Hackerscollectief zegt over een week gegevens Antwerpenaren te publiceren

Hackerscollectief Play heeft de verantwoordelijkheid opgeëist voor de cyberaanval op de gemeente Antwerpen. Als de Belgische gemeente geen losgeld betaalt, zetten de hackers gegevens van inwoners online.

Site Play-hackersgroep

De hackers hebben het vaker gemunt op overheidswebsites en zetten daarbij geregeld persoonsgegevens online, dus het lijkt geen gerichte actie. De datadump zal plaatsvinden over een week, schrijft HLN. Het gaat in totaal om 557GB aan data.

Bij de hack zouden talloze bestanden een .play-extensie hebben gekregen en zijn alleen nog te openen met gegevens die alleen het hackerscollectief heeft. Het gaat om een ransomware-aanval, waarbij Play een onbekend bedrag eist van de gemeente Antwerpen om de data te ontsleutelen.

Dat de gemeente te maken heeft met een cyberaanval, kwam vorige week naar buiten. De impact duurt mogelijk nog weken. De hack gebeurde bij servers van Digipolis vorige week maandagnacht. Play heeft de afgelopen tijd de verantwoordelijkheid opgeëist voor veel hacks bij overheidswebsites over de hele wereld.

Reacties (151)

[3dmazter]

Tja wat moet je doen?
Betaal je niets dan wordt alles openbaar gemaakt en krijg je misschien rechtzaken aan je broek van gedupeerden.
Betaal je wel, geef je ze hun zin en blijven ze dit doen want dat levert geld op.
En wie zegt dat ze niet alsnog de gegevens openbaar maken?

[dominique2000]

NIET betalen, en dat zeg ik als Antwerpenaar met mogelijk data van mij bij:
1) als je gaat betalen, dan betaal je met overheidsgeld aan een criminele organisatie. niet enkel moet zo iedereen opdraaien voor het belastinggeld, maar hou je deze criminele actie in gang.
2) als je NIET gaat betalen, en hopelijk doen meer overheden dat, dan valt hun business model in duigen. Die PLAY doet blijkbaar vooral overheden, als overheden systematisch weigeren, dan gaan ze zich richten op andere partijen (of stoppen in beste geval).
3) als je gaat betalen, komt data mogelijk alsnog op straat. OK, ik zie veel andere reacties dat het betrouwbare partijen zouden zijn, maar het is misschien geen dump volgende week, maar misschien blijft het ergens liggen en komt het er binnen een jaar via een ander kanaal wel openbaar. al was het bij wijze van spreken dat de hackers zelf gehackt worden en zo een andere partij het vrijgeeft.
4) je moet als overheid het collectieve blijven bekijken: NIET betalen zorgt ervoor dat je collectief het beste doet. Je geeft geen geld aan criminelen en daarmee doe je ook minder. En ja, er zullen een reeks burgers door geraakt worden, maar die individuele mogen niet opwegen tegen het collectieve dat een overheid naar moet kijken. Ik begrijp dat een commercieel bedrijf dat allemaal anders zal bekijken, maar een overheid moet verder durven kijken.
5) normaal betaal je om al je files te kunnen decrypten en ervan af te zijn. volgens mij gaat de stad sowieso toch opnieuw alles moeten beginnen vanaf 0 om écht zeker en veilig te zijn. betalen haalt dus op dat vlak niets uit.
6) 500 gb is vermoedelijk wel veel, maar ik kan mij voorstellen dat de stad vele honderden keren meer data heeft, het moet dus maar over een kleine fractie gaan.

[Blokker_1999]

1) En wat als betalen goedkoper is dan niet betalen? Er zijn heel wat stadsdiensten die wekenlang amper gaan kunnen werken, heel wat taken die onmogelijk zijn maar ook heel wat inkomsten die misgelopen worden. Tel daarbovenop de immense kost om je IT afdeling plus externe partijen 24/7 te laten werken om alles zo snel mogelijk hersteld te krijgen. Dat is geen kleine kostenpost Betalen kan dan goedkoper zijn.

2) Als je niet gaat betalen, gaat al je data online met alle gevolgen van dien. Leuk dat jij niet betaald, maar als zelfs maar enkelingen betalen is het al winstgevend. Dat is hetzelfde als met spam. Iedereen haar spam mails, meer dan 90% wordt ook netjes weggefilterd, maar die enkelingen die er toch op klikken en doorgaan maken het voor spammers net de moeite waard. Hetzelfde hier.

3) Toon mij eens wat voorbeelden aan fan waar dit reeds gebeurd is. Dat is zo een zeldzaamheid net omdat ze weten dat heel hun model dan in elkaar valt.

4) Ik ga niet akkoord met de stelling dat niet betalen automatisch het beste is voor je gemeenschap. De data die wordt vrijgegeven kan voor heel wat mensen in je gemeenschap een grote overlast betekenen. Wie gaat daar voor opdraaien? Het is altijd leuk om het grotere geheel boven het individu te plaatsen tot de dag dat je zelf getroffen wordt. Dan stel je ineens de vraag waarom men toch niet meer heeft kunnen doen om ook het individu beter te beschermen.

5) We kennen de situatie niet. Sowieso ga je altijd een cleane omgeving opzetten, maar met het herstel van de huidige omgeving krijg je een snellere herstart en gaat de druk er af.

6) 500gb is veel, punt. Probeer maar eens een tekstbestandje van dat formaat open te doen en je weet hoeveel karakters er in staan.

Je maakt hier wel een heel eenvoudige conclusie omdat jij, als Antwerpenaar, niet direct het gevaar ziet van het vrijgeven van deze informatie.

[lodew]

De kosten die je aanhaalt slaan alleen op het feit dat diensten niet meer werken door het feit dat de data nu versleuteld is.

Echter het betalen lost dat punt wel op maar geeft je "geen enkele" garantie dat ze die data toch niet op straat gaan gooien. Dus je punt ivm overlast door het vrijgeven van data kan je hoe dan ook niet garanderen. Ongeacht het feit of je ze nu gaat betalen of niet.

[Gladiator5]

Zijn er hackers geweest die losgeld kregen, en daarna de data lekte?

Vergeet niet dat deze mensen/groepen dat als enigste punt hebben.
Zodra er ook maar 1 groep lekt na betaling, betaald er nooit iemand meer.

Blijkbaar is het dus nog niet gebeurd, anders zouden we deze discussies ook niet elke keer hebben

[lodew]

Daar zou ik toch niet op durven inzetten eerlijk gezegd. Stel je in de plaats van CIO/ceo van een groot bedrijf, gemeente/stad, ziekenhuis,… het feit dat je data is gestolen is al harde om naar buiten te brengen. Als je dan achteraf gaat moeten zeggen; “ik heb betaald maar ze hebben de data alsnog gelekt”. Das behoorlijk pijnlijk. Dus ik betwijfel of de combinatie van toch betaald hebben en het alsnog lekken van de data niet vaak samen naar buiten gebracht zal worden.

[veltnet]

Het gaat niet om geld. Het gaat erom dat de overheid geen criminele organisaties mag steunen.
Het kalf is al verdronken dus als je nu de put gaat dempen (cq betalen) dan ben je te laat. De gegevens liggen al op straat en dat kun je niet ongedaan maken.

[phoenix2149]

Is betalen wel goedkoper? Of beter gezegd, betalen zou niet goedkoper moeten zijn.

Daarmee doel ik op AVG boete + betalen is meer dan enkel AVG boete.

De AVG boete/burger rechtzaken zouden moeten motiveren om te voorkomen dat dit weer gebeurd doordat de boete verplicht in IT infrastructuur en veiligheid geinverseerd moet worden.

Maar aan de criminele organisatei betalen zou op zich ook beboet worden! Want dit is het faciliteren van een illegaal business model. Het zijn CRIMINELEN, en daarmee moet je nooit samenwerken of betalen.

[ejabberd]

6) 500gb is veel, punt.

Dat zou ik niet durven stellen. Ik kan me inbeelden dat een grote stad een veelvoud van die 500gb kan hebben met allemaal foto´s, bouwplannen en bijhorende documenten van lopende en historische bouwaanvragen.

Het is dus zeker mogelijk dat de dataset vooral dergelijke "waardeloze" rommel bevat.

[segil]

en als je niets gaat betalen en het wordt online gepubliceerd, dan heb je als gemeente extra kosten vanwege alle mogelijke rechtzaken en boetes die je krijgt van het verliezen van gevoelige informatie.

Daarnaast komt het zeker ook voor dat bedrijven wel betaalden, files decrypted werden en ze verder konden werken. En daardoor minder kosten maakten dan alles opnieuw opbouwen.

Vergeet die punten ook niet in je afweging. Het is niet zo eenvoudig als jij schetst.

[veltnet]

Ja het is wel zo simpel. Als je als overheid zaken doet met een criminele organisatie dan ben je op dan moment medeplichtig en dus zelf een criminele organisatie.

Het is nu te laat om de brand te voorkomen, de gegevens zijn gekopieerd en " openbaar".
Dus die burgers zijn hoe dan ook fucked.

[webinn]

Los van deze punten ben ik (ook als Antwerpenaar) nog steeds aan het wachten op een bericht van de stad waarin staat wat er met mijn data aan de hand is.

[telenut]

zal er niet komen ook... Mensen in Zwijndrecht kregen ook niks te horen, en ondertussen is het al uit de media, dus maakt het niet meer uit. De meeste gaan het zelfs nooit geweten hebben

[lazershark]

Ja precies. Wat voor gegevens zijn er precies gestolen? Ik weet zelfs niet wat voor gegevens een gemeente over mij heeft. Zeker en vast voldoende om aan identiteitsfraude te doen lijkt me.

[Jhonna]

Klopt, het is en blijft dubbel.

Ik snap ook wel dat een overheidsinstantie niet gaat toegeven aan een ransomware bende. Maar soms is dat de enige manier, in de cybercrime wereld wil je gewoon een goede naam. Want men gaat jou niet betalen als je je woord niet kan houden dat de data dan niet gepubliceerd wordt. Ze willen er geld uitslaan, aan datalekken hebben ze bitter weinig. Hoogstens naambekendheid waardoor ze hopen dat hun volgende slachtoffers wel zouden betalen.

Je kan beargumenteren dat ze de data ook kunnen doorverkopen op de deepweb, maar ze eisen de aanval op. Wordt hij nadien gevonden op de deepweb dan weet iedereen dat deze groepering onbetrouwbaar is.

[Zoop]

En dan veranderen ze hun naam en gaat ze gewoon vrolijk verder.
Of een van de leden van de hackersgroep besluit op eigen houtje nog wat verder te chanteren.
Het is niet alsof "Play" een super originele naam is, een andere hackersgroep kan die naam toch ook zo claimen? Hoe controleer je met wie je te maken heb? Inschrijving bij KVK met benaming van bestuurslid?

Ik blijf het vreemvinden dat "vertrouwen" richting een groepje ordinaire dieven/criminelen.

[telenut]

Ze hebben hun eigen website... Die kan je niet zomaar overnemen.
En als één van hun leden dit zou doen komt het uit, en die groepen zitten duidelijk niet in om wat criminele acties te doen, dus ik zou het niet wagen... Ze verdienen genoeg, ze hebben er geen reden toe ook.

Spijtig dat de stad zelf met niet meer info komt.

[Zoop]

Maar je kan ze ook niet verifiëren, een scriptkiddy thuis op zolder kan ook een site op zetten voor een zogenaamde hackersgroep. Zoals ik zei, het is niet alsof ze in de KVK staan, dus je moet alles maar geloven wat ze zeggen. Dus zelfs motief kan je niet zeker over zijn, je hebt geen idee met wie je te maken hebt. Zelfde geldt zijn het een stelletje trolls.

En wat nou als je deze lui betaald, en een week later staat de volgende hackergroep op je stoep met dezelfde dataset en eisen. Hoe weet je dan of ze data met elkaar gedeeld hebben, of dat ze dezelfde data in de zelfde periode hebben vergaard? Hoe kan je zo zeker stellen of ze genoeg verdienen of redenen hebben, ken jij deze mensen? Kortom, aannames.

Hoe dan ook, je moet maar een hoop geloven, aannemen en blijkbaar zelfs vertrouwen van een groep die er op uit is om jouw financieel uit te buiten. Maar het vreemdste vind ik nog dat dit altijd de verdediging is "je kan ze vertrouwen, want ze willen alleen maar geld verdienen", vind ik niet bijzonder sterk.

[telenut]

Degene die hen betaald hebben zullen het wel weten :-)
Maar die ga je uiteraard nergens horen... Die willen liever anoniem blijven, en willen ook niet dat het geweten is dat men betaalde.
De bedragen die men vraagt zijn doorgaans niet enorm hoog waardoor het nog makkelijk snel te betalen is.

En nee, je weet het nie 100% zeker dat men het allemaal wist. Wat je wel 100% zeker weet is dat als je niet gaat betalen het u veel meer kost, en niet enkel financieel...

ps: ik praat het afpersen wel totaal niet goed hé

[Zoop]

Dat mag ik toch hopen hehe, maar daar twijfelde ik ook niet aan. Ik vind die "verdediging" zo frapant, je hoort em keer op keer, alsof die criminelen zo betrouwbaar zijn... en door dat verhaal keer op keer te horen, werkt het ook juist precies, want men gelooft dit blijkbaar. Het houd zichzelf in stand zo.

[Quazier]

Wie gaat er nog tot betaling over op het moment dat de gegevens vervolgens toch openbaar gemaakt worden?
Lijkt me niet dat ze actief hun eigen verdienmodel omver willen gooien.

[YES]

Als ze de keutel intrekken doordat een slachtoffer niet betaalt raken ze hun geloofwaardigheid kwijt en betaalt geen enkel slachtoffer zomaar meer of het volledige bedrag. Als schrikeffect kan het openbaren van gegevens voor een volgende hack wel degelijk nut hebben, denk ik.

[Quazier]

Ik bedoelde het op zijn vraag:
"En wie zegt dat ze niet alsnog de gegevens openbaar maken?"
Dat ze het openbaar maken op het moment dat er niet betaald wordt lijkt me een logische stap volgens hun verdienmodel.

[Rouwette]

Als ze openbaar maken na betalen dan verliezen ze ook het verdien model, ze moeten toch betrouwbaar blijven.

[Zoop]

Ik hoor deze uitleg vaker, vind dit altijd maar zo wazig ...

Deze hackersgroep is toch niet de enige? Wat nou als een andere hackersgroep niet zo "netjes" overweg gaat met de afspraak, en toch de boel publiceert na betaling. "ja, maar dat zijn wij niet, wij zijn wel propere nette criminelen". En het is niet dat deze gasten bekend willen zijn met hun persoonlijke gegevens ofzo, dus wat let ze om gewoon opnieuw te beginnen onder een anders hackersgroep naam? Hebben deze gasten serieus een reputatie opgebouwd dat wat zou moeten zeggen tegen de bestuurders van de stad Antwerpen? Huren ze dan een expert in om te bevestigen "ja, deze hackers zijn nette jongens, hun kan je vertrouwen en dus betalen"?

Ik vind dat "vertrouwen" richting een groepje ordinaire dieven/criminelen altijd maar raar.

[Reactie gewijzigd door Zoop op 24 juli 2024 17:03]

[YES]

Ah, je hebt gelijk, niet goed gelezen van mijn kant
Ik denk inderdaad ook dat ze dat niet zomaar zullen doen, want dan schieten ze zichzelf inderdaad zeer waarschijnlijk in de voet.

[moonlander]

Het is niet 1 organisatie, dus er hoeft maar 1 rotte appel tussen te zitten die de gegevens alsnog publiceert of wederom met acties komen.. en verneukt het dan voor de rest.

[RobbieB]

Het hele business model van ransomware partijen is gebaseerd op hun betrouwbaarheid. Zodra ze toch publiceren of geen key's releasen na een losgeld betaling stort hun hele business model in...

Dus ironisch genoeg zijn ransomware partijen vrij betrouwbare criminele groeperingen...

[Karel_Appel]

Ik zie deze redenering vaker, maar gaat dat ook echt op?
Er is niet een openbaar register met ransomware partijen.
Als partij A geld opstrijkt en de gegevens alsnog publiceert en vervolgens doorgaat onder de naam partij B, dan weet een volgend slachtoffer dat echt niet.

[Verwijderd]

Niet van bepaalde partijen (dat ik weet) maar natuurlijk wel van ransomware in het algemeen. 100% garantie heb je nooit, maar hoe vaker er wordt betaald en het toch openbaar wordt hoe minder er wordt betaald in het algemeen.

Dus voor deze ene partij maakt het misschien niet veel uit. maar als ze het toch openbaar maken helpen ze wel het hele ransomware systeem langzaam om zeep. Dat zou natuurlijk fijn zijn, maar ik denk dat deze criminelen elkaar toch wel zien als conculega's. Liever dat zij het hacken, maar als iemand het maar doet dan valt er tenminste wat af te persen.

[DonChaot]

Ik vind het erg naief om te geloven dat criminelen je data netjes vernietigen na betaling.
Als je een succesvolle hack hebt dan lijkt het me dat je dat slachtoffer eerst zoveel mogelijk probeert uit te melken. Waarom zou na het krijgen van het geld die data niet alsnog verkopen? Als crimineel weet je niet of je nog ergens een succesvolle hack kan maken dus hoe meer je te gelde kan maken hoe beter.
Voor de goede naam maakt het ook niet uit, ze kunnen hun clubje gewoon een nieuwe naam geven en verder gaan. Het is niet alsof ze een merk proberen op te bouwen of zo.

[telenut]

Toch wel. Die hebben allemaal hun eigen sites waarop staat welke bedrijven ze al hebben gehacked, en welke wel of niet overgingen tot betalen. Degene die het deden, daar kan je niks van downloaden, die andere hun data kan je zo binnen halen. En dan komen daar minder leuke artikels van in de krant. Dat wil niemand...

[ReZpie]

Die zijn er wel. Alleen niet openbaar

[YES]

Ik weet van één geval van zo'n ransomware aanval dat ze niet gingen betalen, niet omdat de boel alsnog op straat zou kunnen komen (al werd daar in dit geval, voor zover ik weer, ook niet mee gedreigd), maar omdat ze gewoon alle hardware gingen wegdoen, alles ging opnieuw opgebouwd worden.
Puur omdat er angst bestond dat er d.m.v. een eventuele zero day exploit een backdoor ingebouwd zou zijn om terug te komen en de boel opnieuw te infecteren wanneer er niet betaald werd of andere groepen die backdoor ook zouden kunnen benutten en ze opnieuw aangevallen zouden worden. Bij een dergelijke redenatie is betalen dus eigenlijk ook geen optie en moet je alles als verloren beschouwen. Al zal dat bij veel bedrijven/instellingen domweg geen optie zijn, als backups bijvoorbeeld ook geïnfecteerd of vernietigd zijn.

[Coolstart]

Als inwoner van Antwerpen:

Het is afschuwelijk wat er is gebeurd maar als je met een “respectabele” partij te maken hebt moet je als publieke sector altijd de som afkopen in de wetenschap dat de kans groter is dat de gegevens dan niet op straat liggen en je snel weer je systemen online hebt.

Ik praat hackers niet goed maar als je hele IT plat ligt en persoonsgegevens gestolen zijn is pure waanzin, extreme nalatigheid.

Als je het zo kan afkopen kom je er goedkoop vanaf en maar het blijft wat mij betreft 100% hun eigen schuld. Beetje staan zeuren hoe kwaad de boze wereld is ipv in eigen boezem te kijken. Hoe is het zo ver kunnen komen?

Het hoofdprobleem is dat vele bedrijven, steden en gemeenten data & privacy niet belangrijk genoeg vinden en aan de bijgevolg lopende band gehackt worden. Ipv dat extreem belangrijk te vinden zoals de veiligheid van een nucleaire centrale.

Wat mij betreft mogen er ook politieke koppen rollen. Mensen die uiteindelijk hun verantwoordelijkheid niet genomen hebben. De meeste politiekers hebben zelfs nog niet gehoord van firewalls, encryptie etc. Laat staan dat ze dat serieus nemen. Ze zijn klassiek geschoold.

De schade blijft ook extreem onduidelijk. Is nu al mijn data gestolen? Mijn vingerafdruk voor mijn ID, alle documenten die ik heb ingescand voor aanvragen, subsidies, parkeerkaart etc.

Het voelt gewoon akelig aan dat mijn gegevens nu mogelijk op de dark web staan en misbruikt kunnen worden tot in de eeuwigheid.

[Verwijderd]

Als de stad antwerpen hier niet ingrijpt doe ik hen met graagte een proces aan. Het is al jaren, decennia aan de gang dat de IT daar als een tweederangsdienst wordt behandeld. Ik kijk er al naar uit.

[Reactie gewijzigd door Verwijderd op 24 juli 2024 17:03]

[Verwijderd]

Als de stad antwerpen hier niet ingrijpt doe ik heb met graagte een proces aan. Het is al jaren, decennia aan de gang dat de IT daar als een tweederangsdienst wordt behandeld. Ik kijk er al naar uit.

Ik vindt Bart de Wever nogal al stil als burgemeester van Antwerpen, normaal is hij haantje de voorste om zijn mening, visie te geven als het om anderen gaat.

[Coolstart]

Idd het blijft heel erg stil. Als het over drugsmafia en politie gaat dan kunnen superlatieven niet groot genoeg zijn. Veiligheid eerst.

De prioriteit is duidelijk. Elke minuut rijdt er hier wel een combi voorbij en ze hebben ook van die gepantserde Bearcats voor het grote werk. Elk jaar miljoenen extra naar politie. Van camera systemen op elke straathoek, nummerplaten scanners, alles om de bevolking te controleren.

Alles wat zinvolle digitalisering betrof ging heel erg moeizaam. Bijv 10jaar voor de ontwikkeling van een digital verhuis/parkeerbord. De verkeerslichten zijn nog steeds niet slim en van efficiëntie shuttles vanuit de P&R’s die de stad autovrij moeten krijgen is niets van in huis gekomen.

Technologie en innovatie kan een stad aangenamer maken maar dan moet je het serieus nemen. Online veiligheid en privacy is daar een belangrijk onderdeel van. Op beide vlakken zijn ze sierlijk gefaald.

[Quiller]

Waarom zou de stad antwerpen moeten betalen of ingrijpen (buiten een andere it firma nemen) ... Het is wel de firma die de it beheert die gehackt is... Die firma moet betalen (en zal dat niet doen) maar zal zichzelf wss binnen de kortste keren failliet laten verklaren.

[bottom line]

En is dit de schuld van 't Stad of van de IT provider?
Kan goed zijn dat ze wel aanrekenen voor een beveiligd systeem, maar dat de IT'ers nooit een degelijke beveiliging hebben geimplementeerd.

[sellh]

Niet op ingaan.
Criminele activiteiten en chantage horen niet beloond te worden en het is heel onwenselijk om dit soort criminaliteit rendabel te maken. Want daarmee houd je het in stand.

Dus niet ingaan op de chantage, maar de daders opsporen en keihard straffen.

[kabelmannetje]

Niks betalen. De overheid moet nooit losgeld betalen.

[junkchaser]

Makkelijk praten als je identiteit op straat te grabbel ligt voor criminelen ...

De overheid zal in geen geval hun verantwoordelijkheid opnemen, laat staan hulp bieden aan de gedupeerden.

[kabelmannetje]

> Makkelijk praten als je identiteit op straat te grabbel ligt voor criminelen ...

Losgeld betalen en in stand houden dus. Met risico dat morgen alsnog alles op straat ligt.

> De overheid zal in geen geval hun verantwoordelijkheid opnemen, laat staan hulp bieden aan de gedupeerden.

Dat is wel erg voorbarig. Natuurlijk nemen ze hun verantwoordelijkheid qua data veiligheid. Regelmatig zijn er security audits -door gerenommeerde security-bedrijven- en er is wetgeving.

Dat er geen hulp wordt geboden is ook weer erg voorbarig.

En ja, ik heb ook security-zaken gedaan voor en middelgrote gemeente. Dit soort lek- scenarios zijn van tevoren al uitgewerkt, zoals bij elke overheid of bedrijf. En er is daarbij zeker aandacht voor gedupeerden.

[junkchaser]

Sowieso zullen ze rechtszaken aan hun broek hebben. Ze zullen moeten bewijzen dat ze alles eraan gedaan hebben om dit te voorkomen. Al bij al niet meer dan normaal!

[Badboy777]

Wat moet je doen, stoppen met maar alles goed te vinden wat de overheid doet en vooral verkeerd doet en stoppen met het onzin ik heb niets te verbergen, want als je gegevens in de verkeerde handen komen dan hoef je niets te verbergen te hebben maar ga dan maar eens na alle misbruik wat er kan worden gedaan met je persoonlijke gegevens.

Overheid maakt ons lam en invalide met al hun regeltjes en ze hebben hun eigen systemen en beveiliging niet eens op orde. Nederland is ook zo'n gatenkaas met beveiliging en beveiliging voor haar burgers.

[svennd]

Dat zal nog moeten blijken toch ? Het is overigens de "privé" partner die gehackt is geworden, de stad had het dus uitbesteed ...

Uiteraard is het de kerntaak van de overheid om zijn burgers te beschermen, maar hoe straf je dat instituut
als ze het niet doen ? Er is werkelijk geen enkele politieke partij die nog verantwoordelijkheid neemt. Dat is ook niet nodig want ze falen allemaal even hard.

[Blokker_1999]

Digipolis is niet de private partner, het is een spin-off van de stad Antwerpen zelf. Dit soort constructies zie je vaker om rondom het probleem van vaste benoemingen en bijhorende salarisschalen te werken. Door dit af te splitsen in een private onderneming kan men vrij op de markt gaan rectruteren en de mensen die men aanwerft ook in 1 keer een competitief salaris aanbieden.

[BlueInk]

Interessante vacature bij Digipolis...
https://jobs.digipolis.be...ect-manager-cybersecurity

[Verwijderd]

Digipolis is niet de private partner, het is een spin-off van de stad Antwerpen zelf. Dit soort constructies zie je vaker om rondom het probleem van vaste benoemingen en bijhorende salarisschalen te werken. Door dit af te splitsen in een private onderneming kan men vrij op de markt gaan rectruteren en de mensen die men aanwerft ook in 1 keer een competitief salaris aanbieden.

En niet te vergeten de stad Gent.

[Arrigi]

https://www.computable.be...gipolis-in-der-minne.html

Niet meer

[Lord Sony]

Klopt, wij in Gent zijn nu een AGB geworden onder de naam District09.
Antwerpen heeft de naam Digipolis behouden.

[CaptainKansloos]

Ff volledig off-topic hoor, maar de prawn die District09 als naam verzonnen heeft, had kennelijk ook een extra bak koffie nodig die dag...

[Arrigi]

Klopt. Er zit wel een idee achter de naam: https://stad.gent/nl/meer...ersnelling-met-district09

De nieuwe naam staat voor Digitaal Strategisch en ICT, de 09 verwijst naar Gent.

DiStrICT09 dus, 09 is het netnummer van de regio.

Je referentie was gekend, maar blijkbaar haalde de tegenstemmers het niet.

[CaptainKansloos]

Thanks! Mja, best een aardig gevonden recursief acronym, maar hij pakt wel wat ongelukkig uit in de context van een 'overheidsdienst'. Oef.

[junkchaser]

ouch, die reputatie is nu wel volledig weg ...

[svennd]

Ah, +3 ! Ik dacht dat het ging om een private partner.

[The Zep Man]

Dat zal nog moeten blijken toch ? Het is overigens de "privé" partner die gehackt is geworden, de stad had het dus uitbesteed ...

Voor GDPR maakt dat niet uit. De stad blijft verantwoordelijk.

[svennd]

Uiteraard ! Maar als stad is je kerntaak niet IT. Uit besteden door een goeie partner zou dus een "veilige" oplossing kunnen zijn. Als je als stad herkent niet "expert" in alles te zijn, is al een eerste stap. De partner gaat dus zeker niet vrijuit en in dit specifiek geval is het ook de partner die de bron van het lek is.

[R4gnax]

Uiteraard ! Maar als stad is je kerntaak niet IT. Uit besteden door een goeie partner zou dus een "veilige" oplossing kunnen zijn. Als je als stad herkent niet "expert" in alles te zijn, is al een eerste stap. De partner gaat dus zeker niet vrijuit en in dit specifiek geval is het ook de partner die de bron van het lek is.

Het is alsnog de taak van de verwerkingsverantwoordelijke om te staven dat de verwerker die zij in de arm nemen; ook kundig is. Dat kun je doen door een derde partij bijv. met regelmaat audits te laten verrichten; als je zelf geen expert op het terrein van data bescherming en privacy standaarden bent.

[Zoop]

Nouja is simpel, de stad is verantwoordelijk, first and foremost. Als er een schadeclaim of iets dergelijk komt, dan komt dat bij de stad terecht. Die kan vervolgens verhaal gaan halen bij de partner en de geleden schade doorschuiven dus.

Maar zo ver ik heb begrepen, is die partner gewoon een dochteronderneming van de stad, dus met vingers wijzen schieten ze sowieso niks op.

[The Zep Man]

Wat moet je doen,

Gezien hackers vaak voor het laagsthangende fruit gaan, wordt het tijd om verantwoordelijken persoonlijk strafrechtelijk te vervolgen bij aantoonbare nalatigheid van het beschermen van persoonsgegevens van een ander.

Dat klinkt extreem, maar hou rekening met dat het om aantoonbare nalatigheid gaat (immers is geen beveiliging perfect, maar is er geen excuses om dan maar geen of slechte beveiliging te hebben), en dat organisaties weinig schade hebben aan het lekken van persoonsgegevens (breken van vertrouwelijkheid). De meeste kosten zitten in het niet beschikbaar zijn van systemen en gegevens voor de organisatie, maar de maatschappelijke kosten voelen zij niet.

[Reactie gewijzigd door The Zep Man op 24 juli 2024 17:03]

[WaterFire]

Dat zorgt alleen maar voor een leegloop bij de ICT van de overheid, en geen bedrijf gaat nog een project aan.
Waar je nu nog de illusie kan hebben 'ik kan dit beter maken' ga je een risico op vervolging natuurlijk niet bewust lopen.

[Reactie gewijzigd door WaterFire op 24 juli 2024 17:03]

[Verwijderd]

Dat zorgt alleen maar voor een leegloop bij de ICT van de overheid, en geen bedrijf gaat nog een project aan.
Waar je nu nog de illusie kan hebben 'ik kan dit beter maken' ga je een risico op vervolging natuurlijk niet bewust lopen.

Dan maar minder automatiseren, een stap terug in de tijd als je er niet kunt zorgen dat persoonlijke gegevens van burgers, klanten etc niet deugdelijk beheert kunnen worden.
Misschien een wat minder aan het internet hangen.

[Arrigi]

Weer naar het loket op dinsdag, donderdag of vrijdag tussen 09:00 en 12:00 dan.

[lonewolf2nd]

Oke klein stapje vooruit. Ze zijn in dienst van de burgers. Tijden aanhouden van 18:00 tot 21:00.

[kabelmannetje]

En het aantal ambtenaren ver-tienvoudigen. Kaartenbakken en alles per typemachine en briefpost, kan even duren.

[elmuerte]

Dat zorgt alleen maar voor een leegloop bij de ICT van de overheid

Als je de rest hetzelfde zal houden, waarschijnlijk wel.
Als je het niet wil zou je moeten investeren in de betere ontwikkeling van technologie. Dat kost geld, dat kost tijd, en dat kost "features".

[davince72]

Dat zal wel meevallen. Wat het wel doet is wegjagen van cowboys en slechte managers die ondanks een goed salaris de kennis en verantwoordelijkheid niet hebben.
Zonder gevolgen blijven ze natuurlijk aanklooien en lossen het op met een excuus. Daar koop je als burger niets voor en het gaat wel om 'jouw' data die niet in goede handen blijkt te zijn.

[Mathijs22]

wordt het tijd om verantwoordelijken persoonlijk strafrechtelijk te vervolgen bij aantoonbare nalatigheid van het beschermen van persoonsgegevens van een ander.

De werkstudent? Zijn supervisor? Afdelingshoofd? Hoofd IT? Wethouder? Burgemeester (want die is natuurlijk verantwoordelijk).

In ons strafrecht zijn we zeer terughoudend met het bestraffen van fouten. Met zeer goede redenen.

[Zoop]

Ik ben het wel eens met het sentiment van @The Zep Man, maar dat is in de praktijk niet echt te verwezenlijken.

Probleem is inderdaad vaak dat overtredingen, nalatigheid, uitbuiting etc niemand persoonlijk voor wordt aangesproken. Onder de streep zijn dit simpelweg kostenposten, the cost of doing business. Een wet is niet echt een wet wanneer je het soortvan kan afkopen door een boete te betalen. Die kosten zijn in te calculeren en wordt dus ook gedaan.

Dat zal blijven gebeuren totdat er een keer iemand persoonlijk verantwoordelijk voor wordt gesteld. Echter, zal dat inderdaad betekenen zoals @WaterFire aangeeft, dat niemand dan nog in die sector wilt werken, want punt twee: ze zullen gewoon een zondebok naar voren schuiven (ga er maar vanuit dat dit niet de hoogbetaalde managers zullen zijn).

[The Zep Man]

Echter, zal dat inderdaad betekenen zoals @WaterFire aangeeft, dat niemand dan nog in die sector wilt werken, want punt twee: ze zullen gewoon een zondebok naar voren schuiven (ga er maar vanuit dat dit niet de hoogbetaalde managers zullen zijn).

Daarom richt je dit soort wetten in dat het beslissingnemende niveau tot en met het hoogste niveau persoonlijk strafrechtelijk vervolgbaar is. Leuk die zondebok, maar dat houdt bijvoorbeeld de RvB of de C*O-functies niet buiten schot. Zie Sarbanes-Oxley in de VS.

[BeosBeing]

Daarom richt je dit soort wetten in dat het beslissingnemende niveau tot en met het hoogste niveau persoonlijk strafrechtelijk vervolgbaar is. Leuk die zondebok, maar dat houdt bijvoorbeeld de RvB of de C*O-functies niet buiten schot. Zie Sarbanes-Oxley in de VS.

Leuk, dit is Antwerpen, maar in Nederland kunnen de ambtenaren zowiezo niet vervolgd worden. De uiteindelijk verantwoordelijke is dan een staatssecretaris of minister, die stapt op en komt in het volgende kabinet weer doodleuk terug op een andere post. De echte verantwoordelijken, als die lager in de organisatie zitten, blijven altijd buiten schot. Alleen op het laagste, uitvoerende niveau kan iemand ontslagen worden als die niet kan aantonen dat hij de wet overtrad in opdracht van een hoger iemand. Op dat niveau worden de opdrachten niet meer schriftelijk gegeven, maar mondeling, en bewijs het dan maar eens.

[Zer0]

De werkstudent? Zijn supervisor? Afdelingshoofd? Hoofd IT? Wethouder? Burgemeester (want die is natuurlijk verantwoordelijk).

En de burgemeester wordt voorgedragen door de gemeenteraad, en die zijn gekozen door de kiezers... dus die zijn uiteindelijk verantwoordelijk?

[davince72]

Bestraffen van fouten betekent toch niet levenslang in de gevangenis? In jouw redenatie is niemand verantwoordelijk te houden, maar dat is het andere uiterste.
Op zijn minst kun je beginnen met Afdelingshoofd/Hoofd IT te vervangen als blijkt dat de hack daadwerkelijk verwijtbaar is. Zonder enige kennis lijkt mij dat al als je blijkbaar in totaal 557GB kunt downloaden. In welke use-case is dat nodig dat er zoveel data naar een IP adres gedownload wordt? (backupproces is intern of pushed data zelf)
Tuurlijk kan er sprake zijn van een zero-day attack oid, waar weinig tegen te doen is, maar mijn inziens kun je wel met thresholds bepaalde scenarios beperken.

[DinX]

Dus wanneer het door een foutje door iemand zou zijn dan maar meteen vervolgen ?
Waar mensen werken worden fouten gemaakt, punt. Aan de grond van deze hack kan net zo goed 1 typfout liggen van Kenny de junior. Of gaan we de operations manager verantwoordelijk stellen?
Op de project manager die te krappe deadlines gezet heeft voor de implementatie van een firewall, softwarepakket,... ?

Als ik hier een foutje maak kunnen er in de praktijk in theorie zelfs mensenlevens vanaf hangen (ziekenhuisomgeving). Dus meteen de IT'er maar veroordelen voor onopzettelijke slagen en verwondingen of onopzettelijke doodslag wanneer door een fout een IT systeem er onderuit knalt binnen Healthcare ?
Want zo ver moet je het dan doortrekken als ik je goed begrijp.

Het enige wat je ermee gaat bereiken is dat niemand nog in die sectoren zal willen werken of inschrijven op aanbestedingen. Ga je als bedrijf dan nog het risico nemen met de overheid in zee te gaan, of met een ziekenhuis, of met andere kritieke onderdelen van de samenleving?

[Polderviking]

Ik denk dat je heel erg moet oppassen met het mogelijk maken mensen persoonlijk aansprakelijk te stellen voor wat er in functie op werk gebeurd.

Waar begint en stopt dat exact?
Alleen in de ICT? Alleen in bepaalde sectoren? Waarom? Waarom niet ook in andere sectoren waar mensen schade kunnen veroorzaken? Doktoren ook de lik in voor operaties die mis gaan?
Wat van gewoon een medewerker die productieverlies veroorzaakt door een (grove) fout?

En hoe ga je zorgen dat mensen die verantwoorlijkheid willen dragen ook?
Ik zou met zo'n zwaard boven mijn hoofd prompt uit de ICT stappen.
Ik vind 't zonder dat 't me persoonlijk kan ruineren al stressvol genoeg in dat ransomware klimaat waar we in leven.
En ik ondersteun niet eens een omgeving waar echt een serieus risicoprofiel aan hangt vergeleken met overheid/defensie of bijvoorbeeld de medische sector.

En de praktische uitwerkingen dan ook nog, zelfs als mensen niet weg gaan.
Bruikbaarheid en flexibiliteit van een systeem neemt dan snel en loeihard de achterbank ten opzichte van security.
Weer lekker met zijn allen op kantoor werken enzo.
Weer allemaal menselijke lagen tussen verschillende systemen.
Weer bellen voor een afspraak om je ID kaart te verlengen, en daar dan ook tig weken op moeten wachten omdat dat allemaal per rooksignaal en fietskoerier gaat.

[Reactie gewijzigd door Polderviking op 24 juli 2024 17:03]

[R4gnax]

Alleen in de ICT? Alleen in bepaalde sectoren? Waarom? Waarom niet ook in andere sectoren waar mensen schade kunnen veroorzaken? Doktoren ook de lik in voor operaties die mis gaan?

Je kiest een interessant voorbeeld, want artsen kunnen - net zoals advocaten - uit hun functie gezet worden en het hen wettelijk onmogelijk maken hun beroep nog uit te oefenen. En ja; daar wordt bij veelvuldig overtreden van regels of veelvuldig nonchalant maken van fouten ook gebruik van gemaakt.

[Polderviking]

Maar dat geld toch voor iedereen die werk niet goed doet?
Bij vervolgen zoals de poster waar ik op reageer het opschrijft denk ik aan meer dan alleen uit je functie gelazerd worden.

[Reactie gewijzigd door Polderviking op 24 juli 2024 17:03]

[R4gnax]

Bij artsen en advocaten is het zo dat je niet alleen uit je functie gelazerd wordt; maar ook datzelfde beroep en vaak nevenverwante functies nooit meer uit mag oefenen. Ook niet elders.
Je draait wellicht niet de nor in; maar het is meer dan enkel ontslagen worden.

[Tommie12]

Maar dat gebeurt enkel bij grove nalatigheid of moedwillige fouten.

[The Zep Man]

Precies wat mijn originele post voorstelt!

[R4gnax]

Maar dat gebeurt enkel bij grove nalatigheid of moedwillige fouten.

Dat is dus juist ook het hele punt.
Dat wil je niet toepassen op iedereen die once in a blue moon onbewust een uitglijder maakt; maar op de personen die er stelselmatig een al dan niet bewust potje van maken.

[Reactie gewijzigd door R4gnax op 24 juli 2024 17:03]

[TheFoundation101]

Een beroepsverbod gebeurt bij artsen of advocaten haast nooit. Er zijn talloze homeopatische oplichters actief met die titel, of artsen wier antivax-houding ten overstaan van zwakkere patiënten objectief moorddadig kan heten. Ze zijn met zovelen dat ze heelder verenigingen hebben. En ze mogen lustig verderdoen.

[Frame164]

Maar dan wel ongeacht het niveau van de medewerker. Een nalatige sysadmin moet gewoon vervolgd kunnen worden en moet zich niet achter een manager moeten kunnen verschuilen. In de meeste gevallen gaat een manager immers uit van de vakkundigheid en professionaliteit van z'n team.

[Blokker_1999]

Euhm ... iets te veel caffiene naar binnen ofzo? Niemand heeft zijn systemen en beveiliging 100% op orde. Dat wil niet zeggen dat niemand er naar zou moeten streven of dat er geen regels horen te zijn rondom verantwoordelijkheid.

En ik ben zelf bevoorrecht dat ik nog nooit getroffen ben geweest on the job door ernstige malware, maar ken wel meerdere bedrijven die wel door de jaren heen getroffen zijn en nooit het nieuws hebben gehaald.

[oef!]

Neem een chill pil. Dit had net zo goed een bedrijf of een sportclub kunnen zijn.

[EraYaN]

Dat was dan gewoon heel jammer voor die sportclub of dat bedrijf geweest. Misschien dat de rest dan eindelijk een beetje banger wordt en het tenminste echt probeert.

[Frame164]

Een bedrijf of club is een verzameling mensen. Vind je het ook heel jammer als er bij jouw werkgever wat fout gaat met als gevolg dat het bedrijf over de kop gaat en jij je baan kwijt bent?

[Quiller]

In deze is dat allemaal uitbesteed aan een 'privé' bedrijf dat gehackt is ... Kortom : die is schuldig, niet de overheid die slachtoffer is.

[Sando]

Zo, weer een halve terabyte aan gevoelige informatie (bijna) op straat. En zo komt stukje bij beetje iedereen's digitale profiel naar buiten. Het vervelende is dat je steeds vaker niet onder het delen van informatie uit komt. En als dat wel kan, dan moet je soms bij het laten verwijderen van gegevens conform de AVG eerst méér gegevens opsturen, zoals een kopietje paspoort, voordat ze je aanvraag in behandeling willen nemen.

Kan je als burger, in dit geval als Antwerpenaar, nog enig afschrikkend effect bewerkstelligen die ervoor zorgt dat instellingen en gemeenten hun beveiliging beter op orde wensen te hebben? Bijvoorbeeld door een boete af te dwingen? Of krijg je dan een boete van één Euro per persoon, die ze dan zelf via de belasting mogen betalen?

[Reactie gewijzigd door Sando op 24 juli 2024 17:03]

[kamustra]

Of krijg je dan een boete van één Euro per persoon, die ze dan zelf via de belasting mogen betalen?

Hoe anders? Waar wil je anders het geld vandaan halen dat een overheid als boete moet betalen?

[Gwaihir]

Bij de verantwoordelijken persoonlijk. In Dieselgate zijn er óók enkele mensen de bak in gedraaid, zowel hoog in VW management, als uitvoerend op de werkvloer.

Zoiets moet zeker niet te snel op tafel liggen. Maar bijvoorbeeld bij het Toeslagenschandaal, verbaast het me dat er totaal, voor helemaal geen enkele betrokkene, sprake van is.

En dat vertaalt zich verder: als er zelfs in zulke ernstige gevallen alleen 'foei' gezegd wordt, is een digitaal bordje 'geen toegang' naast de wijd open deur 'uiteraard' wel voldoende beveiliging..

We moeten niet naar een angstcultuur doorslaan, maar het eeuwige, gemakkelijke 'was dat mijn verantwoordelijkheid dan?' mag als afgedraaide plaat ook wel 'ns met de platenspeler mee ten onder.

[Gaat extra moeilijk bij ambtenaren, klopt. In Nederland, België, en andere landen. Maar is dat nog van deze tijd?]

[Reactie gewijzigd door Gwaihir op 24 juli 2024 17:03]

[Mathijs22]

Bij de verantwoordelijken persoonlijk. In Dieselgate zijn er óók enkele mensen de bak in gedraaid, zowel hoog in VW management, als uitvoerend op de werkvloer.

Maar daar was het ook een direct besluit om wetgeving te ontlopen, met opzet. Dat is echt heel iets anders als op vrijdagmiddag te besluiten die patch maar op Maandag te doen.

[SVMartin]

Ik vrees dat je het vaak niet over een weekend, maar minstens over een kwartaal hebt. Maar het kan natuurlijk ook een phishing mail zijn geweest, we weten het niet.

[Sando]

Dat is echt heel iets anders als op vrijdagmiddag te besluiten die patch maar op Maandag te doen.

Wetgeving ontlopen is inderdaad niet het zelfde als verantwoordelijkheden ontlopen. Maar het is al heel lang duidelijk dat het grootste deel van de hacks daardoor komt. Hoewel het eerder over 2 weken of zelfs 2 maanden uitstel dan 2 dagen uitstel gaat.

quote: 2017

The WannaCry Ransomware attack [in May 2017] was one of the most significant cyberattacks in 2017. Seventy-five thousand organizations from 99 countries reported being attacked. A vulnerability called EternalBlue was responsible for spreading the WannaCry attack. This vulnerability was actually addressed in Microsoft’s security patches released [two months prior] in March. Unfortunately, many users had not yet installed these critical patches.

quote: 2019

Patching [of highly critical vulnerabilities] is delayed an average of 12 days due to data silos and poor organizational coordination, ServiceNow study finds. 60% of breaches were linked to a vulnerability where a patch was available, but not applied.

quote: 2021

One of the most damaging cybersecurity incidents this year was the widespread compromise of Microsoft Exchange servers caused by a set of zero-day vulnerabilities known collectively as ProxyLogon. [Microsoft had] released emergency patches in March; however, [state-sponsored hackers abused the vulnerabilities] for months after in attacks against unpatched systems. Tens of thousands of organizations are believed to have been compromised.

Op een gegeven moment wordt het dan toch nalatigheid, nu we weten hoe groot de consequences zijn.

[Reactie gewijzigd door Sando op 24 juli 2024 17:03]

[Geim]

Bij de verantwoordelijken persoonlijk. In Dieselgate zijn er óók enkele mensen de bak in gedraaid, zowel hoog in VW management, als uitvoerend op de werkvloer.

Gaat niet zo makkelijk lukken bij ambtenaren, Google maar eens op Pikmeerarrest

[Frame164]

Wie is de verantwoordelijke persoon? Voor een gemeente zou dat uiteindelijk de burgemeester moeten zijn, maar die bemoeit zich als het goed is niet met dit soort zaken. Die vertrouwt op de vakkennis van de uitvoerenden.

[CAPSLOCK2000]

Kan je als burger, in dit geval als Antwerpenaar, nog enig afschrikkend effect bewerkstelligen die ervoor zorgt dat instellingen en gemeenten hun beveiliging beter op orde wensen te hebben?

Ja, stemmen, dat is het enige dat indruk maakt. Verwacht alleen niet dat het snel gaat werken, dat mechanisme kost jaren en je zal het moeten hebben van nieuwe en kleine partijen en politici. Voor de gevestigde orde heeft het geen prioriteit anders hadden we het hele probleem niet.
Je moet dan vooral niet strategisch stemmen maar je hart volgen. Zelfs als piepklein partijtje kun je veel bereiken door onderwerpen aan te kaarten waar de grote partijen dan op moeten reageren. Kijk naar wat De Partij voor de Dieren of de Piratenpartij in NL voor elkaar hebben gekregen. Niet dat die clubs nu in de regering zitten maar alle andere politiek partijen hebben tegenwoordig een heel hoofdstuk in hun partijprogramma over die onderwerpen. Dat is er vooral om te voorkomen dat kiezers overstappen maar als het er eenmaal staat dan gaan mensen vragen hoe het gaat met de uitvoering en zal je iets goeds moeten antwoorden om niet voor lul te staan.

Een iets andere route is om lid te worden van een politieke partij en bij de volgende ledenvergadering kritische vragen te stellen over jouw onderwerpen. Mijn ervaring is dat ze zich dan opeens allemaal in een bocht wringen om een wenselijk antwoord te geven. Eenmaal gezegd kun je ze er dan op aanspreken. Grote partijen en politici hebben daar echter afweermechanismes tegen waardoor het moeilijk is om nieuwe ideeen te introduceren, ondanks dat alle partijen zeggen op zoek te zijn naar nieuwe leden met nieuwe ideeen.

[veltnet]

Stemmen heeft weinig zin om ambtenaren van hun plek te krijgen.
Met stemmen krijg je nieuwe politici , maar de ambtenaren blijven altijd zitten.

[CAPSLOCK2000]

Stemmen heeft weinig zin om ambtenaren van hun plek te krijgen.
Met stemmen krijg je nieuwe politici , maar de ambtenaren blijven altijd zitten.

Ambtenaren zijn gewone werknemers die doen wat hun bazen ze opdragen met de middelen die ze daar voor krijgen. Het is de politiek die bepaalt hoe groot de IT-afdeling is, hoe hoog de salarissen zijn, hoeveel budget er is en waar de prioriteiten liggen.

Mensen worden echt niet opeens lui of gek als ze voor de overheid gaan werken.

[rkynj756]

Niet betalen. En dat zeg ik als Antwerpenaar. Beter de bluts met de buil nemen. Ik vraag me wel af hoeveel wake-up calls we in België nog nodig gaan hebben om te beseffen dat alles wat met cybersecurity te maken heeft, zwaar ondermaats is in ons land. Ze hebben bij Defensie nu wel een nieuwe component cybersecurity opgericht, dat is een stap in de goeie richting, maar de talentvolle IT'ers aan boord halen zal nog niet zo simpel zijn. Vooral bij lokale overheden, steden en gemeenten dus, is er nog héél wat werk aan de winkel...

[PartyPenguin]

Ik ben van dezelfde mening als mede-Antwerpenaar. Zeker als er, door de publicatie van gegevens die dan volgt, extra aandacht gaat naar hoe dit probleem tot stand is gekomen en wat er mis loopt bij de beveiliging.
Als ze de dwangsom gewoon betalen en het "probleem" zo kunnen "oplossen" heeft het stadsbestuur verder geen reden om het onderliggend probleem van cybersecurity aan te pakken, en tegelijk sponsoren ze criminelen en moedigen ze ze aan om zulke aanvallen te blijven doen.

[AnD]

Goed dat ik op de parking woon.

[kwaakvaak_v2]

haha... denk dat er weinig Nederlanders zijn die deze grap gaan vatten

[theobril]

een hint? Tijd voor de kerstpuzzel

[kwaakvaak_v2]

AnD woont in ieder geval niet in Antwerpen

[PartyPenguin]

In België is de uitspraak "Antwerpen is de stad en de rest is parking" redelijk bekend en geeft aan hoe arrogant Antwerpenaren zouden zijn (arrogantwerpen).

Ik ben zelf van Antwerpen maar zou zoiets nooit zeggen, ik ken ook niemand die er echt zo over denkt, en hoor deze uitspraak eigenlijk uitsluitend door mensen van buiten Antwerpen (zoals in bovenstaande reactie) Maar zolang het allemaal als grap bedoeld is ga ik er mij ook niet druk in maken

[theobril]

Dank voor uitleg, had ik nooit kunnen bevroeden.

[Verwijderd]

En ondertussen dendert de EU-trein in volle vaart verder op het gebied van meer en meer data van burgers digitaal vastleggen.

[boxlessness]

Tja, you can't have your cake, and eat it. Wil je snelle efficiente communicatielijntjes en gemak van geintegreerde systemen, dan zul je je data digitaal moeten hebben. Wil je je data niet digitaal, dan moet je maar een week wachten tot je data van instantie A naar instantie B op de post is gezet en over is genomen, met de daarbij behorende ambtelijke kosten.

Gemak, efficientie en lage kosten gaan helaas niet hand-in-hand met een papieren wereld.

[Verwijderd]

Tja, you can't have your cake, and eat it. Wil je snelle efficiente communicatielijntjes en gemak van geintegreerde systemen, dan zul je je data digitaal moeten hebben. Wil je je data niet digitaal, dan moet je maar een week wachten tot je data van instantie A naar instantie B op de post is gezet en over is genomen, met de daarbij behorende ambtelijke kosten.

Gemak, efficientie en lage kosten gaan helaas niet hand-in-hand met een papieren wereld.

Wat een onzin, voor veel dingen kan het probleemloos,
om alles maar digitaal te doen is vragen om problemen, daar kun je niet omheen.
Onlangs heeft er iemand een bankrekening geopend op vermoedelijk zijn naam, gebruikmakend van mijn huisadres.
Bank weet van niks, aangifte gedaan bij politie, waar ik niks aanheb, zij doen niets, net als aan duizenden andere cybercriminaliteits zaken.
Mooi toch die digitale efficentie.

[Sloeber]

Nee, dat wil ik niet en volgens mij ben ik daar niet de enige in. Ik ben een beetje klaar met al die "verbeteringen" die altijd na implementatie helemaal niet zo ideaal blijken te zijn:

- Inductie-kookplaten: Werkt super! Je moet alleen een volledig nieuwe set pannen kopen, en specifiek de materialen die ideaal voor koken zijn, werken niet (koper en rvs, alu voor mensen met budget).

- 5G: Sneller internet, top! Je moet alleen 10x zo veel meer masten plaatsen.

- Alles digitaal, super handig en snel! Je data wordt constant op straat gepleurt, en de gevolgen van een digitaal vs. analoog datalek zijn vele malen groter (een database versus een brief of 1 persoon die info lekt).

We nemen tegenwoordig nauwelijks in acht, wat de nadelige gevolgen zijn van nieuwe technologie, en we zijn totaal niet bezig daarin harmonie te vinden. Dus ja, die EU-trein raast inderdaad maar door, zonder ooit de gevolgen accuraat in te schatten. Nu ook, dat elektricitieitsgebruik aan banden gelegd moeten worden, omdat er eigenlijk helemaal geen infrastructuur is om zoveel EV's te laden, of huizen op elektra te verwarmen.

[Blokker_1999]

Een inductie kookplaat is toch echt een keuze die je zelf maakt. Niemand verplicht je die te nemen. Er zijn alternatieven die wel werken met de pannen die je al had.

Het doel van 5G is helemaal niet om je sneller internet te bieden. Waarom focust iedereen toch altijd op die snelheid. En meer zendmasten? Neen, ook niet strikt noodzakelijk. Al is dat afhankelijk van de gebruikte frequenties. Maar op plaatsen waar meer masten zijn komt dit net omdat de signalen net minder goed door obstakels heen gaan, en dus ook minder door je lichaam

De nadelige gevolgen worden wel degelijk meegewogen, maar als je alles waar nadelen aan zitten moet gaan verbieden, dan kunnen we evengoed stoppen met leven. Het is altijd een afweging tussen voor- en nadelen. Want die voordelen zijn er ook en ze zijn ook niet min.

En het beperken van je elektriciteitsgebruik heeft nu eens heel weinig te maken met EVs of huizen verwarmen en alles met een oorlog die aan onze grenzen aan het gebeuren is...

[Sloeber]

Volgens mij wordt bij nieuwbouw zo goed als standaard inductie ingebouwd. We moeten van het gas af, en elektrische/thermische kookplaten zijn al helemaal een ramp.

5G is wel interessant, ik dacht dat wegens de hoge frequentie het bereik per definitie lager is. Daar kan je toch niet omheen? Daarom heb je toch ook langegeolf-radio (met dus lagere bandwidth). Ik dacht dus dat bereik - Latency/snelheid altijd disproportioneel evenredig was?

Ten slotte stel je nu juist het tegenovergestelde van wat ik zei. Ik pleitte voor méér harmonie in vooruitgang en duurzaamheid. Niet om alles zonder nadenken te verbieden. Eenvoudig voorbeeld, als de ontwikkeling van vliegtuigen wat meer tegengehouden was, wie weet dat we nu dan een veel betere spoornetwerk zouden hebben (met hoge snelheidstreinen)? Idem voor elektrische auto's. Als we accepteren dat de oplossing voor 1,5 ton eenzitters niet een 2,5 ton eenzitter is, maar wat anders, misschien kwamen we dan nu met iets beters? Nu subsidiëren we op zowat elke manier (stroom, aankoop, belasting, laadinfrastructuur) de overstap, maar is het uiteindelijk echt beter of louter "minder slecht"?

Ik vind dit een heel goed punt om bij veel zaken beter te bespreken, en ik vind dat er een soort "boomer-stigma" zit op het kritiek hebben op vooruitgang. Als je ertegen bent zal je wel een nitwit zijn, of terug willen naar voor de industriële revolutie.

[EraYaN]

5G hoeft niet een hoge frequentie te gebruiken er is hoogstens een mogelijkheid. Verder is het vooral om meer capaciteit (als in meer telefoons in 1 cel) te creëren en dat kan er dan voor zorgen dat je op het volgende festival waar je bent wel gewoon internet hebt.

Het is altijd minder slecht, want dat is nou eenmaal de definitie van beter.

[Sloeber]

Maar wat wordt in de praktijk gedaan? Voor zover ik weet dus altijd hoogfrequent, laag bereik.

Je laatste zin kan ik weerleggen met het klassiek trolley-probleem. Is 1 persoon doden minder slecht dan 5 personen? Als jouw technologische vooruitgang een "nog betere" onmogelijk maakt of verhindert, is het dan inderdaad minder slecht? Als de concorde de enige vorm van luchtvervoer was geweest, was het dan niet in bepaald opzicht "beter", omdat het vliegen zo duur maakte dat alle investeringen in vliegvervoer dan in treinen was gestopt?

[EraYaN]

De 700 Mhz band wordt hier in Nederland gewoon gebruikt voor 5G hoor, dat is nog lagere frequentie dan voor 4G... En zodra er meer 4G afgeschakeld wordt kan de volgende band ook gewoon voor 5G gebruikt worden.

Ik heb geen idee waar je het over hebt in je tweede alinea. Het is gewoon dat "minder slecht" altijd "beter" is daar slechter en beter gewoon tegenovergestelde van elkaar zijn (allebei een vergrotende trap van resp. slecht en goed). Dat heeft verder helemaal niets met context of wat dan ook te maken. "minder goed" is dus ook hetzelfde als slechter.

[Reactie gewijzigd door EraYaN op 24 juli 2024 17:03]

[Sloeber]

Ok, bedankt voor de info ik dacht tot dusver dat het louter andere banden zijn.

En dat ligt eraan of je kijkt naar een relatieve of absolute schaal. 5 mensen vermoorden en 3 mensen vermoorden liggen beide aan de linkerkant van de slecht/goed schaal, maar 3 is "minder slecht".
De vraag is dus, moet je "settelen" voor minder slecht, of zou je pas moeten overgaan op nieuwe technologie wanneer het niet verder nadelen met zich meebrengt?

[Verwijderd]

Een beetje inlezen over wat de EU doet en op welke manier er wordt gestemd zou u wel deugd doen.

[SMGGM]

Is ook mijn bezorgdheid om eerlijk te zijn. GDPR is in voegen gebracht om de gebruiker meer te beschermen omdat het bedrijven verplicht wat na te denken over welke data ze verzamelen (data minimalisatie). Daarentegen zit de overheid wel meer data van je te bewaren zoals de verplichting van het verzamelen van de vingerafdruk(*).

Als je dan ziet dat overheden zeker niet immuun zijn aan dit soort aanvallen, is het dan niet beter dat ze zelf een aan data minimalisatie doen?
Recentelijk kwam er ook in het nieuws dat de politie van Zwijndrecht het slachtoffer was (nieuws: Hacker breekt in in systemen lokale Belgische politie en plaatst data...) en hierbij werden naast nummerplaat gegevens en boetes ook gegevens gestolen van slachtoffers van kindermisbruik (https://www.vrt.be/vrtnws...king-politie-zwijndrecht/). Dat zijn zeer zware feiten en kunnen het leven van mensen kapot maken (zowel daders als van (foute) verdachten en de slachtoffers).

Als je zo'n dingen dan leest dan krijg je inderdaad schrik en deel ik je bezorgdheid volledig.

(*) voor zij die het afvragen, de vingerafdruk zal in België enkel bijgehouden worden op de eID en zou enkel ontcijferd kunnen worden door zij die daar toegang toe mogen hebben. De overheid zelf zou deze dus niet zelf bewaren en kan hier dus ook niet op zoeken.
Nu tussen het lezen van de vingerafdruk en het aanmaken van de eID zal die afdruk wel bijgehouden moeten worden (gedurende maximaal 3 maand). Er moest daar maar eens iets mislopen...

[BeosBeing]

Nu tussen het lezen van de vingerafdruk en het aanmaken van de eID zal die afdruk wel bijgehouden moeten worden (gedurende maximaal 3 maand). Er moest daar maar eens iets mislopen...

Iedere maand een backup, en iemand die toegang heeft tot de backups kan ze allemaal harvesten.
In Nederland hadden we een paar jaar geleden ook zoiets moois. De politie mocht gegevens van de ANPR-camera's oom maar een paar weken bewaard worden (was oorspronkelijk 24 uur en daarna nog eventjes 48 uur) maar ze deelde die met de belastingdienst, die het gebruikte voor de controle op privé-gebruik van bedrijfswagens (m.n. geleaste personenwagens voor klantbezoek e.d.) en die mocht het jaren gebruiken. De politie had geheime afspraken met de belastingdienst om die gegevens wanneer ze dat wilden terug in te zien. En dat is slechts één voorbeeld van de tientallen die er de afgelopen 20 jaar in het nieuws geweest zijn (dit soort overheidspraktijken zijn begonnen eind jaren 80)

[falcon_050]

Een heel ander punt is dat landen of landen gezamenlijk geen fatsoenlijke firewall hebben (in tegenstelling tot China) waarmee niet of onduidelijk geregistreerde IP (ook IP6) adressen toegang geweigerd wordt. Zou een hoop schelen. Particulieren en bedrijven kunnen dat niet omdat er ook iets gedaan moet worden aan de manier waarop IP-adressen worden vergeven. Het helpt dan niet meer om te werken vanuit servers binnen het gebied.

[Verwijderd]

De zwakste schakel blijft uiteindelijk de mens, die onwetend op een excelletje als bijlage geklikt had. Vervolgens installeert het malware en met die malware heb je alle tijd om alles in kaart te brengen.

[dutch_camel]

Ik wordt zo moe van dit soort argumenten.
Wanneer de mens de zwakste schakel zou zijn, hebben dus blijkbaar alle andere verdedigingslinies gefaald.

Die mens, die je nu gemakshalve even wegzet als, lets face it, een domme eindgebruiker, is, wanneer je het goed aanpakt, je allerlaatste verdedigingslinie.
En ja, dat betekend dus investeren in middelen om die scherp alert te houden.

Even er van uitgaande dat je jezelf ook als mens beschouwt, zie je jezelf dus ook als 'de zwakste schakel'? Lijkt mij geen fijne gedachte ...

Mijn advies: Leer omdenken. Zet de mens in als je geheime superwapen. Geef die mens kennis, beloon die mens wanneer deze een melding maakt wanneer er een vreemd mailtje oid ontvangen wordt. Ook wanneer het alleen maar een melding is op basis van een gevoel. We hebben mensen nodig, koester ze.

Imho is het pure minachting naar elke gebruiker (of mens) om deze als zwakste schakel te blijven wegzetten. Je bent dan eigenlijk een deel van het probleem.

[Verwijderd]

Ik wordt zo moe van dit soort argumenten.
Wanneer de mens de zwakste schakel zou zijn, hebben dus blijkbaar alle andere verdedigingslinies gefaald.

Imho is het pure minachting naar elke gebruiker (of mens) om deze als zwakste schakel te blijven wegzetten. Je bent dan eigenlijk een deel van het probleem.

Hoe zie jij het dan voor je?
Als consumenten, die hun pc jaarlijks naar een computerservice bedrijf brengen om die te laten controleren, op virussen en ander (shit)ware, zorgen dat de pc veilig is en blijft.
In die zaak nog een extra virus scanner aangesmeerd krijgen bij een Windows 10 pc, waarbij er geen betere virusscanner is dan die standaard in Windows 10 zit.
Iedereen weet dat dit averechts werkt.
Het gros van de mensen weten niet beter, hebben er geen interesse in, delen al hun hebben en houden op social media, etc.
Het is gigantisch probleem, waaraan iedereen zijn bijdrage zou moeten leveren om internet zo veilig mogelijk te houden.
Maar hoe??
Vertel het mij eens om ransomware buiten de deur te houden.

[dutch_camel]

Dan moet je denk ik wel een onderscheid maken tussen de 'gewone' thuisgebruiker, en de bedrijfsmedewerker.
Ik ben het met je eens dat de thuisgebruiker een zeer lastig te bereiken en overtuigen groep is. Ze is zeer divers op alle fronten: Leeftijd, kennis, bewustzijn etc. Je merkt dat ook de overheid hier mee worstelt, hoe je deze groep aan boord krijgt.
Ik heb ook geen passend antwoord, dan dat one-size-fits-all niet werkt. Een (te) grote groep staat er niet bij stil dat ondertussen iedereen een prooi is. Helaas zie ik het op Tweakers ook nog steeds, een groepje dat bijvoorbeeld geen anti-virus gebruikt, omdat ze 'zelf hun systeem monitoren'.

Maar dit stuk ging over een bedrijf, of beter, een overheidsorganisatie. En daar mag je van verwachten dat zij naast alle technische lagen om zich te verdedigen, ook de mens zelf aandacht geeft.
Bij mijn werkgever hebben we laatst bijvoorbeeld een phishing oefening gehouden. We zagen tov vorig jaar een belangrijke verschuiving: Heel veel gebruikers hebben de mail gemeld als mogelijk verdacht. Alle energie en aandacht die er de afgelopen jaren in awareness en training is gestopt, begint iets op te leveren. Ineens zie je iets ontstaan, een extra linie in het hele pakket van beveiligingsmaatregelen. We hebben overigens alle medewerkers die dit gemeld hebben, ook een leuke&lekkere attentie gegeven. De euros die we daar aan hebben uitgegeven, staan niet in verhouding tot de totale winst in bewustzijn en het reduceren van risico.

Mijn motto is ondertussen: elk bedrijf krijgt de gebruiker die zij verdient.

[BeosBeing]

Hoe zie jij het dan voor je?
Als consumenten, ...
Vertel het mij eens om ransomware buiten de deur te houden.

Consumenten is wat lastiger. De meeste ransomware richt zich op bedrijven. Daar valt het meeste te halen en die moeten om bedrijfstechnische redenen wel kunnen doordraaien. Die bedrijven kunnen dus hun mensen trainen.

En voor consumenten, je zou kunnen beginnen door op scholen daar aandacht aan te besteden. In principe wordt dat al op kleine schaal gedaan, men adviseert kinderen nooit de naam van hun school of hun adres op internet te delen, je kunt dat dus makkelijk uitbreiden, maar tot nu toe is het geen prioriteit in de leervereisten.
Artikeltjes uit 2015
https://vives.nl/stel-ver...r-nederlandse-scholieren/ (laatste alinea)
https://www.ad.nl/binnenl...ploma-voor-kind~af2dc311/
https://www.rtlnieuws.nl/...a-voor-kinderen-verplicht

Iets betere artikelen
2019 https://www.famme.nl/internetgebruik-kinderen-opvoeding-adv/
https://www.sjoukjedijkst...kinderen-internetwijs.pdf (tweede kolom, onder kopje "vijf tips"

Voor ouderen is dat wat moeilijker. Als die nog werken zou de bedrijfstraining ook voor hun privé-gebruik nuttig kunnen/moeten zijn. Als ze niet meer werken, is het lastiger. Er was hier een paar jaar geleden een door de gemeente gesponsorde cursus "omgaan met de digitale overheid" waarbij mensen dus leerden een digibox aan te maken (waarin ze dus prompt werden aangemeld om al hun overheidspost enkel nog digitaal te krijgen) en na een handjevol bijeenkomsten was die klaar en werden mensen aan hun lot overgelaten. Die wisten dan vaak niet meer hie ze in die digibox moesten komen. Dat is dus een voorbeeldje van hoe het niet moet. Hoe ouder iemand is, hoe moeizamer het gaat, en dus hoe meer geduld je moet hebben, maar ook hoe meer de werking van zoiets logisch moet zijn vanuit de gebruiker gezien. En wat je zeker niet wilt is dat iemand die vrijwel nooit een tablet of telefoon gebruikt, verplicht moet worden om in te loggen met zo'n ding via 2FA want dan weet je vrijwel zeker dat het na een tijdje - telefoon niet meer gebruikt, inmiddels te oud - vaak zelfs bij de tweede keer al, niet meer gaat lukken.

Nog een mooi voorbeeld.
Bij DigiD verliep in het begin je account ook nadat het 1 jaar niet gebruikt werd.
- Toen de kinderopvangtoeslag van start ging, was dit een van de eerste dingen waarvoor je DigiD nodig had. Mensen vroegen dan DigiD aan, vervolgens kinderopvangtoeslag, en daarna werd het meerdere jaren niet meer gebruikt. Als je dan daarna dat moest wijzigen (kind 4 geworden gaat niet meer naar dagverblijf maar naar school) dan moet je opnieuw DigiD aanvragen.
- Mensen gebruikten die toen echter hooguit één keer per jaar (voor de IB-aangifte) en als je het ene jaar daar vroeg mee was, en het jaar daarop laat, dan was DigiD verlopen. Tegenwoordig verloopt het niet meer binnen één jaar.

[Frame164]

Waarom komt dat foute excelletje in iemands mailbox? Dan hebben toch echt de IT-ers (onze collega's dus) gefaald. Het wordt tijd dat we als IT sector de hand in eigen boezem steken en niet altijd anderen de schuld geven. Niet de schuld geven aan gebruikers maar ook niet aan management. Een beetje professional neemt zelf de verantwoording voor z'n handelen.

Een vrachtwagen die crasht door slechte remmen is ook niet de schuld van de chauffeur. Bij IT wordt dat nog wel altijd gezien. Tijd om wat professioneler te worden.

[Blokker_1999]

sorry, maar verkeer blokkeren op basis van land van herkomst is toch echt een basisfunctie die je in zowat elke firewall terug vindt of zelf heel snel kunt opzetten. Maar als jij denkt dat je daarmee aanvallen stopt, droom dan gerust verder. Al te vaak zien we dat zulke malware groepen gewoon in westerse landen zitten en dat het ook geen migranten zijn. En de Chinese firewall laat ook zien dat deze alles behalve perfect is.

[telenut]

De hacks doet men vanaf VPN en gehuurde servers in het land waar men aan het hacken is. Dus dat helpt al zeker niet :-)

[falcon_050]

Voor VPN is ook een ip in het eigen land nodig...

[Yannickto]

Ja regeringen zitten vol met corrupte shit, Win win voor hen, verlegt de aandacht naar dat wat vrij gegeven word en ze zullen eerst wel effe vlug op keywords, zaken die illegaal zijn door hoogstaande mensen te grabbel gooien en dan moeten ze daarop focussen, en als je betaalt, ja 556gb is niet niks als het om documenten en foto's gaat of video dat kwa kwaliteit geen 4k zal zijn, 56gb was het een week ervoor in zwijnaarde?

[Mediacj]

Ik vind Hackerscollectief wel heel onschuldig klinken in de kop van het artikel. Het zijn gewoon zware criminelen dus ipv deze kop had het van mij ook dit mogen zijn:
"Criminelen dreigen over een week gegevens Antwerpenaren te publiceren"

[manuarmata]

De GEMEENTE Antwerpen? Da gaan de van ‘t Stad graag horen 😂. Gelukkig het nabijgelegen dorpje Brussel gespaard gebleven.

[BlaDeKke]

Dorpje? Parking bedoel je.