Woningcorporatie Woonkracht10 betaalt onbekend losgeldbedrag aan ransomwarebende

Woningcorporatie Woonkracht10 is slachtoffer geworden van de Play-ransomware. Het bedrijf zegt losgeld te hebben betaald om de gestolen data te laten verwijderen, maar het is niet bekend hoe hoog het losgeldbedrag was.

Woonkracht10 bevestigt op haar website dat ze door ransomware getroffen is. Volgens RTL Nieuws gaat het om de Play-ransomware, maar dat noemt de woningcorporatie niet. Woonkracht10 zegt losgeld te hebben betaald aan de criminelen. "Wij doen al het mogelijke om de data van onze huurders, medewerkers en andere betrokkenen te beschermen onder deze moeilijke omstandigheden", schrijft de organisatie. "Na een zorgvuldige afweging besloten wij om met de aanvaller afspraken te maken over het verwijderen van onze data." Het is niet bekend hoe hoog dat losgeld is; Woonkracht10 kon dat niet zeggen.

De ransomware-infectie vond plaats in het weekend van 22 en 23 april. De organisatie schrijft niet hoe de criminelen de netwerken zijn binnengedrongen. Wel heeft het bedrijf 'externe deskundigen' ingeschakeld. Die concludeerden dat er gegevens van huurders, werknemers en 'andere betrokkenen' zijn buitgemaakt, maar om welke data het gaat, is niet bekend. Woonkracht10 is gevestigd in Zwijndrecht en verhuurt daar bijna 11.000 woningen.

Op de website van de Play-ransomwarebende is momenteel niets te vinden over een aanval op Woonkracht10. Play sloeg eerder in Nederland toe bij het transportbedrijf Royal Dirkzwager. In maart hackte de bende daar onder andere identiteitsbewijzen en paspoortkopieën, contracten en andere 'vertrouwelijke data'. Dirkzwager besloot geen losgeld te betalen, waardoor de gegevens nog op de website van de bende te vinden zijn.

Reacties (199)

[Tukk]

Wat zijn de argumenten tegen een verbod om dit soort betalingen te doen?

Als organisatie snap ik het wel, dat je wil betalen. Maar het grotere probleem oplossen begint, naast betere security, ook met het verwijderen van de reden om dit te doen. Toch? Mis ik iets?

[laurens0619]

Ligt helaas erg complex. Was tijdje terug ook interessant artikel over op tweakers:
review: Losgeldverbod voor ransomware: het gevoel zegt ja, het onderzoek zegt...

[CAPSLOCK2000]

Wat zijn de argumenten tegen een verbod om dit soort betalingen te doen?

Als organisatie snap ik het wel, dat je wil betalen. Maar het grotere probleem oplossen begint, naast betere security, ook met het verwijderen van de reden om dit te doen. Toch? Mis ik iets?

Omdat slachtoffers dan in een positie worden gebracht dat ze niet naar de politie durven te gaan.
Bij een losgeld situatie is het eigenlijk altijd zo dat je voor een onredelijke keuze komt te staan, een klein bedrag betalen of enorme schade accepteren, misschien wel zo extreem dat je bedrijf failliet gaat of er mensenlevens in gevaar komen.

Je wil niet dat mensen dan niet naar de politie durven te gaan omdat ze geen andere uitweg zien dat te betalen. Het zou het voor de criminelen alleen maar makkelijker maken om mensen in een positie te brengen waar ze geen andere mogelijkheid zien dan stilletjes betalen.
Vervolgens kunnen ze hun klanten dan ook niet inlichten dat ze slachtoffer zijn geworden.

[Reactie gewijzigd door CAPSLOCK2000 op 22 juli 2024 13:29]

[jvdberg]

Helemaal mee eens. Op dit moment is het voor bedrijven gewoon een economische afweging om te betalen of niet. Daarmee blijft het verdienmodel van deze criminelen in stand.
Door een verbod in te stellen op cq. strafbaar maken van het betalen van losgeld voor ransomware, dwing je bedrijven om security nou eindelijk eens serieus te gaan nemen en neem je een belangrijke drijfveer voor criminelen weg.

[lenwar]

...dwing je bedrijven om security nou eindelijk eens serieus te gaan nemen...

Het is natuurlijk in de praktijk ook heel moeilijk. Iedereen hier weet dat je het nooit 100% waterdicht kan krijgen. Mogelijk was het in dit geval een hele domme fout van iemand. Misschien was er een gapend lek. Misschien was het daadwerkelijk gewoon een phishingmailtje die bij de verkeerde persoon terecht was gekomen.

Allemaal niet goed en had niet mogen gebeuren, enz, enz, enz. Daar is iedereen het over eens. Maar we kunnen op basis van dit bericht niks zeggen over of het bedrijf zijn beveiliging wel of niet serieus nam. Dat het niet voldoende bleek is in elk geval wel het geval.

[vliegendekat]

Een vergelijkbaar argument kan je ook maken m.b.t. de huidige situatie.

Doordat het nu wel toegestaan is om losgeld te betalen, betekent ook dat organisaties op "YOLO"-wijze kunnen omspringen met hun beveiliging.

Als het antwoord op voorhand al "NEE" is, dan zal men voordat men actie onderneemt al na moeten gaan denken over data-minimalisatie, backups en beveiliging in plaats van dat zij de gebruikelijke aanpak kunnen kiezen waarin men de existentiële risico's op digitaal gebied kan negeren.

[nullbyte]

Exact, het terugzetten van een backup zou een ransomware aanval moeten mitigeren. De oplossing "we betalen wel" zou geen optie moeten zijn.

[Reactie gewijzigd door nullbyte op 22 juli 2024 13:29]

[MichaelB74]

Je weet echter vaak niet wanneer de infectie heeft plaatsgevonden, dus "zet maar een backup terug" is niet altijd een oplossing.

Daarbij zijn er organisaties waar het terugzetten van een backup van een paar weken oud immense financiële gevolgen heeft en soms het faillissement betekend.

[Centurion183]

In dit geval gaat het erom dat er data is buit gemaakt en de organisatie niet wil dat de data naar buiten komt.
Men betaald dus de hackers zodat ze de data niet openbaar maken.
Zover ik het lees is de data in hun omgeving niet encrypted, dus een backup terugzetten is dan ook niet nodig en niet aan de orde.

[vliegendekat]

In dit geval gaat het erom dat er data is buit gemaakt en de organisatie niet wil dat de data naar buiten komt.
Men betaald dus de hackers zodat ze de data niet openbaar maken.
Zover ik het lees is de data in hun omgeving niet encrypted, dus een backup terugzetten is dan ook niet nodig en niet aan de orde.

Dit is waarom ik hamer op "data minimalisatie".
Data is geen aanwinst of activa (asset), maar een aansprakelijkheid (liability).

[Centurion183]

Je bedoeld dat je alleen die data verzameld die je ook echt nodig hebt, de rest kan weg? Op zich wel slim, je zou zeggen dat dit als normaal beschouwd zou kunnen worden.

Ik werk bij een GGZ instelling in de ICT. De data wordt hier beschouwd als dat die van de cliënt is, niet van ons. Als een cliënt vraagt de data te wissen dan moeten we dat ook echt doen.

We doen er zoveel mogelijk aan de werkplek zo veilig mogelijk te houden.
Maar je kan niet alles blokkeren, laatst iemand die een linkje aanklikte in de privé mail, hop ransmomeware/mallware erop.
Gelukkig zag onze virusscanner dit tijdig en hebben we de laptop direct uit laten zetten en om laten wisselen.

We krijgen ook best veel alerts dat in enkele minuten tijd iemand probeert in te loggen in Moskou, China, India etc. Gelukkig is het, zover wij weten, nog niet gelukt en ondernemen we tijdig actie.
Maar ik merk dat dit issue echt op het netvlies moet staan van iedere organisatie om de veiligheid van data te kunnen garanderen. Je krijgt echt bijna dagelijks een poging tot een hack merk ik nu.

[Reactie gewijzigd door Centurion183 op 22 juli 2024 13:29]

[vliegendekat]

Je krijgt echt bijna dagelijks een poging tot een hack merk ik nu.

Dat is erg weinig en suggereert dat u toch nog niet alles in beeld heeft.
Het is gebruikelijker om er enkele honderden per dag te zien.

[Centurion183]

Ik zie niet de hackpogingen op netwerkgebied, enkel wat de virusscanner aangeeft en vreemde inlogpogingen in Azure/Office.
Op netwerkgebied zal er nog veel meer gebeuren inderdaad.

[vliegendekat]

Je weet echter vaak niet wanneer de infectie heeft plaatsgevonden, dus "zet maar een backup terug" is niet altijd een oplossing.

Daarbij zijn er organisaties waar het terugzetten van een backup van een paar weken oud immense financiële gevolgen heeft en soms het faillissement betekend.

Er is met ransomware altijd een moment waarop alles nog niet op slot zat.
Het hebben van een backup (geen snapshots, maar een echte backup) maakt je heel wat weerbaarder.

Organisaties waar de gevolgen immens kunnen zijn, moeten sowieso beginnen met nadenken over waar zij mee bezig zijn.

[vliegendekat]

Exact, het terugzetten van een backup zou een ransomware aanval moeten mitigeren. De oplossing "we betalen wel" zou geen optie moeten zijn.

Moderne ransomware is vervelender.
Naast dat zij alle data in een organisatie op slot zetten, upload deze vaak ook alle data naar een server van de hackers, waarna de groep dreigt met publicatie van die data.

Het is dus slechts een oplossing voor één deel van het probleem maar het maakt toch de dreiging fors kleiner.

[nullbyte]

Dat weet ik daarom verwijs ik naar Mitre ATT&CK -> preventie van data exfiltratie in mijn andere comments.

Dus ja, data exfiltratie vind plaats bij de meest moderene ransomware attacks. Echter er is zat tegen te doen.

[JakkoFourEyes]

Nouja, denk niet alleen een economische afweging. Denk niet dat het een goede zaak is dat allemaal persoonlijke data daadwerkelijk op straat komt te liggen.

[Hukkel80]

Ik ben het met je eens. Zolang je blijft betalen aan zulke figuren zullen ze je blijven aanvallen. Zijn het niet dezelfde figuren dan wel anderen die hetzelfde kunstje uithalen. Want ze betalen toch wel.

Dit "losgeld" is mooi wel betaalt met geld van huurders. Waarmee ze moeten verduurzamen en nieuwbouw moeten doen en onderhoud plegen.

[Darksteel83]

Dat vraag ik me ook steeds meer af. Als niemand meer betaald houd het voor het heel groot deel op. Er is dan in elk geval geen verdienmodel meer.

[michaelkamen]

Moet je dan maar als organisatie lijdzaam toezien hoe hackers jouw gegevens publiceren, waardoor je reputatie keldert, al je klanten weglopen, of je enorme schadeclaims krijgt?
Want het stopt niet van de ene op de andere dag.
Kan de overheid jou verplichten om je bedrijf ten onder te laten gaan als je gehacked bent?
Ik vind dat nogal wat.

[batjes]

Risico van bedrijfsvoering. Net als dat er genoeg andere risico's zijn.

We mogen soms ook aan de samenleving denken ipv het individu boven de rest te plaatsen.

Het is beter voor ons allemaal als we stoppen met betalen en het niet in stand houden. Maar dit moeten we op EU niveau regelen.

[CAPSLOCK2000]

Het heeft geen zin om zaken te verbieden die mensen alleen onder dwang doen. Het hele punt van dwang is dat mensen eigenlijk geen andere keuze hebben dan meewerken.

Het beroven van banken is verboden, maar een bankmedewerker die met een pistool bedreigd wordt door een bankrover zal toch meewerken en de kluis openmaken. Geen rechter zal die medewerker veroordelen voor medeplichtigheid want de medewerker werd gedwongen.

Als je bedrijven strafbaar zou stellen zou het ook nog een ander ongewenst bijeffect hebben, namelijk dat het dan aantrekkelijker wordt om medewerkers persoonlijk te chanteren. Als het persoonlijk wordt dan is het nog moeilijker om rustig en rationeel te blijven handelen en hulp te vragen.

Dat hulp vragen is ook een belangrijke reden tegen het verbod op losgeld betalen. Als je in zo'n situatie komt wil je hulp kunnen vragen aan de politie of andere specialisten. Als betalen strafbaar is zullen velen die hulp niet durven vragen als ze denken dat er geen andere uitweg is dan betalen.
Vervolgens kunnen ze geen aangifte doen bij de politie want ze zijn zelf in overtreding. De klanten/slachtoffersw informeren is ook niet meer mogelijk. Hulp inschakelen van een gespecialiseerd security bedrijf om de rommel weer op te ruimen is ook niet mogelijk want die hebben direct door wat er aan de hand is en zouden dan aangifte moeten doen bij de politie.

Het eerste wat dit soort criminelen zegt is "ga niet naar de politie", daar moeten we ze niet mee helpen.

[Reactie gewijzigd door CAPSLOCK2000 op 22 juli 2024 13:29]

[batjes]

Dus maar niets doen en de criminaliteit door subsidiëren? De enige reden dat het zo professioneel bestaat, is omdat men betaald

[Wouterie]

Je pakt criminelen niet aan door de slachtoffers strafrechtelijk te vervolgen als ze meewerken om erger te voorkomen. Je creëert alleen maar meer criminaliteit. Het is een absoluut zwaktebod om de slachtoffers aan te pakken omdat je de criminelen niet te pakken kunt krijgen. Zo werkt het gelukkig niet in onze rechtsstaat.

[icall5s]

Nee dat is zeker niet de enige reden. Omdat veel systemen en data gewoon slecht beveiligd is.

[CAPSLOCK2000]

Dus maar niets doen en de criminaliteit door subsidiëren? De enige reden dat het zo professioneel bestaat, is omdat men betaald

Nee, andere dingen doen.
Maar als we niks beters kunnen bedenken dan de slachtoffers te straffen dan vind ik inderdaad dat we beter niks kunnen doen.

[CAPSLOCK2000]

Je doet net alsof er geen andere oplossing is dan een verbod op betalen.
Zolang je blijft doen alsof we "niets" als er geen verbod is voelt dit niet heel construcutief.

[Reactie gewijzigd door CAPSLOCK2000 op 22 juli 2024 13:29]

[batjes]

Doe ik dat? Of vind ik dat het beter is om te stoppen met betalen, dan op de huidige gang door te zetten. Is toch heel wat anders dan de woorden die je nu in mijn comment legt

Kom met een betere oplossing dan

[Reactie gewijzigd door batjes op 22 juli 2024 13:29]

[CAPSLOCK2000]

Kom met een betere oplossing dan

Tnx, zo kunnen weer praten
Maar zelfs als ik geen betere oplossing had zou ik een dergelijk verbod nog steeds niet willen omdat het imho meer kwaad dan goed doet.

Een betere oplossing is bedrijven helpen te zorgen dat ze geen slachtoffer worden van ransomware. Deels door voorlichting, deels door wetgeving en misschien ook wel met subsidies zodat ze expertise in kunnen huren.

Daarnaast zou ik graag meer aandacht willen voor dataminimalisatie. Wat er niet is kan ook niet gestolen worden. Voor een deel is dat zo simpel als een keer goed nadenken over wat je allemaal opslaat, wat je daadwerkelijk gebruikt en wat je echt nodig hebt.

Een ander deel kan worden opgelost door informatie centraal of indirect op te slaan. Daarbij denk ik aan hoe iedere webshop nu een kopie heeft van de persoonsgegevens van alle klanten. Een typische webshop heeft de klantgegevens alleen nodig om ze aan de postbode te geven die het pakketje bij de klant moet bezorgen. Een leuke aanpassing zou zijn dat je die gegevens direct met de postbode deelt en de webshop vervolgens een anoniem klantnummer geeft dat postbode vertelt waar het pakketje naartoe moet.

Nog een aanpak die ik graag zou zien is dat we belasting gaan heffen over data. Als we overal voor moeten betalen met onze data dan is het logisch dat de belastingdienst ook z'n deel wil. Als je belasting moet betalen over alle data die je hebt opgeslagen is er opeens een goed argument om zo min mogelijk op te slaan en oude data zo snel mogelijk op te ruimen.

Een ander punt waar makkelijk winst gemaakt kan worden zijn e-mail-adressen. Momenteel werken de meeste mensen met één e-mail-adres voor alles en dat ene adres bevat hun volledige naam. Technisch gezien kun je eenvoudig nieuwe, anonieme, e-mail-adressen maken (anonymous-12345@...) voor al die bedrijven waar je wel even contact mee wil hebben zonder dat ze voor eeuwige alles over je opslaan.
Technisch is dat vrij eenvoudig te maken en een beetje nerd heeft het zo gefixed en sommige privacy-gerichte e-mail-hosters hebben al zo iets, maar het zou mooi zijn als de grote e-mail-diensten ook zo iets zouden aanbieden.

Wat ook helpt is de pakkans voor dit soort criminelen te verhogen. Nu komt het voor een flink deel uit het buitenland, maar voor een flink deel ook niet. NL is best wel groot en belangrijk in de dienstverlening voor deze sector.

[TimmiX]

Daarnaast zou ik graag meer aandacht willen voor dataminimalisatie. Wat er niet is kan ook niet gestolen worden. Voor een deel is dat zo simpel als een keer goed nadenken over wat je allemaal opslaat, wat je daadwerkelijk gebruikt en wat je echt nodig hebt.

Dit inderdaad vooral.
Ik ben zelf een webdeveloper en ik zie heel veel formulieren op websites van klanten voorbij komen, de een nog uitgebreider en gekker dan de ander. Heb al zo vaak aangekaart, zowel binnen mijn agency als richting klanten dat ze daar eens kritischer op moeten zijn en alleen het hoogst noodzakelijke moeten vragen. Maar van alle kanten wordt het weggewimpeld en welgelachen alsof het onzin is, vaak met argumenten als 'data is kennis', 'data is macht', 'meer data is beter'. Alles om maar zoveel mogelijk over de eindgebruiker en doelgroep te weten te komen om datamodellen en personas te kunnen opbouwen en totaal geen oog voor (privacy van) de eindgebruiker. Het gaat totaal de verkeerde kant op en ik wordt er zo ontzettend moe van...

[CAPSLOCK2000]

Heb al zo vaak aangekaart, zowel binnen mijn agency als richting klanten dat ze daar eens kritischer op moeten zijn en alleen het hoogst noodzakelijke moeten vragen. Maar van alle kanten wordt het weggewimpeld en welgelachen alsof het onzin is, vaak met argumenten als 'data is kennis', 'data is macht', 'meer data is beter'. Alles om maar zoveel mogelijk over de eindgebruiker en doelgroep te weten te komen om datamodellen en personas te kunnen opbouwen en totaal geen oog voor (privacy van) de eindgebruiker. Het gaat totaal de verkeerde kant op en ik wordt er zo ontzettend moe van...

Yup, ik ken het, en vanuit het standpunt van de analysten en de markteers begrijp ik het ook wel. Kennis is inderdaad heel waardevol en voor onze hedendaagse AI heb je zo veel mogelijk data nodig en het opslaan van data is spotgoedkoop. Nadenken over wat je wel of niet opslaat is al snel duurder dan maar gewoon alles op slaan.
Daarom mijn suggestie om belasting te gaan heffen over opgeslagen (persoons)data zodat er druk de andere kant op komt op het punt waar het echt om gaat: geld.

[batjes]

Mooi idee, kan ik me in vinden.

Nu dit niet alleen binnen Nederland voor elkaar te zien krijgen. Op EU niveau, als het westen. Navo.

Internationaal wordt die route al een heel stuk lastiger te realizeren.

De pakkans verhogen kan ook alleen maar door internationaal samen te werken en zelfs dat is uiterst moeizaam, want de groepen zitten over het algemeen niet hier in Nederland of bij 1 van onze bondgenoten, soms wel, maar vaak niet. Er is een reden dat veel aanvallen uit landen zoals Rusland, China, Noord Korea en Iran komen. Kan die landen aan hun achterste oxideren wat ze hier uitspoken, hoe meer rotzooi ze schoppen hoe beter zelfs.

Dit is een internationale kwestie en ja een aantal ideëen zullen zeker bijdragen in het verminderen van de infecties en het risico. Maar de overheid is daar al best pro-actief mee bezig. Bedrijven worden pro-actief benaderd, bedrijven kunnen zelf ook aankloppen bij de overheid voor hulp, ondersteuning en begeleiding. Het is er (deels) al.

Als een bedrijf afbrandt loopt het ook een reëele kans kopje onder te gaan zonder brandverzekering.

Je kan prima (stapsgewijs) er b.v. op EU niveau voor gaan zorgen dat er gewoon niet meer betaald wordt. Kunnen we dat geld ook mooi gebruiken om de boel veiliger te maken, i.p.v. dubbel betalen.

Als je security nu nog in 2023 zwaar ondermaats is dat je 100% kopje onder gaat bij de eerste de beste ransomware infectie. Dan heb je als organisatie ook gewoon liggen slapen. Het risico is niet vorige week uit de lucht komen vallen. Campagnes in overvloed de laatste jaren, overheid, lokale overheden, instanties, semi-overheden, grote tech bedrijven. Iedereen roept nu al jaren op om security serieus te nemen. Je wordt er nog net niet mee in je gezicht geslagen.

Data-minimalisatie ben ik sowieso voorstander van en dit heb je al voor een behoorlijk deel zelf in de hand. Je hoeft niet overal al je gegevens achter te laten.

Regel dat dan met die ideëen voor een digitaal paspoort en de virtuele BSN nummers. Dan kan bol.com op basis van zo'n virtueel BSN nummer de bestelling doorgeven aan PostNL en dan kan PostNL op basis van dat virtuele BSN nummer het adres erbij halen. De overheid heeft die info toch, als het dan gecentraliseerd moet, liever bij de overheid dan een bedrijf. Dan kan je zelf de machtigingen ook regelen en dat je ook toestemming moet geven dat bedrijven erbij kunnen. Kun je ook mooi zien wanneer welke bedrijven wat geraadpleegt hebben.

Je haalt wel een stuk risico van de maatschappij weg. Het blijft nog steeds lonend om door te gaan met aanvallen.

[nullbyte]

Het heeft geen zin om zaken te verbieden die mensen alleen onder dwang doen

Het ziet hem in de IT beveiliging die hier waarschijnlijk niet voldoende op orde is. Cybersecurity bied voldoende middelen voor het mitigeren van een ransomware aanval anders dan betalen van het losgeld. Als het een versleuteling met ransomware is met exfiltratie van data dan is de beveilig helemaal niet op orde.

Een weldenkend mens verstopt de sleutel van de voordeur ook niet onder de mat.

[Reactie gewijzigd door nullbyte op 22 juli 2024 13:29]

[Groningerkoek]

Risico van bedrijfsvoering. Net als dat er genoeg andere risico's zijn.

Dit is wel heel simpel, als mijn medisch dossier of psychische evaluaties op straat liggen dan heb ik echt helemaal niets aan een instantie die zegt "ja, sorry dat is ons risico van bedrijfsvoering"

Daarnaast kun je het betalen van losgeld wel verbieden maar net als alle andere misdaad kun je het niet voorkomen.

[batjes]

Oké mooi. Je hebt liever dat we deze criminaliteit subsidiëren? Want dat is wat we nu doen. Door te betalen zorg je voor de incentive. Waardoor het risico alleen maar groter wordt dat je medische gegevens op straat komt te liggen.

Als er niets te halen valt, zou je geen criminelen hebben die verdorie gewoon een helpdesk, marketing en andere afdelingen hebben. Complete bedrijfsvoering is er omheen opgezet.

Maar goed, who cares, toch? Laat anderen er maar voor opdraaien.

[Wouterie]

Waarom is voor jou het terugdringen van die criminaliteit zo belangrijk dat bedrijven, data, persoonsgegevens... alles maar moet wijken zodat die criminelen minder inkomsten hebben? Je pakt hen niet eens aan, je pakt alleen maar de slachtoffers aan.
Als slachtoffer zou je in jouw scenario banger moeten zijn voor de politie dan de crimineel.

[batjes]

Omdat zonder terugdringen die data en persoonsgegevens ook op straat komt te liggen.

Moeten we allemaal wijken omdat we bang zijn criminaliteit aan te pakken en op te lossen?

Nogmaals, deze professionele vorm van digitale afzetten, bestaat alleen maar omdat er betaald wordt.

Kom met een betere oplossing dan? Want niets doen is erger dan betalen verbieden.

[Wouterie]

Een oplossing zou zitten in beter toezicht door de verschillende toezichthouders bij bedrijven en instanties die werken met gevoelige data. Het openen van een loket waar bedrijven/instanties kunnen aankloppen voor advies, ondersteuning, audits en verschillende tools. Het strafbaar stellen van nalatigheid bij een datalek.
Op papier is het allemaal dik in orde, in de praktijk doen we vanuit de overheid bar weinig aan voorlichting en preventie.
Je kunt de slachtoffers altijd nog met AVG-gedoe en boetes om de oren slaan. Maar je lost misdaad niet op door slachtoffers een trap na te geven.
Daarnaast is jouw oplossing ook geen oplossing. Het is gewoon een extra factor in het rekensommetje. Wat kost me meer? De criminelen betalen + de boete die volgt omdat ik dat doe, of de schade die ik oploop wanneer ik dat niet doe? Ik ken mensen die met deze mentaliteit in de auto stappen en maling hebben aan snelheidsboetes en rood licht zolang te laat komen hen meer kost dan die boetes.

[batjes]

Waarom niet een verzekering voor bedrijven. Het is toch ook normaal een brand, diefstal of whatever verzekering af te sluiten?

Ik heb ook een inboedel en aansprakelijkheids verzekering.

Waarom moet dat voor malware anders zijn? Als bedrijven niet het risico willen lopen onderuit te klappen > neem een verzekering?

Door te (blijven) betalen, is het een erg lucratieve markt. Die dusdanig professioneel opgezet is tegenwoordig, dat het qua werking gewoon een rijk tech bedrijf is. Alleen maar omdat er zo gigantisch veel geld te halen is, bijna iedereen betaald toch wel.

Mijn oplossing is inderdaad niet betalen, verder open gelaten wat daar verder nog bij komt kijken. Want het houdt niet op zolang iedereen maar blijft betalen. Het gaat alleen maar erger worden. Ziekenhuizen, universiteiten... Het is ondertussen dusdanig grootschalig, dat de nutsvoorzieningen en de maatschappij daar ook steeds meer hinder aan ondervinden.

[Reactie gewijzigd door batjes op 22 juli 2024 13:29]

[Groningerkoek]

Grote bedrijven hebben hier een verzekering voor en in dat geval is het meestal de verzekering die de schade beperkt door het betalen van het losgeld i.p.v. op te draaien voor de anders veelal veel grotere schade.

[robertlinke]

maar wat die mensen dan even vergeten is dat die regels in het algemeen bestaan om te zorgen dat er minder ongelukken ontstaan, en de ongelukken die er ontstaan minder schade creëren

door vaak door rood te rijden, is de kans op een dodelijk ongeluk vrij groot.
met niet betalen van dit soort criminelen gaat er niemand dood

[michaelkamen]

Hoe zie je het precies voor je?
We verbieden vanaf morgen het betalen van losgeld.
Worden er dan vanaf morgen geen bedrijven meer gehacked, want er wordt niet meer betaald?

Geheid dat de hackers gewoon doorgaan. Dus er worden nog steeds bedrijven gehacked.
Die mogen niet betalen, dus alles komt op straat en ze kunnen wellicht de tent sluiten.

Het volgende bedrijf wat gehacked wordt gaat dan sowieso stiekem alsnog betalen.
Dus wat schieten we ermee op?

Wat we moeten doen is inzetten op preventie, opsporen, straffen van de hackers. (daar zijn betaalstromen juist heel handig voor).
Niet de slachtoffers straffen.

[Reactie gewijzigd door michaelkamen op 22 juli 2024 13:29]

[themadone]

Idd, het verdienmodel is al verschoven naar stelen van data ipv locken van alleen het bedrijf zelf. Dit omdat er heel veel beheerders en bedrijven de backups beter op orde hebben geschrokken van de achterlijke hoeveelheid hacks die er een tijdje waren.

Dus het verdienmodel op deze manier onderuit halen gaat dat niet stoppen. Data gaat op straat, bedrijf aan gort, sta je dan als directeur met 200+ man direct werkloos, of met je 200 jaar oude familiebedrijf.

Wat aangepakt moet worden zijn de hackers en de landen die ze faciliteren. Waarom kan het ineens wel als er een pijpleiding in Amerika wordt platgelegd. Die hebben zelfs de bitcoins teruggehaald. Dus we weten wie en waar, simpel op te lossen lijkt me. En het argument ja maar Rusland levert ze toch niet uit? Halen we de glasvezels door en gooien we het hele land offline en terug het stenen tijdperk in. Het belang is niet groot genoeg dus gebeurt er niks.

[Spykie]

Ja

[Mathijs Kok]

Maar geef nou eens antwoord op de vraag en opmerking van michealkamen....

Denken dat ransomware een eenzame dood sterft als er een verbod op betalen komt is naïef, het gaat alleen ondergrond en dan zijn we nog veel verder van huis. Als ik moet kiezen tussen het redden van mijn bedrijf en het krijgen van een boete weet ik wel welke keuze ik zou maken.

[batjes]

Ransomware zal je er niet volledig mee uitbannen. Maar de enorme professionele grootschalige manier die nu al een paar jaar bezig. Is vooral dankzij het feit dat het dus erg lucratief is. Niets meer, niets minder.

Dusdanig dat ook nutsvoorzieningen er op grote regelmaat mee te maken krijgen.

Waar wil je dat ik op antwoord? Kom eens met een oplossing dan behalve "Ja niet betalen werkt ook niet".

Er is een reden dat bijna geen enkel land (officieel) onderhandeld met gijzelnemers.

[nullbyte]

Daarnaast kun je het betalen van losgeld wel verbieden maar net als alle andere misdaad kun je het niet voorkomen.

Je kan het mitigeren, er zijn voldoende middelen om een ransomware aanval te verzachten anders dan betalen. Grote kans dat deze organisatie nauwelijks heeft gepland op een ransomware aanval.

[Clevergyno]

Nu betaal je en dan gebeurd precies hetzelfde op het dark web.

[Jaldea]

Nee, dat klopt dus niet, als de hackers de gegevens alsnog zouden verkopen verliest het zijn doel, waardoor bedrijven dus niet meer gaan betalen en ze hun verdien model kwijt zijn.

[Clevergyno]

Verkopen kan ook in het geheim. Niemand kan zoiets bevestigen na het feit.

[Jaldea]

Dat merkt het gehackte bedrijf immers wel (sooner or later), waardoor zoals ik al zei de macht over het niet delen van de informatie (het verdien model) dus zijn kracht verliest.

[Eren]

Ze kunnen toch verder gaan onder een andere naam en het process opnieuw beginnen.

[divvid]

Als organisatie die met gevoelige gegevens werkt zou je hier al ....een jaartje of 10....minimaal.....van op de hoogte moeten zijn. Er zijn echt genoeg mogelijkheden om dit tegen te gaan, al was het maar om je klant gegevens op een bepaalde manier op te slaan, zodat bij een hack niet zomaar alle gegevens buitgemaakt kunnen worden.
Een overheid kan wel verplichten zo'n bedrijf goed te laten auditen VOOR dat er ellende is.

[Wouterie]

Dit is wel een belangrijke. Vanuit de overheid is er te weinig toezicht en controle op de uitvoering van de preventieve maatregels. Zolang het goed gaat is er geen vuiltje aan de lucht.

[watercoolertje]

Kan de overheid jou verplichten om je bedrijf ten onder te laten gaan als je gehacked bent?

Dat is helemaal geen garantie dat je failliet gaat! Dus daar gaat je opmerking al mank.

De overheid kan je toch ook verplichten belasting te betalen, ook al kan je daardoor failliet gaan!

Dus waarom zou de overheid niet mogen stellen dat je geen geld naar criminelen (daar is dan weer geen enkele twijfel over dat het om criminelen gaat) over mag maken? En ja dat zou kunnen betekenen dat je failliet gaat, maar itt zoals jij stelt hoeft dat helemaal niet.

Het is geen leven wat op het spel staat maar het is 'maar' een bedrijf hoor.

PS snap het dilemma verder wel vanuit het bedrijf gezien.

[Reactie gewijzigd door watercoolertje op 22 juli 2024 13:29]

[Wouterie]

Er is geen garantie dat de overvaller de winkelmedewerkster doodschiet, maar toch geven we hen het advies om die geldlade te openen en mee te werken. Het is maar geld... Is het echt zo belangrijk dat je niet mee werkt met de criminelen dat je daar alles voor op het spel zet!?

[watercoolertje]

Er is geen garantie dat de overvaller de winkelmedewerkster doodschiet, maar toch geven we hen het advies om die geldlade te openen en mee te werken.

Ja omdat het dan niet om een bedrijf gaat maar om een mensenleven, lijkt me logisch...

Speciaal voor jou herzie ik mijn opmerking (ik stelde die opmerking natuurlijk binnen de context van het artikel/discussie):

Dus waarom zou de overheid niet mogen stellen dat je geen geld naar criminelen (daar is dan weer geen enkele twijfel over dat het om criminelen gaat) over mag maken? Tenzij er sprake is van levensgevaar!

[robertlinke]

een bedrijf heeft medewerkers, die hun huur en kost betalen met het geld dat jij die werknemers betaalt.
als jouw bedrijf kapot gaat, zitten hun ook in de problemen.

nu hebben we hier in Nederland redelijke bescherming voor mensen die tijdelijk zonder inkomen zit, maar toch is dat wel een overweging. of de managers van dat bedrijf die overweging dan ook maken is eenander verhaal

[JoostTheHost]

Moet je dan maar als organisatie lijdzaam toezien hoe het verdienmodel blijft bestaan, waardoor jij op den duur ook slachtoffer kunt worden en wellicht over moet gaan tot een betaling?

Dat de overheid dit zienderogen laat gebeuren vind ik ook nogal wat.

Wel of geen verbod; je moet proberen je zaakjes op orde te hebben. Natuurlijk is dit eenvoudiger gezegd dan gedaan. Waar het om gaat is dat met een verbod op betalingen het verdienmodel in ieder geval per direct wegvalt; het kost immers meer dan het opbrengt.
Zonder verbod blijft het verdienmodel gewoon bestaan, dus dat beperkt de aanvallen sowieso niet... Wat lijkt je dan beter?

[Darksteel83]

Het is inderdaad misschien moeilijk om niet te betalen. Maar als het verboden is, dan is het stuk makkelijker om niet te betalen, want anders zit je misschien wel in de cel.

Uiteindelijk hebben we collectief meer last van dit als er voldoende betaald blijft worden. Door te betalen houd je dit in stand.

[SunnieNL]

Kan de overheid jou verplichten: nee, nog niet. Over 1,5 jaar: jazeker mits ze jouw hebben aangemerkt als essentieel of belangrijke entiteit of als je onder de supply chain van een van die bedrijven valt.

Als jij je cybersecurity policies, procedures en configuraties niet voor elkaar hebt en daardoor niet voldoet aan de NIS2 dan zijn er nogal wat sancties mogelijk.
Een van de sancties die de overheid mag opleggen vanuit de NIS2 is het onmiddellijk staken van de werkzaamheden van je bedrijf of het intrekken van certificering (naast 10 miljoen euro boete of 2% van je jaarlijkse wereldwijde omzet). Bron: artikel 32.4, 32.5 en 34 van de NIS2 directive (weet ff uit mijn hoofd niet precies welke)

Kanttekening daarbij: woningcoorporaties lijken niet onder de NIS2 te gaan vallen, maar de overheid kan ze alsnog aanwijzen als belangrijk in nederland.

[Wouterie]

Lijkt me stug. NIS2 is ook het bankwezen. Dus een bankmedewerker moet zich maar laten neerschieten omdat hij van de wetgever niet mag meewerken met een overvaller? Zodra de wet voor het slachtoffer nadeliger uitpakt dan voor de crimineel, dan zijn we de weg kwijt.
Dat een overheid preventief maatregels treft en die controleert en handhaaft, daar is niets mis mee. Maar dat het strafbaar zou worden gesteld wanneer een slachtoffer meewerkt met een crimineel om erger te voorkomen, waar zijn we dan mee bezig!? Zo pak je niet de criminelen aan, maar de slachtoffers.

[SunnieNL]

Een crimineel betalen zodat hij nog meer middelen heeft en ziet dat afpersen helpt lijkt mij ook niet de bedoeling.
De slachtoffers zijn in heel veel gevallen slachtoffer omdat ze hun basis cybersecurity gewoon niet op de rit hebben omdat management daar geen aandacht voor heeft en geen budget voor inzet. Dus ja, dat mag je best afstraffen met sancties.
Betalen van criminelen zou wat mij betreft ook strafbaar moeten worden met enkele uitzonderingen daargelaten. Een bedrijf zelf zou niet de keuze mogen maken dat ze die uitzondering zijn. (maar dat is mijn bescheiden mening). Laat het bedrijf maar eens nadenken over wat ze gedaan hebben en hoe het zover is kunnen komen.

[Reactie gewijzigd door SunnieNL op 22 juli 2024 13:29]

[nst6ldr]

Ransomware is geen eenmalig ding maar iets wat kan groeien. Door te betalen sponsor je de criminelen hun volgende zero day van misschien wel actuele MS Exchange versie (deze zijn te koop op de darkweb). Wie zegt dan dat jouw bedrijf belangrijker is dan de volgende die op de planning staat?

[Reactie gewijzigd door nst6ldr op 22 juli 2024 13:29]

[jaapzb]

Zijn er voorbeelden van bedrijven die kopje onder zijn gegaan na zo'n aanval?

[nullbyte]

Nee, de betrokken organisatie dient voldoende maatregelen te treffen om een ransomware aanval te mitigeren. Backups, scheiden van systemen, cyber security planning, opleiden personeel, zero trust enz enz

[Reactie gewijzigd door nullbyte op 22 juli 2024 13:29]

[michaelkamen]

Sorry, maar we weten allemaal dat dat een illusie is. Zelfs multinationals met enorme budgetten voor IT security kunnen gehacked worden (Microsoft & SolarWinds?).

Het is een constant kat-en-muis-spel tussen de beveiligers en de hackers, en zo nu en dan zullen de hackers winnen. Daar komen we niet onderuit.
Dus moeten we inzetten op opsporing en berechting van deze criminelen.
En niet de slachtoffers tot criminelen maken.

[nullbyte]

Het is een constant kat-en-muis-spel tussen de beveiligers en de hackers, en zo nu en dan zullen de hackers winnen. Daar komen we niet onderuit.

Als er genoeg tijd en geld in wordt gestoken dan zijn alle IT systemen binnen te dringen. Helemaal as het om actors van een nation state gaat. Kijk naar Stuxnet als voorbeeld.

Microsoft en Solarwinds zijn een high value/high pay off target. En zijn dagelijks doelwit van enorme hoeveelheden cyber aanvallen. Deze woningcooperatie was waarschijnlijk niet spcifiek targeted, er heeft mogelijk iemand in een phishing mail op een linkje geklikt zoals bij de meeste ransomware attacks gebeurt.

Maar goed, playCrypt heeft meerdere high profile slachtoffers gemaakt.
https://www.bleepingcompu...ume-copy-data-theft-tool/

Dus moeten we inzetten op opsporing en berechting van deze criminelen.
En niet de slachtoffers tot criminelen maken.

Ik gok dat deze wooncoöperatie de figuurlijke voordeursleutel onder de mat van de voordeur had liggen. En weinig ter preventie heeft gedaan. Dat is namelijk zeer vaak het geval leert helaas de ervaring. Het gaat er om dat de slachtoffers een degelijke beveiliging inrichten en deze laten auditen. Een verzekering stelt b.v. ook eisen in het verzekeren van dure eigendommen.

Technieken die volgens Mitre Att&ck gebruikt worden voor data ex-filtratie:
https://attack.mitre.org/tactics/TA0010/

Beveiligingsmaatregelen:
exfiltatie mitigation:
https://attack.mitre.org/mitigations/enterprise/

Pfishing mitigation:
https://attack.mitre.org/techniques/T1566/

[Reactie gewijzigd door nullbyte op 22 juli 2024 13:29]

[Bender]

Er is zeker wel een verdienmodel, de data aan andere verkopen.

[Darksteel83]

Ja dat zou dan een alternatief verdien model kunnen zijn. Maar ik denk eigenlijk dat dit al illegaal is. Dit maakt natuurlijk niet dat het dan niet meer gebeurt.

Alsnog is met verbod op betalen er minder te verdienen voor dit soort organisaties.

[Bender]

Want jij denkt dat de huidige chantage niet illegaal is?
Ik geloof niet dat die mensen zich gebonden voelen aan wat wel en wat niet illegaal is.

[Darksteel83]

Nu is het betalen voor deze chantage nog wel legaal en het gebeurt ook zoals je ziet in dit nieuwsbericht.

[Bender]

Het was me niet duidelijk dat je met legaal verwees naar de betaling van het losgeld ipv naar de chantage zelf.

Anderzijds vraag ik me af of dat ook wel legaal is, je financiert daarmee ook direct criminaliteit.

[Darksteel83]

Tot nu toe zie ik diverse keren dat semi overheid betaald heeft. Dat het zal zeer waarschijnlijk niet verboden zijn.

[Verwijderd]

Dat vraag ik me ook steeds meer af. Als niemand meer betaald houd het voor het heel groot deel op. Er is dan in elk geval geen verdienmodel meer.

Ook niet meer voor de organisaties die slachtoffer zijn omdat mensen het vertrouwen op den duur wel helemaal kwijt raken. Het is in een geval als deze kiezen uit twee kwaden.

[lenwar]

Het blijft inderdaad een ding hoor. Ik snap het ook zeker als organisatie. Je kan er in principe gewoon op failliet gaan en/of HEEL erg veel mensen mee duperen (afhankelijk van de branche van je organisatie). Aan de andere kant stimuleer je natuurlijk wel een fout businessmodel.

[Oon]

Het is en blijft losgeld betalen. Als ze je kind kidnappen en dreigen te vermoorden tenzij je losgeld betaalt dan betaal je ook gewoon, want dat is een risico dat je niet gaat nemen.
Hier ook, zolang het geld dat je betaalt minder is dan de schade is betalen de enige logische optie.

[DoctorRpie]

Sommige bedrijven hebben geen goede backups. of weten bij zo'n aanval niet waar ze moeten beginnen. Ja fout. maar als ze niet betalen kan het wel eens zijn dat ze de complete tent kunnen sluiten. Dat zou consequenties met zich meebrengen die een vervelende situatie zijn. Mensen raken in dit geval werkeloos.

Tuurlijk ben ik geheel voor wat jij zegt. en dat we moeten verbieden dat betalingen gedaan mogen worden aan deze criminelen. Maar ik snap het ook best dat sommige bedrijven geen andere weg zien.

[Reactie gewijzigd door DoctorRpie op 22 juli 2024 13:29]

[batjes]

Dus nog meer risico's van bedrijven afschuiven op de samenleving? We dekken al genoeg bedrijfsrisico's als samenleving.

Kapitaliseer de winst, socialiseer de verliezen. Het is geen en-en, kom nou. Burgers mogen er ook in stikken als ze in een situatie komen dat ze gewoon failliet geraken, en dan is dat vaak nog iets waar je geen flikkert aan kan doen. Zie de ophef met de toeslagenaffaire.

Maar bedrijven mogen zonder morren de maatschappij opzadelen met hun eigen falen.

Ja daaag.

[Canaria]

Het bedrijf betaalt zelf het losgeld. Als onderdeel van de maatschappij zie ik liever dat een bedrijf betaalt dan dat mijn bij het bedrijf bekende gegevens openbaar worden.

Niet betalen van losgeld met als gevolg uitlekken van gegevens vind ik een zwaardere last op de maatschappij.

[SunnieNL]

Het bedrijf kan ook betalen voor maatregelen om jouw gelekte informatie zo goed mogelijk te gaan beschermen. Zoals een verzekering betalen: als de gegevens die door mij toedoen zijn gelekt en worden misbruikt, dan betaalt die verzekering uit en helpt je om de problemen zo goed mogelijk op te lossen.

Dat is 10x beter dan dat het bedrijf betaald aan de dader die dan meer middelen krijgt om nog meer van dit soort afpersingen te veroorzaken. Je gegevens liggen al op straat door het bedrijf, of het bedrijf nou betaald of niet.

[Reactie gewijzigd door SunnieNL op 22 juli 2024 13:29]

[batjes]

Het is toch ook al 100 jaar vrij normaal een brandverzekering af te nemen. Net als dat vrachtschepen die langs Somalië voeren een verzekering tegen piraterij (kunnen) afsluiten.

Wat is er zo vreemd aan een verzekering tegen malware oid?

De enige reden dat die criminelen zo actief er mee zijn, is omdat het erg lucratief is.

[SunnieNL]

Het grappige van een verzekering tegen malware (cybercrime) is, dat de verzekeraar eisen gaat stellen waar jij als bedrijf aan moet voldoen. Net als met een brandverzekering dat gedaan wordt.

Het mooie van die eisen is dat als je nu al aan die eisen zou voldoen (en die investering gewoon eens zou doen om basis cyberhygiene te doen) de kans dat een aanval met malware lukt ook gelijk zoveel kleiner is geworden, dat je de verzekering eigenlijk niet meer nodig hebt. Die verzekeraar gaat aan het bedrijf namelijk eisen stellen voor gebruik van MFA, patching, risk management, zero trust, encryptie, identity management, detectie, protectie, etc.

[Reactie gewijzigd door SunnieNL op 22 juli 2024 13:29]

[batjes]

Yup. Prima oplossing toch. Als bedrijven niet het risico willen lopen kopje onder te gaan bij een infectie zonder aanvallers te kunnen afkopen, dan nemen ze maar een verzekering Is het probleem eigenlijk ook meteen opgelost. Nu blijf je de incidentele targetted aanvallen hebben die ook een goed voorbereid bedrijf onderuit trekt, maar die zijn nogal zeldzaam.

Als je bedrijf afgebrand is, kan je ook de brand achteraf niet afkopen en doorgaan alsof er niets gebeurd is.

Somalische piraten nemen ook nauwelijks de moeite om mensen te gijzelen, want geen land onderhandelt (officieel) met gijzelnemers. Dus jatten ze liever de boot vol met goederen, nog steeds kut, maar stuk minder kut dan gegijzelden.

[DiaZ_1986]

Stel jouw computer wordt gehackt, alles wordt met een wachtwoord beveiligd en je kunt dit nieuwe wachtwoord krijgen nadat je €100,- hebt betaald.

Heb je een garantie dat je altijd bij je bestanden kan? Nee, deze blokkade kan er ieder moment weer opgezet worden, zodat je weer €100,- moet betalen om er bij te komen. Of van dezelfde groep, of een andere groep die ook graag €100,- wilt meepikken. Want je betaalt toch, dus waarom niet nog een keer de hele boel blokkeren?

Heb je garantie dat de bestanden die gestolen waren netjes verwijderd nadat je de €100,- betaald hebt? Ze zeggen van wel, maar dan ga je een hacker/inbreker geloven op hun blauwe ogen dat ze dit ook echt doen en niet doorverkopen aan een andere groep?

[SinergyX]

Catch 22, de treinwissel dilemma, er is geen absoluut antwoord.

Jij zal misschien wat simpele documenten of watniet op je PC staan, de ander heeft een 'bijzondere' hobby die de rest van de wereld niet hoef te weten, consequenties van simpel 'oh kut' tot 'baan kwijt, sociaal kapot etc'.

Vergeet niet wat de 'wereld' kan doen als ze kwaad willen met jouw info, jij zal mogelijk niet interessant genoeg zijn (buiten visnet principe bij ransomware), maar waar trek jij de grens?

Ik hack jouw PC, trek alles eraf.. maar voeg hier en daar ook wat... niet-acceptabele foto's toe, dan kom je in een gebied waar je prima simpel kan zeggen 'ik heb bewijs', maar dat in praktische uitvoer helemaal niet zo simpel is.

[watercoolertje]

Ik denk dat ze zich er wel aan houden, uit de praktijk blijkt dat (iig naar wat ik zie/lees) dan ook dat die bedrijven die het afkopen hun gegevens inderdaad (tot op heden) nooit meer ergens op hebben zien duiken!

De criminelen zouden zichzelf ook ondermijnen als ze zich niet aan de afspraak houden, immers als de kans is dat je betaald en de actie waarvoor je betaald niet gedaan wordt, dan trap je daar natuurlijk geen 2de keer meer in.

[Verwijderd]

Misschien nog belangrijker, wie zegt hier dat die hacker of groep het lek in zijn/hun eentje misbruikt hebben en niet ook nog een aantal andere hackers/groepen e.e.a. geflikt hebben?

Heb je net losgeld betaald voor het veiligstellen van gegevens die groep-1 bemachtigt heeft, komt er vervolgens nog een andere groep op de proppen die precies het zelfde geflikt heeft.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 13:29]

[Gr4mpyC3t]

Of ontwikkel wetgeving op een dusdanige manier dat bedrijven aan een bepaalde norm moeten voldoen om privacygevoelige gegevens te verwerken. Dus niet achteraf pas boetes uitdelen maar direct in overtreding als je geen audit hebt gehad van een onafhankelijke partij die je toetst aan de wetgeving.

En vervolgens een certificaat uitgeven dat eens per jaar opnieuw gevalideerd moet worden. Wat mij betreft zo streng mogelijk zonder overbruggingsperiode. Je zorgt maar dat je voldoet voordat we de audit komen doen.

Nog steeds geen 100% oplossing maar kennelijk zijn bedrijven niet in staat om zich vooraf zorgen te maken over de gegevens van hun klanten.

[CAPSLOCK2000]

Of ontwikkel wetgeving op een dusdanige manier dat bedrijven aan een bepaalde norm moeten voldoen om privacygevoelige gegevens te verwerken. Dus niet achteraf pas boetes uitdelen maar direct in overtreding als je geen audit hebt gehad van een onafhankelijke partij die je toetst aan de wetgeving.

Ik sta hier een beetje dubbel in. In principe heb je gelijk en voor een deel is dat soort wetgeving er al voor een aantal sectoren. In praktijk worstel ik echter een beetje met hoe die norm er dan uit moet zien en hoe je het controleert op een manier die echt zin heeft.

Het is niet dat er geen normen en standaarden zijn, best wel veel zelfs, maar het gat met de praktijk is vaak erg groot. Standaarden die algemeen genoeg zijn dat je ze breed kan toepassen zijn tegelijkertijd zo vaag en abstract dat je er alle kanten mee op kan zonder echt een goed beeld te krijgen van de veiligheid.

Zodra het gedetailleerd wordt blijkt niks en niemand echt te voldoen aan ook maar de meest basale regels, niet in het minst omdat er zo ontzettend veel soorten software zijn. De veiligheidseisen voor een USB-key zijn totaal anders dan die voor een desktop-applicatie of een website. Die kun je onmogelijk met dezelfde regels behandelen.

Dat zijn geen fundamentele problemen en er wordt aan alle kanten hard aan gewerkt, maar ik ben bang dat het nog heel lang gaat duren voor we kunnen vertrouwen op wettelijke voorschriften. De wet maakt zich er overigens meestal vanaf met een generieke opmerking als dat er "voldoende beveliging moet zijn volgens de geldende normen" om vervolgens aan de markt & rechter over te laten van "voldoede" is en wat de "geldende normen" zijn, en dat is op zich heel verstandig als het om zo'n snelbewegend onderwerp als IT gaat.

Er is echt wel het een en ander dat we (kunnen) doen op dit gebied, maar voordat het voldoende veiligheid oplevert dat je op de wet kan vertrouwen zal nog wel heel lang duren. Voorlopig gaat het toch vooral om basismaatregelen. Dat is allemaal heel nuttig en hard nodig maar het gaat nog een lang proces worden.

[blspjnl]

Het lijkt me geen kwestie van wetgeving die oplossend werkt. In principe kan je met de 10 geboden een heel eind komen.

Waar de schoen wringt is enerzijds reputatieschade door uitbrengen van een lek vs. betalen vs. rechtszaken wegens overtreding privacy contracten.

In de praktijk zijn overheden net zo kwetsbaar als bedrijven tegen hacks en meestal zelfs aantrekkelijker wegens de grotere schaal, omvang en data-waarde.

Privacy en data nog duurder maken met certificeringen heeft geen zin voor de meeste bedrijven.
Bij de grote dataverwerkers daarentegen had ik allang zoiets verwacht.

[Alxndr]

Bedrijven die omvallen? En bovendien klantgegevens die op straat liggen. Als klant zou ik willen dat ze er alles aan doen om mijn gegevens veilig te houden/terug halen, een andere leverancier vinden kan altijd nog, je gegevens van internet halen niet.

Maar het is me niet duidelijk of hier nu data gestolen is of dat het om ransomware gaat, dat zijn toch twee tegenovergestelde zaken?

Hoe dan ook moet je er maar op vertrouwen dat de boeven doen wat ze beloven. Met ransomware is dat makkelijke te controleren, met gestolen data absoluut niet, je kunt niet weten of ze ergens nog een kopietje hebben en je volgende maand weer voor hetzelfde afpersen. Maarja, dat is het ironische van dit soort aanvallen, de boeven hebben er baat bij om hun woord te houden anders betalen mensen daarna nooit meer.

Misschien is dat wel de oplossing, een ransomware bende beginnen die het vertrouwen voor alle anderen verpest zodat mensen ophouden te betalen.

[Groningerkoek]

- Men gaat als men losgeld wil betalen dan geen melding doen en lost dit in het geheim op, en dan weten mensen niet dat hun data is gestolen.
- Misdaad zal zich deels verplaatsen, want veel van de hierbij betrokkenen gaan dan niet plotseling omscholen tot loodgieter maar men zal wat anders zoeken om snel veel geld te verdienen.
- Data is geld waard, het voorkomen van terugkoop voorkomt dus op geen enkele manier doorverkoop.
- Soms is losgeld betalen echt de betere keuze, willen we echt dat een groot ziekenhuis als het UMCG of het AMC wekenlang plat ligt, of dat psychologische onderzoeken van onze kinderen op straat komen te liggen?

[Verwijderd]

Het probleem is alleen, tot nu toe is er steeds sprake geweest van één groep. Wat ik mij al een tijd afvraag is, wat nu als er plotseling twee of meer groepen een lek etc. misbruiken?

Als er op den duur meerdere hackers of groepen toeslaan, dan houdt het toch ergens wel een keer op. Niet alleen voor de organisatie maar ook voor jou! Geen enkele organisatie heeft een geldpers staan en kan onbeperkt geld drukken. OP = OP en dus komt er op den duur een tijd waarbij gegevens wel degelijk op straat komen te liggen.

Men lijkt n.l. te vergeten dat dit soort praktijken steeds verder toeneemt, het is hierbij dus misschien niet eens meer de vraag of maar wanneer meerdere hackers of groepen toeslaan op dezelfde systemen (bij dezelfde organisaties) voor zolang er geen actie is ondernomen.

Ergens ontbreekt n.l. de informatie of men tot actie is overgegaan en de systemen nu allemaal wel veilig zijn. Er is onderzoek gedaan, er is betaald maar daarmee is alles in feite ook gezegd.

[Bergen]

Voor de aanvallers is het gewoon een verdienmodel. Ze hebben waarschijnlijk niks tegen de wooncoorperatie, of welk slachtoffer dan ook. Ze hebben geen reden om specifiek dit bedrijf aan te vallen. Het is niks persoonlijks, ze willen gewoon geld verdienen. Dus er is geen "reden" om weg te nemen.

[SunnieNL]

Downtime van een essentieel bedrijf. Stel een ziekenhuis zou niet betalen en daardoor 3 weken langer dicht zijn, dan kan er wat mij betreft een uitzondering gemaakt worden.
Reputatieschade van het bedrijf wat gehacked is zou ik dan weer niet mee willen laten wegen, dat hadden ze eerder maar moeten bedenken toen ze er geen budget voor vrij wilden maken.

Ik ben dus wel voor een verbod van betalingen, maar er moet een mogelijkheid zijn om hier van af te wijken. Wij dat mag bepalen durf ik niet zo te zeggen, maar ik denk dat dat iets is wat het NCSC bv. op zich zou kunnen nemen in overleg met politie of andere overheidsinstantie.

[gamezfreak]

Het lastige is, is dat je niet weet of de back-ups (mits die ze hebben), ook besmet zullen zijn met de ransomware. Het kan best zijn dat de ransomware al maanden inzit en pas actief wordt, op het moment dat het vanuit de C&C server als actief wordt gemarkeerd. In die periode dat het niet actief is, is het kwestie van pollen naar de C&C server, zodat ze weten dat hun target nog online is.

Wederom begint het natuurlijk met betere security, of althans je security zo hoog mogelijk houden. Maar ook dat is in de praktijk vaak minder. Want hoe hoger de security is, hoe mindere gebruiksvriendelijk het is. Daarnaast kan je wel zo veel mogelijk dicht zetten, maar dan moet je wel iemand hebben die de kennis heeft. Vaak hebben dat soort bedrijven een externe partij als IT-leverancier, waardoor het niet direct opgemerkt wordt als er iets vreemds aan de hand is.

Wat zijn de argumenten tegen een verbod om dit soort betalingen te doen?

Nou, waarschijnlijk zou het wel zijn "stel dat zij de gegevens online plaatsen" of "stel dat zij meer schade aanrichten d.m.v. identiteitsfraude". Het lastige is, is dat je niet weet of zij nadat je betaald hebt, jouw gegevens "verwijderen" of dat zij ermee vandoor gaan. Ik gok alsnog op het laatste, want dat is dan een dubbele verdienste voor hun. Namelijk dat zij de losgeld hebben gekregen én de gegevens hebben verkocht op de dark web. Dus of je nou wel of niet betaald, zij blijven in het bezit van jouw gegevens en je weet niet wat zij er nog meer mee gaan doen.

Een verbod tegen betalen zou wel kunnen, alleen speelt het probleem zich internationaal af. Andere optie is, is om het bedrijf een boete te laten betalen + schadeclaim naar de gebruikers toe, mits er privé gegevens van gebruikers zijn gelekt / gestolen (kopie ID, bankgegevens, BSN, etc.). Pas dan zullen bedrijven wel security in acht nemen, omdat ze dan weten dat zij dubbelop geld kwijt zijn.

[Wouterie]

Wat zijn de argumenten voor het strafbaar stellen van een slachtoffer wat meewerkt om erger te voorkomen?

[gaskabouter]

Ten eerste zullen mensen dan gewoon geen aangifte doen terwijl het probleem niet kleiner wordt.

Ten tweede schakel je opsporingsdiensten in. Die kunnen aangiftes en dergelijke gebruiken voor opsporing, vervolging en preventie. Dat krijgt niet veel aandacht maar gebeurt wel degelijk

[fevenhuis]

Ik denk dat de meeste mensen het woord RANSOM niet begrijpen van het ransomware fenomeen.

De reden dat bedrijven en organisaties de ransom betalen is omdat ze de controle over hun eigen gegevens zijn verloren en zij willen graag weer toegang tot die gegevens.

Het heeft verder minder te maken met het idee of deze bedrijven en organisatiies bang zijn dat de privacy van hun klanten op straat komt te liggen, ze hebben over het algemeen geen groot belang hierin behalve het nakomen van verplichte regels.

[Vinnie.1234]

Het is simpel, de meeste bedrijven betalen gewoon. Het is de goedkoopste en snelste oplossing. Data die gelekt wordt kan uiteindelijk voor zo veel meer schade zorgen als wat geld betalen. De meeste hackers zijn in dit opzicht beter te vertrouwen en hebben een betere klantenservice als de gemiddelde organisatie. Dat moet ook wel omdat anders hun hele verdienmodel in het water valt.

We zeggen ook altijd dat je niet moet betalen bij een ontvoering, tot het iemand is die je kent. Dat boeien alle ethische redenen niet meer. En dat geld hiervoor ook, zolang je zelf niet het slachtoffer bent kan je hard roepen. Ben je zelf het slachtoffer kijk je er heel anders tegen aan.

Een verbod heeft natuurlijk ook geen enkel nut. Bedrijven van een beetje omvang kunnen de belasting al zo goed omzeilen dat ze amper belasting betalen. Een afkoopsom betalen is dan ook wel ergens weg te stoppen. Maar zolang politie meer prioriteit zet op het beboete van mensen die 5 kilometer te hard rijden (makkelijk geld verdienen) dan daadwerkelijk dit soort criminelen aanpakken gebeurt er toch weinig. En natuurlijk pakken ze er wel is 1, maar dit lijkt meer een uitzondering op de regelen. Bovendien als er een bedrijf of persoon gehackt die "belangrijk" is kunnen ze ook snel mensen oppakken.

[Sebben]

Maar zolang politie meer prioriteit zet op het beboete van mensen die 5 kilometer te hard rijden..

Tot dit punt had je een vrij sterk betoog. Dit is alleen erg zwak. Verkeersboetes gaan grotendeels automatisch, dus áls dit al enige invloed heeft op de capaciteit en mogelijkheden van de politie, zal dat een positieve zijn omdat er meer geld beschikbaar is.

Los daarvan, als je een boete krijgt voor 5km te hard, dan rijd je waarschijnlijk 15km te hard omdat er een meetcorrectie plaatsvindt van ongeveer 10%. Mensen die klagen over dat ze maar een paar km/u te hard reden, krijgen dus slechts een boete voor die paar km/u, maar reden dus beduidend harder. Ik krijg ze ook hoor, en ik vind het ook niet leuk, maar ik ben volwassen genoeg om de schuld ervan bij mezelf te houden.

[Groningerkoek]

Los daarvan, als je een boete krijgt voor 5km te hard, dan rijd je waarschijnlijk 15km te hard omdat er een meetcorrectie plaatsvindt van ongeveer 10%

Had een hoop mensen een hoop geld gescheeld als dit waar zou zijn. De meetcorrectie is veel kleiner dan 10%

Tot 100km/u gemeten snelheid 3km/u correctie, daarboven 3% correctie

[Sebben]

Dank voor de toelichting. Mijn ervaring is anders maar dat is ok, het punt blijft staan. Als je een boete hebt voor 5km te hard, rijd je dus 8km te hard. Ik vind het ook niet leuk, maar als het gebeurt is het gewoon mijn eigen schuld. Het is echt niet slim om dan boos te worden op de politie.

[Groningerkoek]

Naar natuurlijk, en dan hebben we ook de afwijking van de eigen kilometerteller, die altijd teveel aangeeft.

Na voldoende boetes gebruik ik tegenwoordig in bebouwde gebieden de limiter op de auto

[Pieter3318]

De vraag is natuurlijk of dat zo is, of dat het alleen volgens jouw onderbuik zo is, omdat jij diegene bent die, bij voortduring, 5 kilometer te hard rijdt. (dat is overigens 5 kilometer na aftrek van de verplichte correctie, dus vaak veel meer dan 5 kilometer) Het is natuurlijk ook één op één vergelijkbaar, verkeerspolitie en cybercrime divisie 😂 Als ik hoor wat er de laatste jaren wordt opgepakt en opgerold, heb ik het idee, dat er daar keihard gewerkt wordt, met te weinig geld en middelen. We hebben nu eenmaal 7000 agenten tekort, dus waarschijnlijk ook een aantal "cybercops"

[redfightjuh]

Maar zolang politie meer prioriteit zet op het beboete van mensen die 5 kilometer te hard rijden (makkelijk geld verdienen) dan daadwerkelijk dit soort criminelen aanpakken gebeurt er toch weinig. En natuurlijk pakken ze er wel is 1, maar dit lijkt meer een uitzondering op de regelen. Bovendien als er een bedrijf of persoon gehackt die "belangrijk" is kunnen ze ook snel mensen oppakken.

Jeetje wat kort door de bocht dit. Ten eerste is de politie wel met dit soort zaken bezig alleen zie jij dit niet direct maar wel wat ze op de straat doen (en de agenten op straat weten ook in de meeste gevallen niks van cybercriminaliteit). ten tweede zijn de personen achter de ransomware 99% niet afkomstig uit NL of Europa en word het al een heel stuk lastiger om hier adequaat op te reageren. Ten derde noem me 1 bedrijf op persoon die gehackt is die "belangrijk" is in jou ogen waar snel mensen voor opgepakt zijn???

Het is erg lastig om hier halt toe te roepen en ik denk dat preventie veel meer effect heeft dan achteraf conclusies trekken. Zorgen dat je beveiliging op orde is en dat je mensen/personeel weet wat ze wel en niet moeten doen in een digitale omgeving binnen het bedrijf houdt 99% van de cybercriminelen buiten de deur.

[Hyperon]

Schandalig dat hiervoor wordt betaald.

Wij doen al het mogelijke om de data van onze huurders, medewerkers en andere betrokkenen te beschermen onder deze moeilijke omstandigheden

Ja dat schip is al gepasseerd zodra ze gehacked zijn.

[Bergen]

Als je betaalt worden de gestolen gegevens niet openbaar gemaakt. Zulke bendes zijn wel serieus met die garantie, anders zouden ze hun verdienmodel te grabbel gooien.

Of ze de gegevens van hun harddisk verwijderen kom je nooit te weten, maar dat is voor het slachtoffer minder belangrijk.

[Reactie gewijzigd door Bergen op 22 juli 2024 13:29]

[The Zep Man]

Als je de betaalt worden de gestolen gegevens niet openbaar gemaakt. Zulke bendes zijn wel serieus met die garantie, anders zouden ze hun verdienmodel te grabbel gooien.

Als niemand betaalt kunnen zulke bendes niet afpersen.

[anandus]

Tja, maar dat is makkelijker gezegd dan gedaan.
Geen enkel bedrijf wil "uit principe" dat gevoelige informatie op straat komt te liggen. Je krijgt enorme reputatieschade, plus dat je heel veel mensen in de problemen kan helpen als hun data zomaar op straat liggen.

Je hebt daarbij ook kans dat eventuele boetes en andere vormen van financiële schade (rechtzaken, bijv) meer zouden kosten dan het betalen van ransomware, dus dat het ook gewoon als financieel wiskundig sommetje een logische stap is.

In alle eerlijkheid, als ik een van de slachtoffers was (huurder of werknemer) dan had ik liever dat het bedrijf geld had betaald dan dat gegevens van mij op het internet terecht zouden komen. En ik denk dat veel mensen zo denken.

[Gamebuster]

Ik vind dat het verboden moet worden om dergelijke criminelen te betalen. Dan is het meteen klaar.

Het is eigenlijk gewoon te makkelijk.

[Reactie gewijzigd door Gamebuster op 22 juli 2024 13:29]

[Wouterie]

Hmm... interessante gedachtegang die goed voelt maar nare consequenties kan hebben. De hamvraag is namelijk of het strafbaar moet zijn om met criminelen mee te werken om zo erger te voorkomen. Toch? Men betaalt de ransomware zodat de gegevens weer beschikbaar komen en niet worden gepubliceerd. Zo werkt een winkelmedewerker mee met een overvaller om geen kwaad te worden aangedaan. Zo betalen NGO's losgeld aan de Taliban om hun ontvoerde medewerkers niet in stukjes retour te krijgen.
Hoe ver wil je gaan in het strafbaar stellen van een slachtoffer om de criminelen aan te pakken? En waar trek je de grens?
Het is maar geld.

[The Zep Man]

De hamvraag is namelijk of het strafbaar moet zijn om met criminelen mee te werken om zo erger te voorkomen. Toch?
(...)
Het is maar geld.

Volgens mij is het al strafbaar om criminele organisaties te financieren.

Hoe ver wil je gaan in het strafbaar stellen van een slachtoffer om de criminelen aan te pakken?

In veel gevallen blijkt dat organisaties nalatig of onzorgvuldig zijn met de gegevens van een ander. Dergelijke organisaties zijn zowel slachtoffer als dader.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 13:29]

[Wouterie]

Losgeld betalen is geen financiering aan een criminele organisatie. Daarnaast moet bij die definitie de organisatie zijn gekenmerkt als criminele organisatie.
Stel dat het zo is en dat groep Peppie5 staat geregistreerd als een criminele organisatie en één van de leden overvalt de slijter op de hoek. Is dan de slijter, in jouw gedachtegang, strafbaar als hij meewerkt en de kassa opent zodat hij niet wordt neergeschoten?
Het lijkt me stug dat oom agent hem daarna nog een week laat brommen voor het financieren van een criminele organisatie.
Bij terroristische organisaties ligt het juridisch wel weer lastig en als de criminelen opereren vanuit een land waar niet mee gehandeld mag worden, zoals Noord-Korea.
Nog veel makkelijker is het om een ransomware verzekering af te sluiten. Maar dat geheel terzijde.

[Gamebuster]

Zo werkt een winkelmedewerker mee met een overvaller om geen kwaad te worden aangedaan.

Een winkelmedewerker is in dat geval in levensgevaar.

Zo betalen NGO's losgeld aan de Taliban om hun ontvoerde medewerkers niet in stukjes retour te krijgen.

Opnieuw, hier gaat het om mensenlevens.

Hoe ver wil je gaan in het strafbaar stellen van een slachtoffer om de criminelen aan te pakken?

Het is een lastige vraag, maar er is een simpele oplossing voor: Maak een wet, net zoals dat heling verboden is. Weinig wetten zijn zwart-wit. Er is altijd een grijs gebied. Dat mogen advocaten en rechters uitvechten per situatie.

Zodra we de toon zetten dat losgeld betalen niet oke is, denken mensen wel 2x na. Dan is het niet alleen "hmm wat is goedkoper", maar ook "hmm wat levert me minder gezeik op?".

[Reactie gewijzigd door Gamebuster op 22 juli 2024 13:29]

[SunnieNL]

Die reputatieschade hebben ze nu al. De data is al gelekt. Die data ligt al op straat. Ook al zouden ze betalen, jouw data ligt al op straat en staat al op internet. Die is dan niet ineens weg omdat er niets gebeurd is.

Laat ze betalen zodat het probleem zo klein mogelijk wordt, maar zonder de criminelen te ondersteunen. Dus zorg er als bedrijf maar voor dat de slachtoffers van jouw lek er zo min mogelijk last van hebben door bv. een goede identiteitsverzekering te betalen voor je slachtoffers. Dat is niet nieuw en is in het verleden al meerdere keren gedaan (ik heb bv. ook zo'n verzekering vanuit een hack van een grotere hotelketen).

Die boetes, rechtzaken en andere zaken gaan ze ook hebben na betalen. Het is niet zo dat ze die krijgen omdat de gegevens gelekt worden, maar omdat die buitgemaakt zijn.

[JackBol]

Typisch Prisoners Dilemma.

Als iedereen die gehacked wordt de rangen gesloten houdt, werkt dit.
Totdat 1 bedrijf voor zichzelf kiest en wel betaald.

[The Zep Man]

Als iedereen die gehacked wordt de rangen gesloten houdt, werkt dit.
Totdat 1 bedrijf voor zichzelf kiest en wel betaald.

Dat kan je voorkomen door in een dergelijke situatie iedereen vanaf het niveau van de beslissingsnemers tot aan het hoogste orgaan (inclusief van e.v.t. moederbedrijven) persoonlijk strafrechtelijk te vervolgen.

[MischaBoender]

Als je de betaalt worden de gestolen gegevens niet openbaar gemaakt. Zulke bendes zijn wel serieus met die garantie, anders zouden ze hun verdienmodel te grabbel gooien.

Of ze de gegevens van hun harddisk verwijderen kom je nooit te weten, maar dat is voor het slachtoffer minder belangrijk.

Maar dat zul je nooit zeker weten. Over een tijdje hebben ze genoeg verdiend en wie zegt dan dat ze niet alle data publiek maken?

[Bender]

Als je de betaalt worden de gestolen gegevens niet openbaar gemaakt. Zulke bendes zijn wel serieus met die garantie, anders zouden ze hun verdienmodel te grabbel gooien.

Ik zou daar zo van uit gaan.
Dat is hetzelfde als dat je beveiliging inhuurt, maar een beveiliger blijkt omgekocht te zijn.

[EsEsDee]

In hoeverre is een crimineel betalen ook deelnemen aan een criminele transactie/organisatie?

Je sponsort -bij betaling- de crimineel die van dat geld ook weer tools/mensen kan betalen, daarmee houd je dus iets in stand. Ik vind de chantage en de mogelijke maatschappelijke ontwrichting van de grotere hacks op terrorisme lijken. Dát steunen in welke vorm dan ook is ook strafbaar.

Ben oprecht benieuwd hoe dit juridisch zit. En hoe zit het als onze (landelijke) overheid hier mee te maken krijgt?

[Wouterie]

Dat is helemaal niet ingewikkeld eigenlijk. Het slachtoffer werkt mee met de criminelen om erger te voorkomen. We gaan geen winkelmeisjes strafrechtelijk vervolgen omdat ze de kassalade openen wanneer er een pistool tegen het hoofd wordt gedrukt en zo gaan we ook geen bedrijven vervolgen wanneer ze slachtoffer zijn van ransomware. Het ligt juridisch erg gevoelig om slachtoffers te vervolgen.

Een logische vraag zou natuurlijk wel zijn: wat hebben jullie eraan gedaan om dit te voorkomen? Gezien de reputatieschade en het geldbedrag wat er mee gemoeid is, kan ik me zo voorstellen dat dit gesprek geregeld gevoerd wordt.

[walteij]

Kunnen we een IT audit op dit bedrijf loslaten?
Worden er security-awareness trainingen gegeven? Worden de on-prem servers maandelijks geupdate, ditzelfde voor de werkstations. Wat voor rechten hebben medewerkers op hun systeem?
Wat zijn de policies voor BYOD? Hoe kunnen mensen bij hun data? Wat voor rechten zijn hier uitgedeeld?
Zoveel vragen en waarschijnlijk erg weinig antwoorden die voor een ervaren systeembeheerder en een medior security-admin een tevreden gevoel geven.

De tekst "Wij doen al het mogelijke..." komt bij mij over als "Hey, die tekst heb ik ergens gelezen en bekt wel lekker, laten we die in ons statement overnemen, dan laten we het in ieder mooi overkomen naar de buitenwereld".

[blorf]

Een goed wetsvoorstel zou zijn om organisaties waar zoiets bebeurd is te verplichten de beveiligingsbreuk tot in detail openbaar te maken om herhaling bij anderen te voorkomen. Mooi meegenomen dat ze dan waarschijnlijk neergaan als blijkt dat ze 'toevallig' ook wat te verbergen hadden.

[Wouterie]

Dat weten ze vaak niet. Daarnaast vind ik het wel bijzonder dat ze hier met de billen bloot zouden moeten, maar als iemand met een auto een juwelier ramkraakt dan willen we niet alle details weten over de buit, welk soort glas, of ze wel een paal voor de deur hadden etc. Ik snap niet zo goed waar de haat jegens het slachtoffer in dit soort misdaden vandaan komt.

[blorf]

Bij elk slachtoffer zijn de centrale databank en de publieke service hetzelfde systeem. Mooi smoesje altijd ook, dat de backups ook mee worden genomgen.
Er is geen beveiliginsspecialist voor nodig om daar een probleem te constateren.

[Wouterie]

Dan nog, als dat allemaal bekend is, waarom zou je onderscheid maken en in dit geval ze aan de schandpaal willen nagelen?

[jibjqrkl]

Als die juwelier een stapel met mijn gegevens achter dat glas had liggen dan zou ik toch wel een aantal vragen hebben

[Jerie]

Een goed wetsvoorstel zou zijn om organisaties waar zoiets bebeurd is te verplichten de beveiligingsbreuk tot in detail openbaar te maken om herhaling bij anderen te voorkomen. Mooi meegenomen dat ze dan waarschijnlijk neergaan als blijkt dat ze 'toevallig' ook wat te verbergen hadden.

Ja, pentest erop en rapport openbaar. Dat zal ze leren!!1 (De potentiële aanvallers idem). Er is een goede reden dat een pentest of audit intern dient te blijven. Vaak kun je niet alles mbt risicoanalyses oplossen. Je moet dan keuzes maken, prioriteiten stellen. Ook kan het even duren voor een probleem is opgelost. Bijvoorbeeld er moet eerst goedkeuring plaatsvinden, een aanbesteding moet worden gemaakt, iets als QA en ziekte en vakantie kunnen ook meespelen. Er zijn legio factoren.

Oh en @Wouterie als men niet weet waar het beveiligingslek zit dan is het stupide om te betalen want dan komt de volgende ransomwarebende ook even verhaal halen. Dat wil je als (eerste) ransomwarebende niet want dat tast je verdienmodel en autoriteit aan. Dus die lichten hun 'klant' (lees: slachtoffer) in over het euvel.

[blorf]

Niks rapport. Gewoon uitleggen wat er is gebeurd en bij een valse verklaring vervolgen. Waarschijnlijk gewoon nalatigheid of drukken van de kosten. Dat komt daar wel uit.

Een ransomware is altijd het gevolg van een andere breach. Eigenlijk is het gebruik van de term al reden voor verdenking.

[Reactie gewijzigd door blorf op 22 juli 2024 13:29]

[Wouterie]

Er zijn twee opties: 1. Men weet hoe de ransomware zo heeft kunnen toeslaan en is nalatig geweest. 2. Men weet niet hoe de ransomware zo heeft kunnen toeslaan en ze schakelen hulp in om dat te analyseren en te repareren.
Gezien de analyses van de veelgebruikte malware en tools, gaat het zelden om een zero-day en komt men doorgaans binnen via phishing. Eenmaal binnen is het een kwestie van achterdeurtjes openzetten, de gebruikelijke kwetsbaarheden afgaan en kijken hoe ver je komt.
Heb jij voorbeelden van bedrijven die in korte tijd door verschillende ransomware bendes zijn 'overvallen'?

[Jerie]

Nee, ik heb wel voorbeelden van bedrijven die jarenlang het imago hadden zo lek als een mandje te zijn, en vervolgens komt op een gegeven moment de aap uit de mauw. Diginotar is een voorbeeld en bovendien, wat je ook nog wel eens ziet is dat beveiliging op meerdere vlakken niet voldoende is (dan heb ik het niet over kleinigheden). Daarom is een pentest of audit van belang. Het is duur, geen garantie, maar dan heb je wel wat. Andere zaken die men kan implementeren staan in ISO270001 bijv een SOC of een SIEM maar dat is niet de eerste prioriteit.

Ja, in theorie kan prima een organisatie meerdere keren worden gehackt, alleen is statistisch de kans dat ze blijven betalen kleiner plus ze zijn wakker geschud en gaan aan de haal met hun brakke beveiliging, dus ik denk dat ransomwarebendes zo'n bedrijf dan even met rust laten. Niet in de laatste plaats omdat ze ook niet gepakt willen worden. Het enige dat ze willen, is simpel: geld verdienen dmv afpersing, en hoewel het veel geld lijkt, blijft er ook veel aan de strijkstok hangen want het is bij de professionelere organisaties een uitgebreid netwerk van experts op verschillende vlakken. Bijvoorbeeld de onderhandelaar is een ander persoon dan de broker of de hacker. Volgens mij heeft Brian Krebs hier een mooi artikel over gemaakt.

Persoonlijk hou ik er nogal een aparte mening op na mbt deze figuren: ipv criminaliteit riekt het steeds meer richting een digitale oorlog tussen Oost en West. Dat houdt in dat deze figuren ook steeds meer de kant op gaan van soldaten die vermoord mogen worden zonder eerlijk proces.

[Wouterie]

Preventieve maatregels kan men afdwingen d.m.v. wetgeving, maar als er nooit iemand komt kijken dan kun je aanmodderen zolang het goed gaat.
De digitale oorlog tussen oost en west snap ik wel. Er is niets nieuws onder de zon dus het is logisch dat dit ook op het digitale vlak plaatsvindt.

[Pieter3318]

Dat doet de overheid liever niet, want dan komt Nederland er achter dat overheidsinstanties ook niet heilig zijn. Het UWV heeft nog niet zolang geleden een groot datalek gehad en bijvoorbeeld het CAK houdt zich niet aan de AVG/GPDR wetgeving, weet dat, maar gaat er gewoon mee door. De AP heeft aan het UWV ook al boetes opgelegd in het kader van de databeveiliging. De reactie van het bedrijfsleven zal in dit geval ongetwijfeld zijn "verbeter de wereld, en begin bij jezelf"

[PhilipsFan]

Je kunt nog veel verder gaan dan dat. Waarom heeft een woningverhuurder eigenlijk al die data nodig over de huurders? Het enige wat ze nodig hebben is een naam om iemand verantwoordelijk te kunnen stellen als de bewoner zich niet aan het contract houdt, en een bankrekeningnummer om de huur te incasseren. Alle extra data is nergens voor nodig.

[walteij]

Erg kortaf zoals je het nu bekijkt, tenzij je een serieuze huisjesmelker bent die geen reet om zijn huurders geeft,
Data die wel nodig is voor de woningen
- Regulier onderhoud (schilderen kozijnen etc)
- Verbouwingen/verbeteringen op de juiste momenten (nieuwe badkamer/keuken)
- Meldingen vanuit de huurder over de woning (lekkage/schade)
- Meldingen vanuit andere huurders over jouw huurders (geluidsoverlast etc)
En zo zijn er vast nog wel wat meer gegevens die je wilt hebben over de huurders en de woningen.

[Pieter3318]

Plus je volledige gegevens zoals BSN en dergelijke voor de wetgeving tegen scheefwonen. De wetgever verplicht woningstichtingen tegenwoordig om heel veel info aan te leveren, die niet sec iets met wonen te maken heeft, maar meer met het regelen van wie er waar woont.

[PhilipsFan]

Die 'scheef'woon wet is idioot, maar dat is een andere discussie. Daar hebben ze ook niet je BSN voor nodig, je inkomen is genoeg. Wat eigenlijk ook wel weer idioot is, dat een verhuurder je inkomen moet weten. Het zou juist bij wet verboden moeten zijn om dat soort informatie te verzamelen voor verhuurders, zolang je de huur betaalt hoeven ze verder niks van je te weten.

De verhuurders, maar inderdaad ook de overheid, heeft nog HEEL VEEL te leren over gegevens en de gevoeligheid daarvan. Dat artikel vandaag over het pesudonimiseren van BSN is al een goed begin, maar misschien worden ze wakker nu blijkt dat er gewoon corrupte ambtenaren bestaan die paspoorten voor criminelen regelen. Er moeten echt wettelijke maatregelen komen om te voorkomen dat overheden zelf met veel te veel gegevens aan de haal gaan.

[Pieter3318]

BSN = inkomen. Zonder BSN kunnen ze je inkomen niet binnenkrijgen van de belastingdienst. Die levert dit namelijk aan. En in het geval van een uitkeringssituatie, wil men ook nog graag weten welke BSN nummers van mensen boven de 18 jaar er bij elkaar wonen op een adres. Want dan is er de voordeurdelers regeling.

[morten]

Audits zijn nu ook niet bepaald zaligmakend.

Dat is controle van de theorie en processen. En bedrijven kunnen theoretisch heel goed bezig zijn met beveiliging, maar dat wil niet veel zeggen over de praktijk.

Grote Woningcorporatie zoals Alwel zijn ook niet zo lang geleden gehacked. Daarbij verkreeg men toegang via IT dienstverleners. Juist de partij waar men van mag verwachten dat ze de beveiliging goed op orde hebben. Vaak vallen dit soort dienstverleners ook nog buiten de scope van interne/accountantsaudits.

nieuws: Zeeuwse woningcorporatie meldt ook datalek na hack bij ict-dienstverl...

[Octopuz]

Woningcorporaties hebben hun IT meestal uitbesteed aan een MSP. Daar draaien hun servers. Door legacy-applicaties worden apps nog wel eens aangeboden via RDS of Citrix. De bestanden staan soms op netwerkschijven. Als een hacker eenmaal binnen is kan hij er dan eenvoudig bij.

Er komt naar buiten dat er een woningcorporatie gehackt is. Vaak is het dan niet de corporatie zelf maar de MSP die getroffen is. Bij Play ransomware komt dat vaak door software die niet up-to-date is, zoals Exchange of een VPN gateway. Bij andere ransomware kan het ook een IT-beheerder zijn die op een phishing link heeft geklikt (dan kan de schade groot zijn als de beheeromgeving niet goed is gescheiden van de kantoorautomatisering).

Ik werk in de sector en inderdaad, die tekst 'wij doen al het mogelijke...' is makkelijk te hergebruiken, maar Woonkracht10 heeft misschien wel dezelfde vragen als jij. En hebben ze geen 'ervaren systeembeheerder en medior security-admin' omdat ze hun IT-beheer hebben uitbesteed en iets te goed van vertrouwen waren.

[Oon]

Schandalig dat mensen denken dat je als organisatie een andere keuze hebt. Het is of betalen, of in veel gevallen failliet gaan of enkele maanden of zelfs jaren uit de running zijn.

De enige andere optie zou zijn dat de overheid betalen gaat verbieden en dan vanuit de overheid financiële steun biedt voor de schade en (via een derde partij) hulp aanbiedt om alles weer draaiend te krijgen, maar dat is op het moment niet het geval. Je staat er als organisatie alleen voor als dit gebeurt.

[Wouterie]

Ja, strafbaar stellen van slachtoffers die meewerken met de crimineel om erger te voorkomen, is echt een goede stap in onze rechtsstaat.

[Oon]

Ik zeg niet dat het niet strafbaar moet worden, maar er moet dan wel vanuit de overheid hulp geboden gaan worden. Iedereen met twee hersencellen snapt dat het niet ideaal is om maar gewoon te betalen, maar zelfs met een team van experts herstel je niet zomaar even van een ransomwareaanval, laat staan als woningcorporatie die al 40 jaar dezelfde IT'er heeft rondlopen die ooit een paar certificaten heeft gehaald.

Als de overheid de expertise beschikbaar stelt (of betaalt, aangezien de overheid zelf ook weinig IT expertise in huis heeft) dan mogen ze het van mij best verbieden, maar als ze dat nu doen dan zijn ze alleen maar deze organisaties nog verder de problemen in aan het werken.

[telenut]

Onze regering betaald zelfs losgeld in de vorm van mensen aan criminelen... https://www.demorgen.be/n...eime-documenten~bb9b09a6/

[Polderviking]

Ik zou er alles behalve vertrouwen in hebben dat die data daadwerkelijk verdwijnt.

[BCC]

Ik ook, maar in de praktijk blijkt dat de criminelen best "betrouwbaar" zijn. Dat is ook in hun eigen voordeel, want dan kun je laten zien dat als er betaald wordt er "echt" niets uitlekt.

[Polderviking]

De data is al uitgelekt.
Dus wat je koopt is de mogelijkheid dat het niet verder uitlekt.

Of die data echt verdwijnt of toch gebruikt wordt voor andere, misschien ongrelateerde phishing, ga je nooit achter komen.

[watercoolertje]

Of die data echt verdwijnt of toch gebruikt wordt voor andere, misschien ongrelateerde phishing, ga je nooit achter komen.

in geval van email iig wel, ik gebruik (net als andere) vaak genoeg bijv een uniek adres voor een inschrijving van iets, als een ander daar dan ook heen mailt weet ik meteen die het uitgelekt heeft.

[Reactie gewijzigd door watercoolertje op 22 juli 2024 13:29]

[Polderviking]

Meeste mensen zitten natuurlijk gewoon bij hotmail en co en gebruiken al sinds hun twaalfde hetzelfde mailadres.

Overigens, ik heb ook een catch-all op een eigen domein voor dat doel en zie ook wel spam op adressen binnenkomen die ik nog nooit ergens achtergelaten heb.
Echt helemaal waterdicht is dat ook niet.
Niet genoeg waterdicht om een case van te maken in ieder geval.
[e-mail] is bijvoorbeeld niet echt lastig te raden als je weet dat ik dat doe voor elk bedrijf waar ik info achter laat.

[Reactie gewijzigd door Polderviking op 22 juli 2024 13:29]

[lenwar]

Tsja.. Daar zullen we moeizaam achter komen.
Er is mogelijk een erecode onder criminelen? Geen idee in dit geval.

Maar goed. Mijn onderbuikgevoel zegt dat deze dataset straks gewoon op de dark web wordt verkocht voor o.a. spam/phishing-doeleinden.

[SinergyX]

Onderling is een compleet ander verhaal, maar als jij als ransomgroep alsnog met de data openbaar gaat nadat iemand betaald, dan ben je elke vorm van 'bestaansrecht' simpelweg kwijt. Betaal of betaal niet, het komt toch op straat, dus zo'n groep heeft indirect baat bij 'correct' te werk te gaan.

Spam/phising is compleet ander caliber, dat is bijna elk emailadres, elk 06 nummer, elke naam op het internet, daar heb je geen hackergroepen voor nodig, 99% komt uit 'toegang geven' en scrapers. Enige wat je hiermee meer kan doen is mogelijk gerichte oplichting maar moet je dan wel de tijd/moeite voor nemen.

Natuurlijk heb je nog de discussie over veiligheid van zulke bedrijven, of manier opslaan, of zelfs gewoon de basis discussie waarom bedrijven zoveel data uberhaubt moeten opslaan, maar eigenlijk is elke vorm van informatie simpelweg geld waard.

[lenwar]

Onderling is een compleet ander verhaal, maar als jij als ransomgroep alsnog met de data openbaar gaat nadat iemand betaald, dan ben je elke vorm van 'bestaansrecht' simpelweg kwijt. Betaal of betaal niet, het komt toch op straat, dus zo'n groep heeft indirect baat bij 'correct' te werk te gaan.

Het is natuurlijk dubbelop?

De 'eigenaar' van de data heeft z'n data weer terug. Dat is mogelijk voor de eigenaar het belangrijkste (verschilt per organisatie/type data natuurlijk). De organisatie kan in elk geval weer verder met z'n bedrijfsvoering.

De 'hacker' heeft nu nog steeds een dataset die hij kan opschonen en doorverkopen. Mogelijk kom je er dus nooit achter wat de bron was, maar je hebt nu wel een betrouwbare/recente dataset. Iedere paarhonderd euro die spammers/phishers willen betalen voor de dataset zijn er weer een paar natuurlijk.

En onder aan de streep ligt het ligt het er natuurlijk ook maar net aan wat voor data er in zit en waar je het voor kan gebruiken.

Misschien slaat het nergens op hoor. Wat ik schrijf. Maar als ik een dataset zou hebben als crimineel zou ik daar zeker nog wat mee doen.

[CAPSLOCK2000]

Er is mogelijk een erecode onder criminelen? Geen idee in dit geval.

Dat is mogelijk, maar ik weet zeker dat niet álle criminelen zich daar aan houden. Als criminelen goed waren in de regels volgen dan waren het geen criminelen....

[lenwar]

Dat ligt er aan. Als ze hun eigen 'regels' hebben? Misschien dat de georganiseerde misdaad iets dergelijks heeft? Ik zou het echt niet weten. Heeft de klassieke maffia niet iets?

[watercoolertje]

Heeft het met eer te maken dan? Ik denk van niet!

Als het algemeen bekend is dat betalen geen zin heeft zal een bedrijf dan nog willen betalen?

Het doen wat ze zeggen is puur uit eigenbelang om dit te kunnen blijven doen!

[lenwar]

Nou ja. Er zijn twee factoren.
1. Toegang tot je eigen data
2. Geheimhouding van 'jouw data'

Als de ransomware-clubs heel betrouwbaar zijn in 1, dan zegt dat niets over 2. Het ligt er heel erg aan wat voor organisatie je bent en wat de aard van je data is, hoe belangrijk nummer 2 is. 2 kan natuurlijk ook geextraheerd worden. (dus dat alleen subsets doorverkocht worden, waar het misschien zelfs niet (makkelijk) te herleiden is naar de bron?

Er is denk ik niks algemeens over te zeggen.

[watercoolertje]

Zaken zijn bijna altijd te herleiden, kunnen ze hun best wel doen dat het niet gebeurd maar zonder het uit te kunnen sluiten lopen ze dan zelf juist risico dat hun trucje niet meer zo effectief is.

Het zou kunnen, want het blijven criminelen, maar ik geloof er niet in dat ze dat doen om de rede die ik reeds gegeven heb.

[Reactie gewijzigd door watercoolertje op 22 juli 2024 13:29]

[telenut]

nog niet direct zoiets tegen gekomen op het dark web. En moest het gebeuren, dan zal niemand nog betalen aan de ransomeware groep van waar het komt. Wat makkelijk te achterhalen is. Ransomeware groepen publiceren wat ze hacken.

[lenwar]

Dat snap ik, maar ze kunnen natuurlijk prima extracties van de datasets verkopen toch? Dan wordt het een stuk lastiger om te bepalen wat de brondata was.

[telenut]

heb je ooit al zo een dump gezien van gegevens? Die gegevens zijn op het dak web zeer weinig waard... Aanzie het als een foto van uw blote piempel. Daar wil niemand voor betalen...
Echter wil jij langs geen kanten dat die publiek op het net komt.
Moest die dan ooit al ergens te zien zijn, dan ga je ook direct weten van waar het komt.

Een concreet voorbeeld: bij de hack van verschillende gemeentes stonden de namen en heel wat extra info van de mensen met sociale problemen. Leven van uitkeringen, schulden, drugsproblemen...
Niemand wil geld geven voor die info, en die slachtoffers hebben geen geld. Toch willen ze dit liever niet publiek...

[Reactie gewijzigd door telenut op 22 juli 2024 13:29]

[Alxndr]

Is er nu data gestolen of is het ransomware? Bij ransomware hebben ze de info niet in handen maar lokaal versleuteld, dat is heel iets anders.

[Wouterie]

Kan beiden. Bij ransomware is het in elk geval zo dat de rechtmatige eigenaar niet meer bij de data kan en de sleutel in handen is van een ander. Je weet niet tot in welke mate zo daarnaast ook de data in handen hebben.
Als ze dreigen met publicatie, dan mag je aannemen dat ze ook toegang hebben tot de data en dan is er sprake van diefstal. Als het alleen versleuteling is dan zou je er nog voor kunnen kiezen om je verlies te pakken en zo veel mogelijk de data te reconstrueren.

[SunnieNL]

Die twee zijn meestal zeer aan elkaar gelinkt waarbij het data lekken naar de aanvallers vaak de primaire functie aan het worden is van ransomware om er daarna pas de versleuteling op te gooien.
Daarna volgt eigenlijk 2x afpersing:
1. Betalen om weer bij je data te komen
2. Betalen om te voorkomen dat de data wordt gelekt.

Het businessmodel kijkt tegenwoordig dan ook nog eens naar hoeveel data ze hebben, wat voor data ze hebben en wat de wereldwijde omzet van jouw bedrijf is om vervolgens aan deze 2 zaken een prijs toe te kennen.

[TvdD]

Maar met dit soort dingen is het altijd maar de vraag of de data nou ook echt niet verder lekt.

[CH4OS]

Weten we in elk geval waarvoor de aankomende stijging van de huur is.

[Soldaatje]

Ja precies, ik vind dat wel of niet betalen eerst aan de huurders voorgelegd zou moeten worden.
En dan moet er nog nog toestemming gegeven worden door de overheid, en het bedrag dat betaald moet worden openbaar wordt gemaakt met een beschrijving van de gegevens die mogelijk buit gemaakt zijn.

[The Zep Man]

"Wij doen al het mogelijke om de data van onze huurders, medewerkers en andere betrokkenen te beschermen onder deze moeilijke omstandigheden", schrijft de organisatie.

Als de organisatie dat had gedaan voor het lek, dan was er geen sprake van moeilijke omstandigheden.

[GameNympho]

Ze zouden zich moeten schamen, software niet in orde of uptodate en dan nog dokken ook sorry in mijn ogen verdienen ze ook nog eens een boete of een ontslag, want de huurders worden benadeeld door diegene die hier over gaat.
En wie zegt niet dat nu hierdoor de huren omhoog gaan (ook het onderzoek moet betaald worden) en de huurders het losgeld betalen (hypocrisie op en top).

[satya]

Als je denkt dat bijgewerkte software voldoende is om criminelen uit een bedrijfsnetwerk te houden heb je geen flauw idee hoe deze vaak goed geschoolde techneuten die vaak al drie tot zes maanden in je netwerk zitten te werk gaan.

[SilentDecode]

Elke keer als ik zo'n bericht zie, denk ik bij mijzelf:
"Goh, dat moet wel lastig zijn, backup air-gappen". Ik ken meerdere bedrijven die 20TB elke dag airgappen, om te zorgen dat zoiets niet bij ze kan gebeuren..

Edit:
Er even geen rekening mee gehouden dat ze ook die som zouden moeten betalen om uitlekken van data te voorkomen... Whoopsie!

[Reactie gewijzigd door SilentDecode op 22 juli 2024 13:29]

[Ventieldopje]

Het gaat er niet alleen om dat ze weer een backup kunnen terugzetten en door kunnen gaan (nog los van om te checken of die geïnfecteerd is); het gaat er om dat er data is buitgemaakt door de aanvallers die ze dreigen openbaar te maken of te verkopen.

[SilentDecode]

het gaat er om dat er data is buitgemaakt door de aanvallers die ze dreigen openbaar te maken of te verkopen.

Ohja, dat gedeelte is er inderdaad ook nog.. Oopsie!

[Ventieldopje]

Maar de titel is wel wat verwarrend. Vroeger noemden we dit een datalek maar nu is ineens alles ransomware. Terwijl dat voor mij meer klinkt als software die alles versleuteld en de boel daadwerkelijk gegijzeld houdt. Of ik moet wat gemist hebben

[watercoolertje]

Is een datalek niet dat je bij data kan waar je niet bij mag? En ransomware dus een toepassing met data uit het datalek?

[Ventieldopje]

Een datalek is een gebeurtenis waar mensen bij data kunnen waar ze niet bij mogen komen, niet zozeer jij zelf alleen.

Ransomware hoeft niet altijd een datalek te betekenen. Als het gaat om ransomware die je bestanden versleuteld maar geen data verstuurd naar de aanvaller (of de kans niet krijgt), dan is er geen sprake van een datalek.

[Sando]

Dit gebeurt zo vaak, ik wordt er een beetje verdrietig van. Zijn bedrijven die persoonsgegevens beheren na 33 jaar echt lui of onnozel te noemen? Of zijn ransomwarebendes zo gewiekst dat ik onderschat hoe moeilijk het is om je data tegenwoordig veilig te houden (en werkende backups te maken)?

[Bender]

Hoe kom je bij die 33 jaar? Je verwijst naar een wikipedia pagina maar ik kan de link met je bewering zo niet terugvinden?

[Sando]

Starting as early as 1989 with the first documented ransomware known as the AIDS trojan, the use of ransomware scams has grown internationally.

Ik chargeer een beetje, maar het is ook weer niet echt iets nieuws.

Examples of extortionate ransomware became prominent in May 2005.

[Bender]

bedrijven die persoonsgegevens beheren na 33 jaar

Ik las dit alsof Woonkracht10 33 jaar oude data nog op aan het slaan is. Maar nu snap ik je punt zeker.

[Polderviking]

Er wordt nooit iets zinnigs gepubliceerd in de zin van technische details.
Dus of de woning corportatie hier wat te verwijten valt, omdat ze bijvoorbeeld hun file server aan internet geknoopt hebben ofzo, en die sinds de tijd van de ottomanen niet is geupdate, is gissen.

Het stikt onder dit soort berichten van de mensen die slechte beveiliging citeren zonder dat daar iets over terug te vinden is in het artikel zelf.
Maar wat je wel weet is dat dit ook bij mega instanties gebeurd waar hoog gekwalificeerd en gecertificeerd personeel aan de knoppen zit.

Misschien is het omdat ik zelf in de keuken sta maar ik ben toch voorzichtig met aannames over dat dit alleen maar gebeurd als je foute keuze's maakt rond je infra.
Beveiliging van informatie waar mensen gewoon toegang tot hebben blijft mijns inziens een heikel punt.

[Reactie gewijzigd door Polderviking op 22 juli 2024 13:29]