoffers moeten nooit de schuld krijgen van de daad van een crimineel, in welke situatie dan ook.
Ze kunnen zich hooguit afvragen of de daad niet eenvoudig voorkomen had kunnen worden.

De locatie van de crimineel is irrelevant wat betreft de daad die hij uitvoert.

[kodak]

Dit gaat niet om schuld voor de daad van een ander maar om verantwoordelijkheid nemen. Anders kan je net zo goed stellen dat een slachtoffer niet aan beveiliging hoeft te doen, terwijl dat zowel wettelijk als ethisch relevant is. Vooral als je als bedrijf andere slachtoffers afhankelijk van je maakt in ruil voor winst.

[PhWolf]

Ik ben het er niet mee eens dat de locatie (of beter gezegd de omgeving) van een crimineel er niet toe doet. In een bredere context doet die er juist ontzettend veel toe. Niet in de zin dat de blaam dan ineens verschuift naar het slachtoffer maar meer naar de samenleving waar die crimineel onderdeel van is. Samenlevingen waar veel ongelijkheid is en weinig kansen voor bepaalde bevolkingsgroepen maken het ontzettend moeilijk voor sommigen om geen criminelen te worden.

[glatuin]

Volgens mij wordt de client vergeten. Inmiddels kun je die ook goed beveiligen. Maar ja velen zien de client nog de als de sluitpost van de ICT begroting zodat er daar geen budget is voor de extra security.

[Mangu429]

Je 'vergelijking' gaat mank.

Ik lees vele comments die gaan over slecht systeembeheer, of brakke servers en dat soort kreten. Dat schaar ik onder 'victim blaming'.

Dit is de kant van het slachtoffer, die het de crimineel soms erg makkelijk maakt.

Het is net als met zakkenrollers en al het andere uitschot, namelijk de pakkans. Als de kans dat je gepakt wordt groot wordt, dan ga je wel iets anders zoeken. Punt is dat het over het www gaat en de boef dus op een zonnig eiland kan vertoeven met zijn laptop op schoot.

Dit is de kant van de dader die zonder risico's gepakt te worden zijn gang kan gaan.


Dus hoewel de criminelen makkelijk hun gang kunnen gaan is het wel zo dat ze de makkelijkste slachtoffers er uit pikken. Namelijk bedrijven met een slecht IT-beheer.

[computergek80]

Maar zo is er altijd wel een bedrijf te vinden die de beveiliging net iets minder goed op orde heeft dan de rest.

[Jerie]

Als afnemer heb je wel degelijk controle. Je maakt namelijk overwegingen. Zoals bijvoorbeeld of je het product nodig hebt, in-house of extern, in hoeverre je afhankelijk bent van ICT, en allerlei grote en kleine details. Het boek Click Here To Kill Everybody van Bruce Schneier gaat hier, mbt IoT, diep op in. Aanrader.

[Jerie]

Bij een supply chain attack is ook een keten van slachtoffers. Het lijkt logisch om te vergelijken met victim blaming maar daar heb je (ogenschijnlijk) meer een klassieke 1 op 1 dader-slachtoffer relatie. Terwijl bij de supply chain attack de indirecte slachtoffers (afnemers van het product) minder tot geen blaam treft, kun je dat bij het directe slachtoffer niet zo stellen. Heb je een grondig onderzoek (post mortem) voor nodig.

[Terrestrial]

Die vele comments zijn terecht. Het idee dat men vanuit 1 systeem allemaal verschillende klanten beheerd is wellicht makkelijk, behalve als dat systeem een malware besmetting krijgt, dan zijn alle klanten dus ook meteen het slachtoffer. Die strategie is dus achterhaald en daar moet rekening mee gehouden gaan houden.

[GeroldM]

Inderdaad, dat is een nadeel van alles centraliseren. Dat is flink wat makkelijker voor de beheerder, maar tegelijkertijd bouw je een zwakheid in je systeem, want dit centrale punt word automatisch het belangrijkste doelwit voor de aanvaller.

Elk voordeel heeft zijn nadeel, zeg maar.

[dasiro]

je zal toch een afweging moeten maken tussen useability en security, want anders kan je even goed beweren dat het internet niet mag gebruikt worden, want dat is een single point of failure/entry.

[Polderviking]

Die vele comments zijn terecht. Het idee dat men vanuit 1 systeem allemaal verschillende klanten beheerd is wellicht makkelijk, behalve als dat systeem een malware besmetting krijgt, dan zijn alle klanten dus ook meteen het slachtoffer. Die strategie is dus achterhaald en daar moet rekening mee gehouden gaan houden.

Maar hoe zie je dat dan anders voor je?
5 verschillende pakketjes gebruiken om je eindpoints mee te beheren?

[Reactie gewijzigd door Polderviking op 23 juli 2024 08:56]

[sampoo]

Dat schaar ik onder 'victim blaming'.

Je doet alsof dat zonder meer ongefundeerd is. De 'victim' kan blaam treffen, net als bij zakkenrollerij. Als je achterzak uitpuilt met briefjes van honderd euro die er bijna vanzelf uit vallen bijvoorbeeld. Daar kun je zeker wat aan doen, net zoals tegen ouderwetse 'bankovervallers' met plofkoffers en andere beveiligingsmaatregelen.

[Polderviking]

De vraag is natuurlijk of je het altijd maar kan vergelijken met een kontzak waar briefjes van 100 uit steken.
Het gaat hier niet op een database server die met sa / welkom123 open en bloot aan het internet is gehangen door één of andere stagair die thuis query's wil draaien.

Je kan er ALTIJD wat aan doen als slachtoffer, je kan ook al je servers gewoon uitzetten. Als je geen computers hebt kan je ook niet gehackt worden. De vraag is of dat een redelijk standpunt is binnen een gegeven context.

[Reactie gewijzigd door Polderviking op 23 juli 2024 08:56]

[xbeam]

. Was reactie op iemand anders

[Reactie gewijzigd door xbeam op 23 juli 2024 08:56]

[albatross]

"Die betaalde het losgeldbedrag van 11 miljoen euro om zijn data ontsleuteld te krijgen."

DAT is wat eigenlijk verboden zou moeten worden; en zelfs strafbaar gesteld (als 'medeplegen'). Net als reders die losgeld betalen voor hun schip. Want daardoor blijft het systeem in stand: omdat het loont. Wie, zoals ik, de jaren 70 en 80 nog mee heeft gemaakt, die kan zich de vele vliegtuigkapiningen nog vast herinneren. En dat lost je maar op 1 echte manier op: nooit ingeven. Vliegtuig wordt gekaapt, staat een paar dagen aan de grond, wordt verolgens bestormd, kaper gaan zo goed als allemaal dood, en einde verhaal. Op een gegeven moment hadden kapers in de wereld het door, en zagen de futiliteit in van hun gedrag.

Bij ransomware lijkt het haast andersom. Zelfs de FBI adviseert bedrijven om maar gewoon te betalen. Lekker advies. Maar het bedrijf, en de reder, kan het algemeen belang niks schelen, die denken gewoon aan zichzelf. En mensen zich dan maar afvragen waarom zoiets blijft gebeuren.

[Tomatoman]

Je vertelt hier maar het halve verhaal. De belangrijkste reden dat vliegtuigen tegenwoordig zelden worden gekaapt is helemaal niet dat potentiële kapers inzagen dat het weinig oplevert, maar simpelweg dat er extreem veel veiligheidsmaatregelen zijn genomen, die vliegtuigkapingen zeer veel moeilijker maken dan tientallen jaren geleden.

De reden dat zelfs de FBI soms aanraadt om losgeld te betalen bij een ransomwareaanval is dat een weigering om te betalen vaak gigantische gevolgen heeft. De hele gedachte achter een ransomwareaanval is dat niet betalen eigenlijk geen optie is. De gevolgen zijn zonder uitzondering veel ernstiger dan de financiële consequenties alleen. Vaak zou de weigering om te betalen tot een faillissement leiden, waardoor honderden of duizenden mensen hun baan zouden verliezen en (buiten Nederland) velen hun pensioen in gevaar zouden zien komen. Bovendien heb je een cascade-effect: niet alleen het bedrijf zelf maar ook toeleveranciers en afnemers zouden er enorme last van hebben. Ik snap jouw argumentatie, maar het is veel te simplistisch om hier volkomen aan voorbij te gaan.

[pe0mot]

Het criminele verdienmodel is gebaseerd op anonieme betalingen.
Knuppel in het hoenderhok:
Als we crypto geld verbieden is het probleem opgelost?

[HoppyF]

Wat denk je zelf?

[jqv]

Dan vinden ze wel weer andere manieren om bedrijven en personen geld afhandig te maken.
Dus het is nooit opgelost er komt gewoon een andere manier.

Dus die knuppel raakt kant noch wal.

[NielsFL]

Waarom zou je? De meeste crypto's zijn veel beter traceerbaar dan cash of giraal geld. Het enige probleem is dat je niet direct weet welke persoon bij welk adres hoort. Maar met een beetje lange adem en internationaal samenwerken is er vroeg of laat altijd iemand die zijn crypto gaat uitgeven en zichzelf daarbij vindbaar/identificeerbaar maakt. Vanaf die persoon kun je het spoor dan weer volgen naar de originele daders.

[Ongepast]

Gewoon misdaad verbieden, alles in één keer opgelost!

[Mangu429]

Gewoon misdaad verbieden, alles in één keer opgelost!

Pssst. Het is al verboden.

[kodak]

De motivaties gaan vaak om verdienen, maar ook bijvoorbeeld macht.
Dit digitaal afpersen bestaat al heel veel jaren en werd tot voor kort vooral gedaan door slachtoffers prepaid giftcards te laten kopen en de gegevens door te geven, of bijvoorbeeld internationaal geld over te maken via internationale wisselkantoren.
Daarbij gaat het de criminelen, als ze uit zijn op geld, vaak niet alleen om geld verdienen doordat het slachtoffer moet betalen, maar de gegevens ook door te verkopen aan andere criminelen. En criminelen gebruiken al eeuwen diverse vormen van betalingen of ruilen.

Wat vooral helpt is voorkomen dat je slachtoffer zal worden en de schade te beperken. Criminelen krijgen het niet zomaar voor elkaar dat ze macht over je gegevens en die van je klanten hebben. Er zijn dan vaak meerdere soorten van beveiliging onvoldoende.

[Reactie gewijzigd door kodak op 23 juli 2024 08:56]

[Blokker_1999]

Want voor crypto hadden we geen criminaliteit?

Zelfs het idee dat crypto anoniem is, is niet helemaal correct. Je zou zelfs kunnen zeggen dat het alles behalve anoniem is daar iedereen het geld kan volgen van wallet naar wallet.

[mbbs1024]

Het probleem is echter om een persoon of organisatie aan een wallet te koppelen.
Bovendien worden, wegens de moeilijkheidsgraad, enkel grote zaken, opgespoord, voor een hack bij de bakker om de hoek zal er geen grootscheeps onderzoek ingesteld worden, daar zal het blijven bij het in een PV noteren wat er gebeurd is, klassejustitie dus.

[Sheean]

Toch hebben we nu te maken met goed gefinancierde hackers die miljoenen afhandig kunnen maken. Die geldstroom daarnaartoe afsnijden maakt wel degelijk een verschil. Je systemen beschermen tegen een veredelde scriptkiddie die misschien een paar duizend euro daarmee kan verdienen, is totaal andere koek.

[Pinkys Brain]

Minder.

Cryptocurrency is net als wapens, er is wat voor te zeggen om het vrij te laten uit vrijheidsoverwegingen en er is wat voor te zeggen om dat niet te doen.

[OxWax]

Als we mensen verbieden verdwijnen alle problemen

[Tweakerhenk]

Opgelost niet maar de pakkans is dan wel veel groter.

[slijkie]

Dit soort problemen had je met offline kassa’s en cash niet.

[mduijm]

Daar had je andere dingen ook niet die nu wel kunnen. Je kunt niet meer terug. Dus achteruit kijken is overbodig.

Ik merk dat gewoon ver te veel bedrijven hun interne security nog niet goed op orde hebben. Men denkt met goede anti malware en een paar firewalls en iPS’en de meeste attacks te kunnen oplossen. Maar er moet zoveel meer worden gedaan.
Systemen hardenen / wachtwoorden uniek en snel roteren / mensen trainen op detecteren van etc etc.

Als je nu een MSP gat nemen zorg ervoor dat ook zij deze stappen allemaal volgen. Ga dus je eigen supply chain controleren. Eis certificering (een voorbeeld als SOC2 is een goede).

Als ik zie dat grote ondernemingen nog alle gebruikers lokale admin geven in 2021 dan stemt me dat zeer bedroevend. Tijdens aankoop van allerlei systemen komt security er altijd slecht vanaf. Moet goedkoop en snel.

Zolang security niet serieus wordt genomen bij elk bedrijf houden we dit soort zaken.

[i-chat]

Gat in de markt laat je cerificeren en begin een trajectbegleidings bedrijf Zorg dat je snel en efficiënt werkt dan is de overhead minimaal en is er dus nog genoeg budget voor degelijke beveiliging

Het is natuurlijk makkelijk om snel kritiek te leveren maar zowel jij als ik weten niet welke maatregelen er getroffen waren, welke certificeringer aanwezig waren en welke overwegingen daarbij van toepassing waren.

Jij kijkt vermoedelijk alleen naar de bedrijfjes om je heen maar N=1 zegt meestal niet zo heel veel

[Reactie gewijzigd door i-chat op 23 juli 2024 08:56]

[mduijm]

Als ervaren iemand in security weet ik ook we dat je niet 100% het gat kunt dichten. Je kan alles goed regelen. Maar een zero day die alleen dit team heeft kan ervoor zorgen dat ze toch binnen komen.

Net als bij een bank. Een kluis is nooit 100% veilig. Je zult dus door monitoring en controles en andere zaken de aanval moeten zien gebeuren en dan actie ondernemen.

Ik zeg totaal niet dat men slecht werkt. Ik probeer alleen aan te geven dat het zo super onderbelicht is in veel bedrijven. Te snel denkt men ik ben veilig of waarom zou men mij aanvallen. Ik ben toch geen bank oid. Die kop in het zand steken mentaliteit zal moeten veranderen.

Ik hoop zo wat duidelijker te zijn .

[Zwarte_os]

Ik heb met bedrijven gesproken die na een maand offline te zijn geweest nog steeds niet het nut ervan in zagen om meer met hun security te doen. En dat uit de mond van een IT manager. Wtf

[mduijm]

Wow!

[Blokker_1999]

De vraag wordt dan al snel: wat deden ze al wel goed, wat moest er nog verbeterd worden, welke investeringen zou dat vergen en wat waren de risico's.

Jij schrijft: wrf, ik denk: veel te weinig informatie om over te kunnen oordelen.

[HoppyF]

Mee eens.
De mens is nog steeds een zwakke schakel.
Niet iedere medewerker is ook ICT bewust en klikt maar wat raak.
Als bedrijf moet je dus mensen opvoeden maar er ook voor zorgen dat ze fouten mogen maken maar daarmee geen schade aan kunnen richten.

[Yordi-]

Allemaal een beetje cissp gelul eigenlijk, je triggert me op die wachtwoordroulatie. De echte oorzaak van het probleem is de incompetentie van veel ITers door het schrijnende tekort in de sector. U bent certified ethical hacker (je weet wel dat papiertje met de waarde van een zakje shag), gefeliciteerd, u bent onze nieuwe CISO!

De drempel ligt gewoon ontzettend laag omdat er gewoon niemand is. Zeker bij partijen zoals genoemd in dit artikel.

[Blokker_1999]

CISSP en CEH zijn nu toch echt net certificeringen die je niet zomaar krijgt maar waar ook ervaring tegenover moet staan. Snel een examen afleggen is voor die certificeringen onvoldoende.

[Nightan]

Ik ben het met je eens. Local adminrechten op endpoints zijn gevaarlijk en komen regelmatig voor door het gemak.

Voor laptops van bijvoorbeeld developers is dit lastig in te regelen. Zij hebben vaak de legitieme behoefte om software te installeren of systeemoperaties uit te voeren wat UAC prompt.

Hoe zou je hiermee omgaan?

[Blokker_1999]

ze een apart admin account geven met goede auditing. En met whitelists werken van software die uitgevoerd mag worden. Software moet bijv. verplicht digitaal ondertekend zijn door een door het bedrijf erkend publisher. Dan kunnen ze versies van software installeren naar hartelust, maar wel enkel van vendors die je vertrouwt. Is de vendor nog niet goedgekeurd, een procedure doorlopen. Is de software niet ondertekend dan moet die beoordeeld worden en na positieve beoordeling kan je die dan zelf als organisatie ondertekenen.

[laurens0619]

Kaseya is endpoint/server management
Dat spul is gemaakt om volledige (system) rechter over een pc te hebben.
Zodra dus al die systemen een malifide update binnenhalen is de aanvaller op je al gemanagede systemen admin

Dit is bloedlink en ik zie niet in hoe je dit had kunnen voorkomen als je Kaseya gebruikte

[firemansam]

Klopt maar toen had je weer meer overvallen. Elk voordeel heeft zo zijn nadeel.
Criminelen hebben hun werkterrein naar het Internet verplaatst.

[Reactie gewijzigd door firemansam op 23 juli 2024 08:56]

[poststamp]

Maar met een overval leg je geen 500 winkels plat.

[firemansam]

Daar heb je een punt. De impact op het bedrijfslevenvis veel groter maar de (psychologische) impact op het personeel is weer een stuk minder: Met uitzondering van het IT Security personeel en management natuurlijk.

[MaDMaRTiGaN648]

Als ze een goed calamiteitenplan hadden, zou dat ook niet hoeven lijkt mij. Daar zou in beschreven kunnen zijn hoe ze zonder computers / automatisch kassasysteem toch de boel draaiende zouden kunnen houden. Bijv. door gewoon met pen en papier te werken en cash geld als de pin terminals het niet doen.

De boel dicht kost denk ik meer dan het backup systeem (cash geld) in de lucht houden, maar ik kan me vergissen. Hopelijk gaat iemand (de politiek) hier nu eindelijk iets van leren.

[Blokker_1999]

Cash geld betekend dat je op elke locatie ineens veel meer wisselgeld nodig hebt. Dan heb je op je locaties mogelijks honderdduizenden euro liggen die niets doet voor het geval dat. En zonder computers doen de pin terminals het niet waardoor vele mensen sowieso hun aankopen niet meer kunnen doen want vele mensen lopen vandaag de dag met geen tot zeer weinig cash geld rond. En als ze dan toch al een omweg moeten maken om cash te gaan halen uit een geldautomaat kunnen ze evenzeer hun inkopen ergens anders gaan doen.

[i-chat]

Nee daar schiet je 5 mensen dood

Hoeveel zijn de levens waard, de bruto omzrt van één twee of vijfhonderd winkels op een zondag

En dan gaan we voor het gemak uit van slechts één winkeloverval

[JeroenH]

Nee, maar cash is relatief duur. En zo hebben beide opties hun voor- en nadelen.

[HoppyF]

Cash is niet duur, banken maken cash duur.
Daar zit het probleem. Niet dat ik terug wil naar contant geld overigens.
Ik zou wel graag zien dat je voor betalingsverkeer onderling geen banken meer nodig hebt. (crypto!)

[Blokker_1999]

Cash geld is wel degelijk duur.

Je hebt een enorme hoeveelheid geld die je niet kunt inzetten want deze licht gewoon in kluizen of in de kassa's te liggen. Wil je een deel transporten van of naar de bank heb je een geldtransport nodig om dat veilig te doen. Ook die mensen werken niet gratis. Er wordt tijd verloren met het tellen van je kassa's aan het begin en einde van elke shift. Verschillen moeten uitgezocht worden, rechtgezet worden.

Neen, cash is niet goedkoop.

[HoppyF]

Het cash geld is wel goedkoop.
De handelingen om het te tellen, vervoer naar de bank, stortingskosten enz. maakt het duur.

[Spacekonijn]

En dan aan de grillen van de markt overgeleverd zijn ?? Nee bedankt het systeem wat we nu hebben is zeker niet perfect maar crypto liever vandaag weg dan morgen

[HoppyF]

Crypto is NU nog niet volwassen genoeg om het reguliere betalingsverkeer mee te gaan vervangen.
Echter wat niet is kan nog komen.
En nee, de Bitcoin is niet geschikt om mee te betalen als je dit bedoeld hebt.
Er zijn echter nog veel meer crypto coins die in opmars zijn.
Kwestie van geduld dus. De banken zijn (terecht) bezorgd omdat ze hun business zien teruglopen.
Vandaar ook de regelmatig opduikende negatieve berichtgeving. Daar moet je doorheen prikken.
Binnenkort kun je in de supermarkt dus nog niet met crypto coins betalen.
Ik vermoed over een paar jaar wel en wellicht sneller als de markt zich opeens een spurt krijgt.

[LanTao]

Banken zijn bezorgd omdat mensen bij de vleet gescamd worden, met ransomware, met pump&dump geholpen door instagram influencers, met exit scams, met alle gewone trucs die op gewone aandelenmarkten allang verboden zijn zoals frontrunning en wash trading, en verhalen ophangen over je zogenaamde reserves zonder enige onderbouwing.

Banken hebben niets aan cryptocurrency. Proof-of-Work is een milieuramp en vrijwel elke instantie van een private blockchain had je makkelijker in een klassieke database kunnen implementeren.

[HoppyF]

Banken zijn alleen bezorgd over hun eigen inkomen. Klanten zijn voor hun een melkkoe.
Ja, je kunt opgelicht worden met malware enz.
Dat gebeurt ook met euro’s en dollars en staat los van crypto scams.
Milieu is een veelgehoord excuus maar dit is al lang onderuit gehaald.
Daarbij zijn er initiatieven om het energieverbruik verder terug te dringen.

[SkiFan]

Zelfs 30 jaar terug werden kassa's al een keer per dag uitgelezen via een modem-verbinding. Zoiets al offline kassa's is zoiets als een auto zonder wielen.

[Alxndr]

Waarom focused iedereen zich hier op kassa's? Het gaat om allerlei computers inclusief kassa's. Bovendien, oude kassa's en cash zorgen voor hogere kosten, dus hogere prijzen, slechtere concurrentiepositie etc etc

[jqv]

Met de offline kassa's en cash kwamen ze gewoon de winkel binnenlopen om het je afhandig te maken.
Iedere tijd heeft een vorm van diefstal of onderdrukking.

[K0L3N]

Nee maar toen had je de elende dat je iemand extra in moest huren om de administratie te doen aan het eind van de dag, en het risico dat dat niet goed ging. Waarschijnlijk kunnen ze van het geld wat ze met hun online kassa's besparen heel wat dagen dicht voordat het niet meer de moeite is geweest.

[Evertt]

Dit gaat helaas een groot probleem worden.
Nu zijn de supermarkten in Zweden wat een groot probleem is zeker in de dun bevolkte deel van Zweden.

Ik hoop dat nu meer bedrijven na gaan denken voor een nood back-up systeem voor als dit gebeurd.

[bouwfraude]

Er zijn dorpjes waar maar een supermarktje is die verkoopt dan zo'n beetje alles voor de dagelijkse dingen als die dan dicht is wordt het erg onhandig.

[Groningerkoek]

Genoeg dorpjes waar helemaal niets is, mijn schoonouders moeten een dorp verderop naar een kleine Supermarkt en die gaat waarschijnlijk dicht en dan is de dichtstbijzijnde 4 dorpen en 25km verderop. Maar net als in veel andere landen verkopen veel benzinestations ook voldoende om goed het weekend door te kunnen komen nodig en men kijkt daar anders tegen afstanden aan, als je op het platteland woont is 25KM rijden voor je winkel iets wat iedereen normaal vindt, als Nederland zouden we dat abnormaal vinden omdat wij korte afstanden zijn gewend. Weet nog wel toen mijn vrouw net bij mij was in Nederland, die is Zweeds en opgegroeid op het platteland. "Ik wil graag een andere stofzuiger en Mediamarkt Amsterdam heeft hem nog op voorraad, kunnen we die vanavond halen?" Sta je als Groninger toch even met je oren te klapperen...

[bouwfraude]

Ik hen het alleen van vakantie maar autorijden in de rustige gebieden is ook een stuk beter te doen. Als ik hier een stofzuiger wil bestel ik hem oniine en dan is hij er morgen. Zeker als er wat te doen is in de ArenA dan is de mediamarkt van Amsterdam niet echt lekker bereikbaar.

[Groningerkoek]

Maar welke Nederlander zou in Nederland 400km rijden voor een stofzuiger? Autorijden is daar inderdaad prima te doen, maar net als iedereen in het dorp hebben ook mijn schoonouders altijd spul in huis om minimaal enkele dagen door te komen, zeker in de winter kan het bij hevige sneeuwval dagen duren voor je weer de weg op kunt.

[Reactie gewijzigd door Groningerkoek op 23 juli 2024 08:56]

[Anoniem: 428562]

Security is een zwart gat, je kunt er zoveel geld en middelen inzetten als je wilt maar het is geen garantie.

Het is geen schande als je bedrijf getroffen wordt door ransomware. Neem je verlies, betaal zo snel mogelijk het losgeld des te eerder is je netwerk weer operationeel en kan je bedrijf weer verder.

“Do not pay” is for ransomware what “do not click” is for phishing. Sounds like great advice, but falls apart in a real world model.
-- Runa Sandvik

[kodak]

Beveiliging is een zwart gat voor mensen die te weinig kennis hebben over wat ze maken, inkopen en hoeveel tijd het kost om te herstellen door op bepaalde manieren geld en tijd te besparen in de tijd dat alles mee zit en liever vertrouwen hebben.

Het is niet zomaar een schande om slachtoffer van welk misdrijf dan ook te worden, maar in de maatschappij gaat het wel om verantwoordelijkheid nemen en ethiek. Als je als bedrijf liever criminelen gaat belonen omdat je eerder zelf zo min mogelijk hebt proberen te doen en nauwelijks te veranderen dan kan je net zo goed ethiek wel uit het raam gooien.

Runa Sandvik vergeet namelijk te zeggen dat het klikken of niet beschikbaar zijn niet het enige probleem zijn die al jaren onderkend worden: het gaat ook om voorkomen wat er gebeurt als iemand klikt en beseffen hoe veel tijd het kost als je je backups op een bepaalde manier inricht.

[Mangu429]

Neem je verlies, betaal zo snel mogelijk het losgeld des te eerder is je netwerk weer operationeel en kan je bedrijf weer verder.

“Do not pay” is for ransomware what “do not click” is for phishing. Sounds like great advice, but falls apart in a real world model.
-- Runa Sandvik

Neem je verlies en betaal zo snel mogelijk is gezien je quote niet het beste wat je kunt doen.

[Tomatoman]

[…] en de derde, Xantion, zegt dat er tot nu toe geen spoor van de malware is gevonden. Zij sloten de servers van hun Kaseya-software twee minuten nadat ze een waarschuwing van hun softwaredistributeur kregen, af.

Als het gaat om actie ondernemen zodra je gewaarschuwd wordt, heeft iemand bij Xantion heel doortastend gehandeld . Waarschijnlijk heeft hij onmiddellijk die servers uitgezet, eventueel met instemming van zijn leidinggevende als die toevallig in de buurt was, en hebben zij niet eerst toestemming gevraagd. Zo’n beslissing vraagt moed om te nemen, want vitale systemen onmiddellijk uit gebruik nemen heeft verregaande consequenties. Goede kans de de bedrijfscultuur bij Xantion hier op positieve manier aan heeft bijgedragen – in veel andere bedrijven zou je hierdoor als systeembeheerder behoorlijk in de problemen komen, zelfs al was onmiddellijk de servers afsluiten de enige juiste keuze.

[wmbaak]

Ik werk bij een firma die Kaseya VSA gebruikt. Ik kan er niet teveel overzeggen. Maar ik heb oncall dienst als support-medewerker en werd op vrijdagavond uit mijn bed gebeld door het CSIRT-DSP: "volgens onze gegevens gebruiken jullie Kaseya VSA. Nu alles uit zetten!!! NU!!!"
Gelijk geschakeld met onze escalatie coördinator. Bleek dat we allang bezig waren na berichtgeving van Kaseya zelf. Onze servers waren uit en staan nog steeds uit. Wij en onze klanten hebben (gelukkig!) geen schade opgelopen.

Bovendien heeft onze Security afdeling diverse poorten geblokkeerd en wordt alles 24/7 gemonitord. Verkeer, handelingen, alles.

[Reactie gewijzigd door wmbaak op 23 juli 2024 08:56]

[JordyBl]

Dit soort aanvallen komen steeds vaker voor, en bijna altijd uit Rusland, China of Noord Korea. Schijnbaar doet de lokale overheid er daar maar weinig aan, als ze het al niet bewust tolereren of zelfs faciliteren (in China en NK ben ik er vrij zeker van dat de overheid dit faciliteerd). Ik vind daarom ook dat deze overheden verantwoordelijk kunnen worden gehouden. Het bedrijf waarvoor ik werk, een Duits biotech bedrijf waarvan ik de naam verder niet wil noemen, is vorig jaar ook getroffen door een ransomware aanval. Dit heeft vele tientallen miljoenen euros gekost en onze IT infrastructuur een maand of 3/4 flink lamgelegd. Wij produceren producten voor medische toepassing, zoals het zuiveren van stemcellen. Met veel moeite en hulp van andere afdelingen konden we de leveringen aan ziekenhuizen waarborgen, maar dit had goed mis kunnen gaan ten koste van patientenlevens. De schade die dit bedrijven aandoet, en zelfs de mensenlevens die het kan kosten (als het b.v. een ziekenhuis betreft), denk ik dat we toch anders naar dit soort aanvallen moeten kijken. Dit is economische cyberoorlogsvoering en er moeten flinke sancties komen voor de landen waar deze aanvallen worden uitgevoerd. Financiele schade moet worden verhaalt bij de desbetreffende overheid onder dwang van verdere sancties. Tijd om hier keihard tegen op te treden!

[Jol65]

En natuurlijk sancties tegen landen waar de servers staan.....

[mbbs1024]

Oops, onlangs werd zo een server in Nederland gevonden, sancties tegen Nederland dus ?

[moepie]

Als de schade voor de economie groot genoeg wordt, dan zul je zien dat de overheidsopsporingsapparaten vanzelf een keer de criminelen vanzelf een keer in zullen halen. En als die criminelen dan in een niet meewerkende schurkenstaat in de zon zitten, stuurt er uiteindelijk zo’n usa piloot vanuit zijn container in de woestijn een drone langs.

Als ze een paar random boeren in afghanistan kunnen bombarderen, dan kunnen ze dat ook met hackers onder een parasol.

Het kost nog een paar jaar, maar deze wapenrace is zal zichzelf vanzelf van het virtuele naar de echte wereld verplaatsen.