Cloudgamingplatform Shadow waarschuwt klanten voor datalek

Shadow, een cloudgamingplatform, heeft zijn klanten gewaarschuwd voor een datalek. Dat doet het platform in een e-mail aan gebruikers. Volgens het bedrijf zijn er onder meer namen, e-mailadressen en factuuradressen buitgemaakt.

De e-mail van Shadow

Shadow maakt het datalek bekend via een e-mail, die door verschillende lezers is doorgestuurd naar Tweakers en ook is in te zien op Reddit. Het bedrijf meldt in zijn bericht dat het slachtoffer is geworden van socialengineering. Een medewerker zou op Discord zijn aangedrongen om malware te installeren onder het mom van een Steam-game. De aanvaller wist vervolgens een gestolen cookie te gebruiken om de managementinterface van een van Shadows SaaS-leveranciers te benaderen. Daarmee kon de hacker bepaalde klantgegevens inzien.

Volgens Shadow betreft het een datalek van volledige namen, e-mailadressen, geboortedata, factuuradressen en de vervaldata van creditcards. Er zijn geen wachtwoorden of 'gevoelige bankgegevens' gestolen, zo zegt het platform. Het bedrijf waarschuwt zijn klanten wel voor phishingpogingen op hun e-mailadressen en raadt gebruikers aan om tweetrapsauthenticatie aan te zetten.

Het platform claimt dat het 'de nodige stappen heeft ondernomen' om zijn systemen te beveiligen en 'de nodige voorzorgmaatregelen heeft genomen om toekomstige incidenten te voorkomen'. Het bedrijf heeft naar eigen zeggen ook zijn beveiligingsprotocollen bij zijn SaaS-providers aangescherpt en zijn interne systemen geüpgraded om overgenomen workstations onschadelijk te maken.

Shadow is een cloudgamingplatform waarmee gebruikers via de cloud een game-pc kunnen huren. Daar kunnen ze vervolgens zelf eigen games op installeren en spelen. Het bedrijf heeft, los van zijn e-mail aan klanten, nog niet openbaar gereageerd op het datalek.

Reacties (39)

[ThaBilly]

Ik heb mijn account in 2021 stopgezet na misschien 1 maand gebruik en toch helaas ook deze mail gehad, ik snap niet waarom mijn gegevens zo lang bewaard worden?

[NosferatuX]

Idem dito.
Bedrijven bewaren jouw gegevens altijd. Heb mij een keer afgemeld voor alle nieuwsbrieven in mijn gmail account en ik ben iemand die gerust 30k emails in zijn inbox heeft helaas dus hels karwei.
Je krijgt gewoon opeens 1 of 2 jaar later weer nieuwsbrieven van die bedrijven.
Om gek van te worden.

[!GN!T!ON]

Valt mij ook op inderdaad, na al een tijd een gevoel gehad te hebben van "ik heb mij toch al afgemeld voor deze nieuwsbrief?" eens gaan bijhouden, door een zwik afmeldingen te doen en dit op te schrijven. Meer dan de helft blijft gewoon door mailen.

[tw_gotcha]

de truc is volgens mij dat bedrijven de nieuwe spam niet een nieuwsbrief noemen maar 'aanbiedingen' of iets dergelijks. Dat mag wettelijk niet (in ieder geval in NL) maar dat gebeurt wel. Ik heb mijn facebook account al jaren geleden opgezegd, ik ben benieuwd of het nog gewoon bestaat. Ik denk van wel.

[sinshz]

Ligt eraan hoe je je facebook account hebt opgezegd.
De "normale" manier blokkeerd alleen toegang ertoe en is niet verwijderd, je moet een of andere speciale knop drukken die verborgen zit om het echt te verwijderen (en zelfs dan twijfel ik of je echt verwijderd bent).

[kristofvdo]

Off topic van het artikel maar als reactie op je melding.

Ik heb in 2018 men profiel verwijderd via de vermelde method van Facebook zelf, dat je profiel daadwerkelijk wordt verwijderd.
Begin dit jaar liet iemand me weten dat ik niet reageer op FB en blijkt dat dit profiel nog/terug beschikbaar was, maar uiteraard had ik geen toegang ertoe want men credentials waren verwijderd. (Stonden nog in men password manager)

Ik ben nu tien maanden aan het communiceren met Facebook & Belgische Gegevensbeschermingsautoriteit om dit profiel te laten verwijderen onder de GDPR mom, right to be forgotten.

Ondanks na het bezorgen van kopie ID kaart etc... blijft men weigeren dit profiel te verwijderen. Ik zou volgens FB eerst een nieuw profiel moeten maken, laten bevestigen door FB vrienden dat ik dit daadwerkelijk ben, om dan het oud profiel te laten mergen en verwijderen...

Belgische Gegevensbeschermingsautoriteit is alles behalve een hulp want ik moet kunnen aantonen met screenshots dat ik in 2018 de juist procedure heb gevold. Indien ik deze niet kan bezorgen, kunnen ze niet helpen "aangezien de verwerkingsverantwoordelijke in Ierland gevestigd is"

[tw_gotcha]

wat een absurde gang van zaken

[tw_gotcha]

ik 'echt' verwijderd maar ik twijfel er ook aan

[Znorkus]

Ik dacht al dat het aan mij lag. Dit gebeurt me ook erg vaak. Bijna altijd geef ik dan ook aan 'I never signed up for this mailing list', en dan heb ik zo'n zelfde gevoel : ik had dat vinkje bij het plaatsen van de bestelling toch zeker uitgezet..?

Mochten er Tweakers meelezen die webshop-software schrijven: trek het je aan en doe er wat mee

[supersnathan94]

Dat is inderdaad raar. Onder de GDPR is het maximaal 3 maanden voor inactieve accounts en praktisch direct als je actief opzegt right?

[Killjoy]

De AVG (GDPR) schrijft geen bewaartermijnen voor, maar geeft aan dat persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk.

Onder 'noodzakelijk' valt in ieder geval het voldoen aan wetgeving. Daarin kan een verplichte bewaartermijn zijn vastgelegd.

Daarnaast is er het ' gerechtvaardigd belang'. Een grondslag die vrij diffuus is (denk aan het gedoe met cookies). Het laat organisaties de ruimte om zelf te bepalen waarom en hoe lang bepaalde persoonsgegevens worden bewaard.

In de praktijk zie je helaas dat organisaties beter zijn in het bewaren dan in het vernietigen van gegevens.

[ShadLink]

Idd. GDPR wordt vaak als een privacy wetgeving gezien, maar dat is het niet. Het is een databoekhoudwet, maw je moet kunnen aangeven welke gegevens je verzamelt en waarom. En je moet mensen toegang geven tot hun gegevens.

[Killjoy]

Klopt. Handelsverordening. Het gaat om gegevensbescherming. Het woord 'privacy' komt niet eens in de AVG voor (Nou ja, ze verwijzen één keer naar de eprivacy richtlijn)

[Sp3ci3s8472]

Financiele informatie (transacties) blah blah nog iets, de periode dat dat soort gegevens mag worden bewaard is een stuk langer. Tenminste dat is wat mij is verteld bij iets waar ik een keer wat had gedonneerd en ik gebruik wilde maken van GDPR. Nu ga ik er even van uit dat Shadow geld vraagt per maand.

[jurroen]

Ja, ze moeten die informatie bewaren, maar dat hoeft niet online, dat hoeft niet met e-mailadressen etc. Als ze alleen de facturen bewaren voor zeven jaar (of het Franse equivalenr ervan) is dat ook prima.

Sowieso - geboortedata - thefuck. Dat heb je als leverancier van een dienst als Shadow écbt niet nodig.

[sinshz]

Geboortedatum hebben cloud gaming platformen wettelijk wel nodig om je content aan te bieden die geschikt is voor je leeftijd, zij hebben een plicht om zich aan de ESRB ratings te houden (en de gelijkwaardige per regio)

[jurroen]

Ik weet niet of je bekend bent met Shadow, maar je krijgt daar gewoon een volledige Windows desktop. Er is geen vorm van curatie of leeftijdsgebonden aanbod.

[supersnathan94]

Die snap ik, maar dat hoeft niks anders te zijn dan een printje van de factuur in een map of ergens in blobstorage waar alleen afdeling boekhouding bij kan bij audits.

[Soldaatje]

Geldt dat niet alleen voor verwijderde accounts? Dat zou het kunnen verklaren?

[dez11de]

Onder de GDPR is het maximaal 3 maanden voor inactieve accounts

Nee.

[BCC]

Dit had ik exact hetzelfde.

[pvdheu]

Shadow breekt GDPR regels links en rechts. Ik heb ze twee jaar geleden al gevraagd mijn gegevens te verwijderen, ze hebben bevestigd dat ze dat zouden doen binnen twee maanden maar ik kan nog steeds inloggen n kreeg nu ook deze mail.

Misschien toch tijd voor een klacht bij de EU ..

[NosferatuX]

Kreeg de mail ook al. Toch vervelend dat je afhankelijk bent van de onkunde en domheid van sukkels die geacht worden jouw gegevens veilig te houden.
Kan het niet anders verwoorden.
Je kan zelf zo voorzichtig zijn als je wilt en ervoor zorgen dat je zelf niks lekt, er zijn altijd wel instanties die het voor jouw verprutsen, zelfs op overheidsniveau.

[The Zep Man]

Het platform claimt dat het 'de nodige stappen heeft ondernomen' om zijn systemen te beveiligen en 'de nodige voorzorgmaatregelen heeft genomen om toekomstige incidenten te voorkomen'. Het bedrijf heeft naar eigen zeggen ook zijn beveiligingsprotocollen bij zijn SaaS-providers aangescherpt en zijn interne systemen geüpgraded om overgenomen workstations onschadelijk te maken.

Wat wordt gedaan om (meer) te voorkomen dat medewerkers:

1. In phishingmails trappen?
2. Software op hun zakelijke computers mogen installeren?
3. Denken dat ze spelletjes op hun zakelijke computers mogen spelen?

Links hebben wij een beveiligingssysteem met de beste malware scans, de beste patroonherkenning, de beste AI, de beste protocollen, de beste algoritmes, de beste hardening... Het kost een miljard, maar dan heb je ook wat.

Rechts hebben wij Bob, een doorsneegebruiker.

Waar zit de zwakheid?

[Reactie gewijzigd door The Zep Man op 23 juli 2024 05:29]

[Soldaatje]

Bij ons op werk kan je gewoon niks installeren of executables draaien, behalve whitelisted, dat is een aantal jaren geleden ingevoerd na de ransomware-golf. Dus het kan technisch allemaal wel.

[xoniq]

Tot iemand z’n eigen device meeneemt, en daarop iets installed met een ransomware erin.

[Lagonas]

Dat mag / kan dan ook niet bij veel bedrijven. Tenminste, de bedrijven waar ik voor werk / klant van ons zijn.

[xoniq]

Waar ik voorheen werkte kies je wat voor hardware je wilt, en wat je installeert etc. Niks ‘managed’. En ja daar kan t dus grandioos mis gaan. Zelf ben ik een MacBook gebruiker, maar doe ik daar niks sketchy op, of open ik lukraak willekeurige bestanden. Maar andere collega’s zijn dan misschien minder secuur, dan krijg je zulke ellende.

[KraveN]

Ik heb nog geen mail gehad! Een tijd lang gebruik gemaakt van deze dienst. Weet alleen niet zeker meer of ik destijds ook een verzoek heb gedaan om mijn gegevens te verwijderen.

Heb ik bij een hoop webwinkels en diensten gedaan toen ik toch alles moest aanpassen ivm een lastpass hack. Hoop gedoe, maar het heeft wel lekker opgeschoond.

[graceful]

Bedrijven moeten echt actief gegevens gaan verwijderen. Waarom zoveel verantwoordelijkheid nemen over gegevens die allang weg konden? Echt belachelijk

Voor financial informatie heb je dat hele account, incl geboortedatum, niet meer nodig, de PDF facturen opslaan is voldoende.

[Gert]

Dat verschilt per branche en per land. Ik heb ook eens een klant geadviseerd die gedetailleerde gegevens van transacties moest bewaren omdat particulieren wettelijk tot twee jaar terug kunnen claimen dat het onterecht was. De bewijslast ligt daarbij bij de leverancier, niet de klant.

Geboortedatum lijkt mij bij deze dienst trouwens ook van belang om de juiste content te kunnen tonen.

[lethalbas]

Over de geboortedatum, Shadow PC is niet een regular cloudgamingservice zoals Geforce now of Stadia. Shadow PC levert simpelweg een clean windows virtual server systeem met een videokaart aan waar je vervolgens zelf middels third party publishers je games op kan installeren. De publishers als Valve en Ubisoft controlleren in dit geval dus zelf of gebruikers aan de leeftijdsverijsten voldoen i.p.v. dat Shadow PC dat doet. Ik denk dus dat het gegeven geboortedatum in principe niet strict noodzakelijk is.

[Ozzy]

Van de Nederlandse Belastingdienst moet je de administratie 7 jaar bewaren (sowieso financiele gegevens) overige gegevens kun je afspraken over maken. En in sommige gevallen is het zelfs 10 jaar.

Ook het afdrukken (en verwijderen) mag alleen als het om een kleine administratie gaat, dus in algemene zin is het gewoon niet waar wat je zegt.

https://www.belastingdien...ewaart_u_uw_administratie

[graceful]

Een account valt niet onder deze administratie plicht. Wat is er precies niet waar aan wat ik zeg?

Als je de PDF factuur opslaat voldoe je aan de belastingdienst haar eisen over het opslaan van administratieve gegevens.

De belastingdienst is niet geïnteresseerd in het account, geboortedatum of actief adres. Het wil de omzetstromen kunnen herleiden.

De link die je aangeeft, hierin doelt de belastingdienst op een boekhoud administratie.

[Reactie gewijzigd door graceful op 23 juli 2024 05:29]

[MrMonkE]

Misschien eens snijden in:
- Thuiswerken
- BYOD

Lijkt me al snel wat van dit soort zaken te stoppen.

[Brantje]

Thuis werken is heel goed mogelijk zolang de goede security policies in te stellen.
Ik werk vanuit huis, maar kan niets kwa USB storage of wat dan ook aan de mac hangen.

[Met]

Als het zo is dat er een mail is gestuurd, dan de Autoriteit Persoonsgegevens hierover ook informeren dat deze provider zich niet aan de regels houdt.En je kunt zelf ook het recht tot inzage en verwijderen opeisen.

[WEBGAMING]

Recht op inzage en verwijdering van gegevens nadat deze gegevens gelekt zijn. Heel nuttig.

[Met]

Als ze dat niet hebben gedaan dan kun je ze voor de rechter dagen. Niet nakomen AVG etc. Kortom: boete.