'Ook gerechtelijke en notariële documenten gestolen bij cyberaanval Limburg.net'

Hackerscollectief Medusa heeft bij de cyberaanval op de computersystemen van Limburg.net niet enkel persoonsgegevens van 311.000 Belgische huishoudens buitgemaakt. De groep zou ook gerechtelijke en notariële documenten met financieel gevoelige info hebben kunnen bemachtigen.

De redactie van VRT NWS heeft de documenten naar eigen zeggen kunnen inkijken en stelde vast dat het om meer dan enkel rijksregisternummers, namen en adressen gaat, zoals eerder werd gesuggereerd. "Er zijn ook documenten gelekt van notarissen en rechtbanken waarin details van erfenissen of leeflonen staan vermeld", klinkt het. "Er worden mensen met naam en toenaam benoemd."

Limburg.net zegt dat er open is gecommuniceerd over het lek. De afvalbeheermaatschappij sprak in zijn oorspronkelijke persbericht over namen, adressen en rijksregisternummers van 311.000 personen. Die data zou volgens organisatie dateren uit het jaar 2014 en 2015. Data zoals identiteitskaartnummers, wachtwoorden, inloggegevens, rekeningnummers en bankkaartnummers behoorden volgens Limburg.net niet tot de uitgelekte gegevens. De betrokken klanten krijgen ook een persoonlijke brief met daarin informatie over het lek.

Hackerscollectief Medusa heeft in december vorig jaar een oude dataserver van de Vlaamse afvalbeheermaatschappij Limburg.net kunnen hacken. De groepering heeft gegevens van 311.000 Belgische huishoudens kunnen bemachtigen en heeft ook gedreigd om deze gegevens openbaar te maken als Limburg.net geen 100.000 euro losgeld wilde betalen. De afvalbeheermaatschappij heeft dat bedrag naar eigen zeggen niet betaald.

De oorspronkelijke teller op de site van Medusa

Reacties (71)

[justinkb]

Hoezo heeft een of ander afvalbeheerbedrijf gevoelige data over erfenissen op hun servers staan? Waar slaat dat nou weer op?

[Krommetenen]

Een meeverzonden e-mail reeks wat een medewerker niet verwijderd na ontvangst?

Wie zal het weten… Hoe Limburg.net reageert is alles behalve helder.
Dat de klanten en media pas van het lek horen met nog maar een paar uur op de klok voor het wordt gepubliceerd…

Het gebruik van informatie zal vast niet beter zijn.

[Superbra]

Het datalek werd reeds eerder bekend gemaakt. Vier dagen geleden om precies te zijn. Maar in die melding heeft limburg.net niet gesproken van gegevens over leeflonen en erfenissen.
Het artikel van vandaag gaat er net over dat journalisten van de VRT ontdekt hebben dat er ook gegevens over leeflonen en erfenissen gestolen zijn, van 61 mensen om precies te zijn. Limburg.net houdt vol dat het correct gecommuniceerd heeft over de diefstal en dat het de gegevens over leeflonen en erfenissen niet vermeld heeft om "de getroffen klanten niet in een bepaald daglicht te stellen". Nogal een zwak argument aangezien het oorspronkelijk persbericht geen specifieke klanten vermeldt.

[MrSnowflake]

Bekend gemaakt eigenlijk zelfs niet. Niemand die ik ken en geïmpacteerd zou zijn, heeft iets gehoord van Limburg.net, zo ver ik weet. Enkel via de media weten ze dat er iets is gebeurt. Ook helemaal niet ok.

[Reactie gewijzigd door MrSnowflake op 22 juli 2024 16:42]

[Drwho1]

Mij stoort vooral dat er in de communicatie van Limburg.net het volgende staat:

Op die servers stonden enkel openbare of zeer verouderde data...Hackers zijn erin geslaagd om persoonsgegevens te kopiëren uit 2014 en 2015...Het gaat enkel om de gegevens van het toenmalig gezinshoofd (de referentiepersoon). Gegevens van de andere inwoners zitten niet in deze lijsten en zijn dus niet gestolen.

Persoonsgegevens uit 2014 en 2015 noem ik niet 'zeer oud'. Mijn adres en rijksregisternummer zijn bij mijn weten geen openbare informatie. Bovendien veranderen gezinshoofden niet elk jaar of verhuizen mensen ook niet elk jaar.
Dus mijn gegevens als gezinshoofd liggen op straat want ik woon in een betrokken gemeente. Ze doen hier nogal lichtzinnig over en ik heb hier vooral weinig gevoel van verantwoordelijkheid.

Tot op heden heb ik nog geen schriftelijke informatie ontvangen.

[MrSnowflake]

Hun communicatie is echt beschamelijk, idd geen verantwoordelijkheid nemen.

I nhun eerste communicatie stond iets als: het komt dan op het dark web, iets waar gewone gebruikers niet aankunnen, dus zo erg is dat niet.

I mean, wij kunnen er mss niet aan (false), maar ik heb er ook niks aan. Degene die er wel aan kunnen hebben een schat aan informatie

[Superbra]

Volgens het VRT artikel worden vandaag brieven gestuurd naar de betrokkenen. In principe zou je die dus één van de komende dagen in de bus moeten krijgen. En een rijksregisternummer, in combinatie met je naam en adres, is niet niks. Onbegrijpelijk dat ze er zo licht over gaan.

[biglia]

Wel raar dat niet alle 311.000 Belgische huishoudens op de hoogte werden gebracht van de datalek terwijl ze ook wel slachtoffer zijn. Ik dacht dat ze zelfs wettelijk verplicht zijn.

[Blokker_1999]

Dat gebeurd wel, maar kost tijd. Er gaan brieven gestuurd worden omdat men van iedereen wel de adresgegevens heeft. Afwachten wat daar in staat.

[Triblade_8472]

Mogelijk waren dat bewijsstukken voor uitzondering of verlaging van betalingen van belasting?

In Nederland hebben we ook afvalstoffenheffing die in een aantal gevallen door semi-overheden verzameld en geïnd worden. Ik kan mij indenken dat zij dit zelf doen, en dan kan het zijn dat ze deze gegevens nodig hadden.

Dat ontslaat hen natuurlijk niet van het veilig houden en/of tijdig verwijderen ervan.

[Superbra]

In België kan je afhankelijk van je sociale of financiële situatie kortingen krijgen op veel tarieven. Zo bijvoorbeeld voor telefoon, energie, water maar ook afvalophaling.
Dat verlaagde tarief is dan gekoppeld aan bijvoorbeeld een laag loon en bezittingen. In die context is het dus mogelijk dat limburg.net dergelijke informatie nodig had om de verlaagde tarieven te kunnen toekennen. Nu is het wel zo dat die financiële/sociale situatie regelmatig (ik vermoed jaarlijks) bewezen moet worden. Eigenlijk waren die gegevens van jaren terug dus niet meer nodig en hadden die vernietigd moeten worden, tenzij er natuurlijk een wettelijke plicht is om die langer bij te houden.

Het zou wenselijk zijn dat die financiële/sociale situatie bijvoorbeeld bijgehouden wordt door de gemeentes en dat die op aanvraag kunnen doorgeven of iemand recht heeft op een sociaal tarief, zonder details mee te leveren. Op die manier zou de gevoelige informatie alvast slechts op één plek bijgehouden en beveiligd moeten worden.

[bewerkers]

Nog wenselijker is gewoon geen enkele koppeling van prijs met loon. Geen data is ook geen kans op lek. Eventueele toeslagen kun je los daarvan regelen. Nog beter is toeslagen af te schaffen, maar dat is een ander onderwerp.

[Reactie gewijzigd door bewerkers op 22 juli 2024 16:42]

[MrSnowflake]

Maar met die sociale tarieven is het loon niet gemoeid, toch niet voor de partijen. Volgens mij gaat die organisatie via het OCMW. Juist zodat exacte lonen niet gekend zijn voor de service providers. Maar ik kan natuurlijk mis zijn.

[Guru Evi]

Het is de overheid, waarschijnlijk iets van - ah een S3 bucket, we maken daarvan gebruik bij limburg.net, gewoon een foldertje bijmaken, waarschijnlijk niet eens een account bijmaken, alles openzetten want dat is 'gemakkelijk' - beveiliging? "al die lettertjes en cijfertjes" in de URL is toch een goed genoeg paswoord, niemand die DAT kan raden.

En ja, dat is letterlijk hoe bepaalde dingen op mijn bureau terecht komen, het project is al halfweg gedaan alvorens ze een "echte" ITer aanspreken en zie je zulke beredeneringen van managers. De "ITer", als ze al inbegrepen zijn, is vaak iemand in het bureau die hun computer opgezet heeft.

[Reactie gewijzigd door Guru Evi op 22 juli 2024 16:42]

[Triblade_8472]

Hoe meer er niet betaald wordt, hoe sneller het ophoud!

En welkom in de wereld van internet diensten, cloud en SaaS. Als deze documenten niet aan het internet geknoopt waren, hadden ze ook niet ook straat gelegen, ongeacht of het een oude server is. En daar naast is het natuurlijk erg stom om een oude server te hebben! Die had op up-to-date moeten zijn óf weg.

Sterker nog, onder de Europese/Belgische privacy regels had verouderde data baar niet meer mogen zijn denk ik. Dus het is nog verwijtbaar ook in dat opzicht! Tijd dat ze een persoon aanstellen met als specifieke taak (Privacy Officer?) te kijken of er nog oude servers zijn. Als overheid zou ik daar ook zeker op focussen en hameren.

[wildhagen]

En welkom in de wereld van internet diensten, cloud en SaaS. Als deze documenten niet aan het internet geknoopt waren, hadden ze ook niet ook straat gelegen, ongeacht of het een oude server is.

Dat is toch echt te kort door de bocht. Ook in het 'papieren tijdperk' toen alles dus nog met papieren dossiers ging belandde er wel eens wat (al dan niet vertrouwelijke, geheime) documenten bij het oud papier, en dus was dat een datalek.

Bijvoorbeeld een foutje van een medewerker die iets verkeerd weggooien (ipv het door de shredder te halen), een hele dossier-kast die met inhoud en al werd afgedankt etc etc.

Ook digitaal, voordat alles aan Internet hing, kwamen dit soort lekken wel voor. Medewerkers die data op USB-sticks zetten om er bijvoorbeeld thuis verder aan te werken. Data op laptops die vervolgens kwijtraakten. Allemaal voorbeelden die vroeger, voor de cloud, ook gewoon voorkwamen.

[koelpasta]

Dat is toch echt te kort door de bocht.

Kort door de bocht?
Kun jij je een tijd in het pre-internet herinneren waarin er wekelijks, dagelijks grote serieuze lekken plaatsvonden?
Je hebt gelijk dat het vroegah ook voorkwam maar de frequentie is nu schrikbarend hoger.

[Blokker_1999]

En dan nu de andere vraag die ik me dan stel: Wil jij terug naar die tijd? Een tijd waarin je soms weken nodig had om 1 document te ontvanger, je soms meerdere verlofdagen moest nemen om aan loketten te gaan aanschuiven en wanneer je dat document dan eindelijk had je voor de verscheurende keuze stond van te vertrouwen op de postdiensten of nog maar eens een halve dag vrij te nemen om toch zeker te zijn dat het goed aankomt waar a je door die administrative mallemolen daarna nog een keer weken moest wachten op antwoord.

Niet dat de administrative vandaag altijd vlot gaat, maar de digital transformative heeft vele processed echt wel verbeterd.

[koelpasta]

Wil jij terug naar die tijd?

Nee, ik wil dat automatisering veiliger wordt gemaakt. Maar goed, dat kost kennis en geld.

[metalmania_666]

Dat die server daar niet meer had mogen staan helemaal mee eens.
Dat er te weinig kennis bij veel bedrijven op het gebied en privacy en beveiliging is, ook mee eens.

Maar als zelfs de NSA, de NASA, de FBI en defensie in meerdere landen kunnen worden gehackt is het een utopie om te stellen dat je alles kan beveiligen.

Het is voor veel bedrijven ondoenlijk om alles top notch te beveiligen.
Er moet een risico analyse worden gemaakt. Dat vereist de AVG ook. Maar tegen menselijke blunders kan niemand op

[koelpasta]

Maar als zelfs de NSA, de NASA, de FBI en defensie in meerdere landen kunnen worden gehackt is het een utopie om te stellen dat je alles kan beveiligen.

Maar dan praat je over staatshackers met bodemloze budgetten en geen verdienmodel er achter.

[Blokker_1999]

Alleen lijk jij er dan van uit te gaan dat met kennis en geld alles op te lossen is. Maar dat is het natuurlijk niet. Wanneer beveiligingsbedrijven ook lekken kennen, wanneer de grootste tech bedrijven die net enorm veel experts op gebied van veiligheid hebben ook lekken hebben dan weet je dat zolang de aanvaller voldoende tijd, geld en kennis heeft, deze ongetwijfeld binnengeraakt, ongeacht hoe goed de beveiliging is.

[koelpasta]

zolang de aanvaller voldoende tijd, geld en kennis heeft, deze ongetwijfeld binnengeraakt, ongeacht hoe goed de beveiliging is.

Sure, maar als je als 'verdediger' ook tijd geld en kennis er tegenaan gooit dan zouden we niet meerdere keren per week lezen dat er weer een database online staat.

[kftnl]

Kun jij je een tijd in het pre-internet herinneren waarin er wekelijks, dagelijks grote serieuze lekken plaatsvonden?

Toen stond veel van die info gewoon in je telefoongids. Heb je weleens echt last gehad van een datalek?

Ik denk dat bepaalde soorten lekken (bijv. medische gegevens of data van mensen wiens veiligheid op het spel staat) erg vervelend kunnen zijn, maar ik heb het idee dat mensen zich soms ook laten aanpraten hoe erg het is dat hun naam, email-adres en hashed wachtwoord in te zien is.

[rbr320]

Heb je weleens echt last gehad van een datalek?

Wat noem je last? Ik heb gemerkt dat vlak na recente datalekken waarbij o.a. e-mailadressen en telefoonnummers zijn buitgemaakt het aantal phishing pogingen flink toe nam. Ik werd ineens regelmatig gebeld vanaf onbekende nummers en kreeg spam emails die dusdanig gepersonaliseerd waren dat de spamfilters van Gmail, die toch vrij goed zijn te noemen, ze niet als spam herkende. Dus ja, ik heb ongemak gehad van het feit dat mijn data gelekt is.

[Reactie gewijzigd door rbr320 op 22 juli 2024 16:42]

[koelpasta]

Toen stond veel van die info gewoon in je telefoongids.

Ja? Stond jouw huisartsdossier en psychologische evaluatie in de telefoongids?
Om NAW gegevens maak ik mij niet druk.
Maar andere soorten gegevens kunnen tot grote problemen leiden. Ze kunnen bijvoorbeeld mensen chantabel maken.

[kftnl]

Je schrijft het alsof we het met elkaar oneens zijn, maar dat is precies wat ik in mijn tweede regel schrijf. Medische data is vaak erg brak beveiligd, en toch ben ik me niet bewust van dat er uberhaupt dit soort data op internet gedumpt is in Nederland. Er zijn wel breed uitgemeten datalekken geweest waarbij een individu toegang kreeg tot zulke informatie maar bij mijn weten is er niets bekend over dat die dan ook daadwerkelijk doorgestuurd is.

[koelpasta]

Medische data is vaak erg brak beveiligd, en toch ben ik me niet bewust van dat er uberhaupt dit soort data op internet gedumpt is in Nederland.

Tja, dat ligt denk ik aan jou...
Zorgsector goed voor 41% van alle datalekken

[kftnl]

Welke zin zegt iets over op internet gedumpte data? Stuur eens een link over die Nederlandse medische dossiers die op internet gedumpt zijn dan?

40% van alle meldingen is niet hetzelfde als 40% van alle datalekken. Een kwijtgeraakte USB stick of laptop zal een ziekenhuis veel eerder melding van doen dan je lokale IT bedrijf, terwijl in beide gevallen de kans op daadwerkelijk breed verspreiden van de data nihil is.

[koelpasta]

Je hebt dat artiekel helemaal niet gelezen.
Bijvoorbeeld:
"Door drie enorme datalekken in de zorgsector kwamen in 2022 zelfs de medische gegevens van 900.000 mensen in de verkeerde handen."
Dat is dus 1 jaar he.

Anyway, zinloos om met een apologeet te discusieren die geen nieuwe informatie wil accepteren..

[kftnl]

Ik ben heel consistent in dat ik het heb over 'op internet gedumpte' data, en dat hoef jij niet een belangrijk onderscheid te vinden, maar ik vind een datalek vooral boeiend als het ook echt mensen bereikt die er iets aan hebben. Zijn die 900k gegevens verkocht op een black market ofzo? Zo ja ben ik heel benieuwd naar waar dat opgeschreven is, want ik heb zelf geen van die situaties in Nederland gevonden.

Dat 1 hacker in rusland die data heeft vind ik wel een slechte zaak maar ik heb er niet echt last van.

[Reactie gewijzigd door kftnl op 22 juli 2024 16:42]

[koelpasta]

Zijn die 900k gegevens verkocht op een black market ofzo?

Is het noodzakelijk dat die gegevens op het internet worden aangeboden voordat er misbruik van wordt gemaakt?

Ik ben heel consistent in dat ik het heb over 'op internet gedumpte' data,

Ja, maar enkel omdat je het probleem dan beperkt zodat je verhaal dan beter lijkt.

Dat 1 hacker in rusland die data heeft vind ik wel een slechte zaak maar ik heb er niet echt last van.

Das echt een beetje vanuit je eigen bubbel denken vind ik. Als tussen die gegevens informatie zit die personen met macht betreft dan kan dat misbruikt worden maar heb jij er niet direct last van. Het kan dan alsnog het landsbelang ernstg schaden.

[kftnl]

Mijn verhaal beter lijkt? Ik ben gewoon heel consistent over wat ik zeg. Vanaf comment 1 zeg ik ook dat medische gegevens die lekken heel vervelend kunnen zijn. Die 900k gegevens wat is daar dan gebeurd? Kunnen we 1 iemand aanwijzen die hierdoor enig nadeel heeft ondervonden? Welk gevolg was precies zo erg?

[koelpasta]

Nogmaals:

Is het noodzakelijk dat die gegevens op het internet worden aangeboden voordat er misbruik van wordt gemaakt?

[kftnl]

Ja, en daar reageerde ik op door dat internet weg te halen en te vragen "Kunnen we 1 iemand aanwijzen die hierdoor enig nadeel heeft ondervonden? "

Dus wie is de benadeelde hier en wat voor problemen heeft deze persoon ondervonden? (hoeft niet internet te zijn, ik probeer het je echt zo makkelijk mogelijk te maken)

[Reactie gewijzigd door kftnl op 22 juli 2024 16:42]

[koelpasta]

"Kunnen we 1 iemand aanwijzen die hierdoor enig nadeel heeft ondervonden? "

Hoe ga je zo snel iemand vinden die afgeperst wordt? Want mischien wil die persoon zn baan of gezin niet in gevaar brengen.

Verder faciliteren datalekken phishing aanvallen omdat de aanvaller dan met bezit van persoonlijke info overtuigender over kan komen. "Bent u mevrouw die en die, geboren in 1954? Wij zijn van Vattenfall. We hebben slecht nieuws voor u. U bent ons nog 5000 euro schuldig." .. etc.

Dan is er identiteitsfreude waar jaarlijks toch wel duizenden mensen slachtoffer van worden en wat heel ernstige gevolgen kan hebben.

[kftnl]

Bedankt voor je reply. Als ik het zo zie ken jij dus ook geen specifieke gevallen van mensen die in problemen kwamen door die medische lekken.

Ik heb het ook niet kunnen vinden bij rechtspraak.nl en bij het nieuws. Ik denk dat als er zo'n geval bij de politie aan het licht kwam dat dat vrij breed uitgemeten zou worden. We kunnen 'agree to disagree' doen hierover denk ik. Ik gok zo dat het in de praktijk heel erg meevalt met dit soort problemen, maar ik denk niet dat we elkaar daarover gaan overtuigen.

Wat betreft identiteitsfraude en betaalverzoekfraude, dat zijn erg serieuze zaken waar een datalek met basale gegevens zoals in het telefoonboek (NAW) problematisch kan zijn. Daar spelen die lekken zeker een rol natuurlijk want telefoonboeken bestaan niet meer dus daar zullen ze de data niet vandaan hebben. Dus helemaal mee eens daar.

[koelpasta]

Ik heb het ook niet kunnen vinden bij rechtspraak.nl en bij het nieuws. Ik denk dat als er zo'n geval bij de politie aan het licht kwam dat dat vrij breed uitgemeten zou worden.

Ja, ik heb ook problemen met concrete zaken vinden.
Ik denk echter dat het mischien niet zo makkelijk is om tot een zaak te komen. Wie moet je aanklagen? Bij phishing wordt er gewerkt met gejatte nummers etc. Bij afpersing mischien met burnerphones.
Ik kan me voorstellen dat het vaak (meestal?) niet tot een zaak komt wat betreft misbruik van de gegevens.

Wat betreft identiteitsfraude en betaalverzoekfraude, dat zijn erg serieuze zaken waar een datalek met basale gegevens zoals in het telefoonboek (NAW) problematisch kan zijn.

Mja, maar met klantenleaks zoals bij Vattenfall weet je gelijk dat het om de klanten van dat bedrijf gaat en kun je dus nog veel makkelijker en gerichter frauderen.

[bwerg]

Kun jij je een tijd in het pre-internet herinneren waarin er wekelijks, dagelijks grote serieuze lekken plaatsvonden?

Dat is natuurlijk een nogal misleidende vraag want vroeger was er nauwelijks regulering van beheer van persoonlijke data, laat staan een meldplicht. Dus dat er niks bekend werd kan net zo goed liggen aan dat het niet gemeld werd of dat het niet publiek in nieuwsartikelen genoemd werd.

Het is lang in de mode geweest om elke melder van een lek direct zélf aan te klagen want "hij heeft ons gehackt".

[familyman]

Het is niet alleen de steelbaarheid die is toegenomen, maar ook het gemak waarmee de gestolen data gebruikt kan worden

[koelpasta]

Je hebt gelijk wat betreft online, maar ik denk dat dat een overgansfase was.
Er was in die tijd bij lange niet zoveel data te vinden op het internet.

Maar waar ik het over had was de goede oude tijd van minicomputers, inhouse servers, geen internet, veel papieren dossiers. Het was fysiek gewoon niet te doen om zoveel lekken te genereren als tegenwoordig gebeurt.

[Triblade_8472]

Het is echter een heeeel stuk minder makkelijk voor hackers uit Noord-Korea oid om verkeerd weggegooide papieren te misbruiken voor afpersing.

Edit: opsporing en veroordeling is fysiek bijvoorbeeld ook een berg makkelijker dan digitaal waarbij eigenlijk niks effectief mogelijk is.

[Reactie gewijzigd door Triblade_8472 op 22 juli 2024 16:42]

[The Zep Man]

Dat is toch echt te kort door de bocht. Ook in het 'papieren tijdperk' toen alles dus nog met papieren dossiers ging belandde er wel eens wat (al dan niet vertrouwelijke, geheime) documenten bij het oud papier, en dus was dat een datalek.

Het verschil is dat de impact van een lek toen een stuk beperkter was. Het lek zelf was in hoeveelheid data wat kleiner (stapels papier vallen sneller op en comprimeren slecht) en de data was minder makkelijk te kopiëren en analyseren (want papier).

[Reactie gewijzigd door The Zep Man op 22 juli 2024 16:42]

[cold_as_ijs]

Vooral de schaal is nu het probleem. Zelfs al werd een hele dossierkast bij het grofvuil gezet, dan werden de gegevens van misschien 100 mensen gelekt. Ook waren het zelfs dan maar beperkte gegevens. Ook vielen de gelekte documenten niet zo snel in de verkeerde handen.
Digitalisering heeft voor een gigantische efficiëntieslag in de overheid opgeleverd, maar de gevolgen als het fout gaat zijn ook des te groter geworden

[Oon]

Dat is toch echt te kort door de bocht. Ook in het 'papieren tijdperk' toen alles dus nog met papieren dossiers ging belandde er wel eens wat (al dan niet vertrouwelijke, geheime) documenten bij het oud papier, en dus was dat een datalek.

Dat kwam (en komt, waarschijnlijk) echt wel heel veel vaker voor dan 'wel eens'. Ik heb vroeger vaak met vrienden in oud papier containers gerommeld, en daar kwamen we regelmatig hele dozen vol met gevoelige data tegen. Alles van klappers vol met ingevulde formulieren tot hele archiefdozen met BSNs en al erop, en de logo's bovenaan waren alles van een lokale buurtvereniging tot banken en verzekeraars.

Je wil niet weten wat mensen zomaar weggooien, dan is het digitale tijdperk veiliger ondanks alle ransomware.

[memen]

Schreef je toen ook al in een uurtje een Python scriptje om van de honderdduizenden slachtoffers het wachtwoord even te testen en te kijken of je daarmee bijvoorbeeld in hun brievenbus kunt meekijken van de afgelopen tien jaar?

Het gaat er niet om dat het vroeger niet gebeurde, het gaat om de schaal en vorm (digitaal) van de lekken die het heel makkelijk maken om er op grote schaal misbruik van te maken.

[Oon]

Voor een datalek is alleen geen misbruik nodig, het is al een datalek als data is kwijtgeraakt of (tijdelijk) buiten de controle van de beherende organisatie is geweest.

Natuurlijk is het risico nu hoger met digitale datasets met miljoenen records erin, maar ook een ouderwetse papieren datalek is een datalek.

[stijn014]

Waar ik werk zijn ooit alle afrekeningen naar klanten uit het raam gewaaid, dagen nadien nog stukken in de bus die mensen in het nabijgelegen park hadden gevonden

[CPV]

Het verschil zit inderdaad minder in hoe je de data te pakken krijgt: inbreken via internet of een doos met gegevens stelen, maar meer in wat je er mee kunt.
Nu zet je ze op het darknet en kun je ze aan de hele wereld verkopen en er geld voor vragen en daarmee het bedrijf chanteren.
Wat kon je vroeger met een doos documenten? Een ingezonden advertentie in de krant: documenten te koop, bevragen bij nummer Tor12.34.56?

[Gely]

Inderdaad, dat "papieren tijdperk", daar heb ik een pertinent voorbeeld van.
In de gemeente waar ik woon wilde de burgemeester het protest tegen de afbraak van het oude en mooie gemeentehuis te snel af zijn. Burgemeester + binding met de vastgoedsector is altijd een lucratieve combinatie. Wat hij deed tartte elke verbeelding. Hij vorderde tijdens het weekend enkele bulldozers om de boel plat te gooien: weekend = geen protest. Er werd echter één detail over het hoofd gezien, in dat oud gemeentehuis zat vroeger ook de politie en in de kelder lagen de politiedossiers nog opgestapeld. Na een uurtje of 2 lagen de dossiers met behulp van de wind overal in het centrum van de gemeente. Oeps.

[litebyte]

Hoe meer er niet betaald wordt, hoe sneller het ophoud!

Dat is bij elke vorm van kidnapping of diefstal zo. Bedrijven maken risico en kosten/batenanalyses. Als het teveel kost (niet alleen in geld uitgedrukt) dan wordt er gewoon betaald. Er schijnen alleen al meer dan 1.5 miljoen ransomware aanvallen per dag te zijn...

Costa Rica dat in 2022 'nationaal' gegijzeld werd betaalde gelukkig niet.

[87Dave]

In het niet zo lang geleden papieren tijdperk, werd er regelmatig fysiek in gemeentehuizen ingebroken waar men dan blanco rijbewijzen, identiteitsbewijzen, paspoorten en stempels stal. Om daar dan 'echte' vervalsingen mee te maken waar identiteitsdieven en terroristen (soms vanuit zelfs landen) heel veel konden.

Dus pre digitaal was het niet immuun aan misbruik.

[Triblade_8472]

En waar zeg ik dat analoog beter is?

Ik ben groot voorstander om (voornamelijk archieven) niet aan het internet geknoopt te hebben. Of minimaal achter een extra beveiligde muur in een digitaal archief. Daar waar ook de interne mensen extra moeite voor moeten doen.

[CAPSLOCK2000]

Hoe meer er niet betaald wordt, hoe sneller het ophoud!

Ik vind dat je niet moet betalen maar ik geloof niet dat het daar mee ophoudt. Chantage is zo oud als de mensheid. Zolang er data lekt zullen er gelegenheden zijn om mensen te chanteren. Chantage lukt eigenlijk altijd als de prijs maar "juist" is. Als er bv mensenlevens op het spel staan heb je moreel gezien geen andere keuze dan te betalen. Iets minder dramatisch is de situatie dat je moet kiezen tussen betalen en falliet gaan waardoor ale je personeel zonder werk komt te zitten. In dat soort gevallen zijn er geen juiste keuzes, alleen maar een prijs.
De golf ransomware-aanvallen van de laatste jaren heeft niks te maken met onze bereidheid om te betalen, en alles met de eenvoud waarmee je dat soort aanvallen kan doen.

En welkom in de wereld van internet diensten, cloud en SaaS. Als deze documenten niet aan het internet geknoopt waren, hadden ze ook niet ook straat gelegen, ongeacht of het een oude server is. En daar naast is het natuurlijk erg stom om een oude server te hebben! Die had op up-to-date moeten zijn óf weg.

Correct, er is gewoon veel te veel makkelijk te stelen dat op internet. Je geeft goed aan dat we te veel data verzamelen en niet goed zorgen voor het beheer. Het probleem daarbij is wel dat dit relatieve maten zijn. Er is geen hard antwoord op welke data je wel en niet wil verzamelen. Er is ook geen hard antwoord op hoe je een server of applicatie goed moet beheren. Dat is allemaal zeer onderhevig aan meningen en moet ook nog worden afgewogentegen andere zaken zoals de kosten, de performance, de beschikbaarheid, etc..

Daarom wil ik een derde punt toevoegen: encryptie.
We slaan veel data op in een direct leesbaar formaat. Als je op één plek inbreekt heb je alles in handen. De meeste bestandsformaten die we gebruiken hebben geen mogelijkheid tot encryptie of hebben dat niet automatisch aan staan. 99% van de e-mails, word-documenten, foto's, databases etc is onversleuteld.

Het is de laatste jaren wel in zwang gemaakt om hele hardeschijven op disk-niveau te encrypten maar die is er vooral voor het geval de harde schijf fysiek gestolen wordt. Als iemand via internet binnendringt op een draaiende server heb je daar niks aan.

Iets beter zijn de systemen die op bestandsniveau werken, daarmee kun je bijvoorbeeld voorkomen dat een gehackte account gebruikt kan worden om de bestanden van andere gebruikers uit te lezen. Dat is beter maar vooral gericht op losse gebruikers. Op servers (waar typisch alleen de beheerder zelf op kan) is dat al weer een stuk minder nuttig. Daar komt nog bij dat deze encryptie meestal gekoppeld is aan het inlogwachtwoord van de gebruiker. Als je dat in handen hebt dan zijn alle bestanden ook beschikbaar.

We moeten nog een stap verder gaan en bestanden (of zelfs de velden van een database) individueel versleutelen, intern als deel van het bestandsformaat. Versleuteling moet niet iets zijn dat je achteraf toepast, dat gaan mensen maar vergeten. Je wil ook niet dat de data in onversleutelde vorm in een tijdelijk bestand terecht komt om te verwerken.
Wat je wil bereiken is dat data pas leesbaar wordt op het moment dat het nodig is. Als iemand een bestand steelt moet het onleesbaar zijn zonder het juiste wachtwoord (of hoe je het ook wil beveiligen).

Dat bestaat maar is vrij zeldzaam. MS-Office kan het, e-mail met PGP kan het, de grote database (oracle, postgresql, mariadb, etc) die kunnen het, maar niemand gebruikt het. Er zijn nog wel meer voorbeelden maar uiteindelijk is het vrij zeldzaam.

Een dikke laag encryptie aan de buitenkant smeren is niet genoeg. Dat is het oude "kasteelmuur" principe waar we vanaf proberen te komen omdat geen enkele muur alles tegen kan houden en je dus (toch ook) intern moet beveiligen. Op het niveau van netwerkbeveiliging begint dit principe door te dringen, maar bij databeveleiging nog niet.

Een modern systeem heeft typisch een versleutelde disk en beveiligd alle netwerkverbindingen met TLS. Dat zijn beide vormen van 'muren' die je om je data heen zet. Wie door de muur heen komt kan alles zien.
Voor de duidelijkheid, ik zeg niet dat we daar mee moeten stoppen, aleen dat het niet genoeg is.
We willen niet alleen een dikke muur om het kasteel heen maar ook een persoonlijk harnas voor iedere ridder.

Ik ga hierbij even helemaal voorbij aan hoe je de data dan moet ontsleutelen en hoe/waar je de wachtwoorden bewaard die daar voor nodig zijn. Deze post is al lang genoeg en ik heb geen kort of een eenvoudig antwoord.

Het punt dat ik wil overbrengen is dat we encryptie zo dicht mogelijk bij de data moeten doen. Diefstal en lekken zijn niet helemaal te voorkomen, we moeten er rekening mee houden en de gevolgen minimaliseren.

Sterker nog, onder de Europese/Belgische privacy regels had verouderde data baar niet meer mogen zijn denk ik. Dus het is nog verwijtbaar ook in dat opzicht! Tijd dat ze een persoon aanstellen met als specifieke taak (Privacy Officer?) te kijken of er nog oude servers zijn. Als overheid zou ik daar ook zeker op focussen en hameren.

Ieder groot bedrijf moet een Functionaris Gegevensbescherming hebben die moet toezien op de veiligheid, in ieder geval wat persoonsgegevens betreft. Intern is dat echter altijd een afweging tussen kosten en baten. Aangezien er nauwelijks toezicht is wordt er nogal vaak gekozen voor de financiele belangen van het bedrijf boven de privacy belangen van de gebruiker. Financieel gezien is het ook lastig. De waarde van losse data voor de eigenaar/beheerder is heel laag waardoor er dus ook weinig geld beschikbaar is om die goed te beveiligen, terwijl beveiliging duur is. Betalen is financieel gezien typisch de beter optie (dat is het principe acher alle chantage: betalen is goedkoper dan het alternatief).

In principe moet de overheid daar weer op toe zien maar in praktijk is het probleem zo groot dat die toezichthouder (de Autoriteit Persoonsgevens) totaal overbelast is, ondanks dat er de laatste jaren fors meer geld voor is uitgetrokken. Het te overbruggen gat is echter zo groot dat ik voorlopig geen grote veranderingen verwacht.

Ik heb wel eens voorgesteld om maar belasting (inkomensbelasting en vermogensbelasting) te gaan heffen over data. Als bedrijven flink moeten gaan betalen voor iedere megabyte persoonsdata die ze bewaren hebben ze opeens een goede reden om niet meer te bewaren dan ze echt nodig hebben en oude data zo snel mogelijk te verwijderen. Eventueel kunnen we korting geven voor aantoonbaar goede beveiliging.
Bedrijven zeggen dat we betalen met onze data dus laat ze er ook maar belasting over betalen.

[bytemaster460]

Deze documenten zijn gelekt omdat ze op oude lokale servers stonden die slecht beveiligd waren. Ik denk dat wanneer dit op een cloudservice was ondergebracht er nu juist gelekt was.

[FrostyPeet]

Er kan wel eens schamper over de Duitsers worden gesproken over hun (trage) analoge administratie en achterlopende IT, ik hoor weinig over massale data diefstal bij hun gemeentes en "kringen". Het is een ander soort diefstal als men stapels papier mee moet meenemen of jaren de tijd hebben om digitaal bestanden te kopieren.

[bytemaster460]

Duitsland doet het ondanks achterlopende automatisering en IT slechter op het gebied van security dan Nederland en België.
https://www.film-tv-video.de/business/2023/10/05/270471/

[Reactie gewijzigd door bytemaster460 op 22 juli 2024 16:42]

[Meuli81]

en dergelijke 'lekken' zijn dan ook de reden dat het compleet onverantwoord is dat de/een staat over biometrische gegevens van zijn inwoners beschikt.
Dat België nu sinds een tijdje vingerafdrukken laat maken bij de aanvraag van een identiteitskaart en die bewaart op de identiteitskaart is vragen om problemen.
Helaas zijn alle processen hieromtrent voorlopig op niets uitgedraaid...

[b12e]

Alleen kan je er wel van uitgaan dat een overheid z'n databeveiliging net iets beter op orde heeft dan, zeg, een afval intercommunale. Het bewaren van een vingerafdruk op een chip die beveiligd is met een pincode en certificaten is net iets anders dan een Google Drive of Dropbox met wat excellijsten (of iets anders, geen idee waar de data van Limburg.net stond).

Paspoorten bevatten al veel langer biometrische info, dat dit wordt doorgetrokken naar identiteitskaarten is an sich niet zo gek, noch heel verontrustend, zolang die data dus niet op een server ergens blijft bestaan en enkel op het fysieke document staat en enkel uit te lezen is met een pincode of door een vertrouwde instantie met de juiste certificaten.

[87Dave]

Afval intercommunales in België zijn een soort overheid. België heeft vele mini gemeenten, soms met maar een paar duizend inwoners waardoor die niet in staat zijn hun zaken zelf te doen. Dan richten ze intercommunales op waar meerdere gemeentes een monopolie van de gemeentelijke overheid samen inrichten.

De gedachte dat men beveiliging in overheid wel op orde heeft, is helaas wishfull thinking. Zo had de grootste gemeente van België, Antwerpen, ook een zwaar datalek.

[b12e]

Leg je nu serieus intercommunales uit aan een Belg?

Dat gezegd zijnde, lokale overheden en federale kan je niet op 1 hoop gooien. Het rijksregister zelf is vooralsnog niet gehackt geweest en bevat ook een massa informatie, digitaal.

Dat een stad (of overkoepelende organisatie van steden) de beveiliging niet op orde heeft is nog net wat anders dan een land dat de beveiliging niet op orde heeft.

[Reactie gewijzigd door b12e op 22 juli 2024 16:42]

[Blokker_1999]

Ik moet binnenkort een nieuw paspoort gaan aanvragen daar het na 7 jaar aan zijn einde komt. Op dat paspoort staan ook mijn vingerafdrukken opgeslagen. Maar dat paspoort wordt niet door de Belgische overheid gemaakt. Neen, dat is uitbesteed aan een Franse firma. De Belgische overheid moet dus mijn vingerafdrukken doorsturen naar een private onderneming in een ander land waardoor de wettelijke bescherming die ik in Belgie geniet verlies. En de Franse inlichtingendiensten hebben dan weer het recht om die data op te vragen bij een Franse onderneming en omdat het om een buitenlands staatsburger gaat, mogen zij deze bewaren en weer delen met onze inlichtingendiensten wanneer zij daar nood aan hebben.

En zo beschermt onze wetgeving mij van het feit dat mijn vingerafdrukken in Belgie nergens bewaard mogen worden, want je moet je overheid niet vertrouwen, maar hebben onze inlichtengendiensten nog altijd toegang tot die vingerafdrukken.

[b12e]

De GDPR telt ook in Frankrijk nog altijd, en vingerafdrukken zijn een bijzonder persoonsgegeven.

[Meuli81]

Daar ben ik toch niet zo overtuigd van.
Een afval intercommunale is ook een overheidsbedrijf, de hack gaat ook over een oude dataserver die niet correct beveiligd was en niet ergens een drive of box waar één of andere onverlaat niet correct mee omging. Het was helaas een fundamenteler fout.

Voor de productie van identiteitskaarten bewaard de overheid 3 maanden de data alvorens die te verwijderen. Ze komen dus wel degelijk op een dataserver, tijdelijk stellen ze maar ook dat is een risico en geen garantie dat dit altijd goed loopt.
What can go wrong will eventually go wrong.
Noem me een doemdenker maar ooit lekken er dergelijke extreem gevoelige data.

Dit is - voor mij althans - een van de redenen dat de overheid niet massaal gevoelige data van zijn burgers moet gaan verzamelen. Het is me allemaal iets te veel Orwell.

[Mayonaise]

Arrogante organisatie. Dat zie je aan hun communicatie, en ook meegemaakt persoonlijk. Ze sturen een foute facturatie naar mij, en reageren er arrogant op dat ik het maar gewoon moet betalen. Had er ook gesolliciteerd voor een .NET frontend job, PM van Limburg.net ondervraagde enkel mijn SQL knowledge terwijl ik had aangegeven dat ik enkel ervaring heb met MongoDB (ook tijdens het solliciatiegesprek, maar bleef vragen over SQL). Lijkt me niet vreemd dat ze de verkeerde mensen aannemen op dat manier.

[telenut]

Sommige personeelsleden mogen ze toch ook eens op het matje roepen... als je documenten ziet zoals:
Limburg.net\limburg\INITITALEN\VOORNAAM\wachtwoorden accounts.xlsx 11724
Limburg.net\Data_Voor_Fusie\Ex_UsersArchief\VOORNAAM\VOORNAAM (voor fusie)\interne procedures RMZ\PROFOST wachtwoorden.doc 19968

edit: ik heb hun namen wel gewist :-)

[Reactie gewijzigd door telenut op 22 juli 2024 16:42]

[al__in__gebruik]

In de woorden van de woordvoerder op nationaal nieuws: "het is helemaal zo erg niet"

[RIHAHA]

Limburg.net is een semi-overheidsbedrijf, een intercommunale met een resem locale politici of door de politiek aangestelde bestuurders uit de meest verschillende partijen. Mensen dus met weinig gevoel of affiniteit met privacy. Mijn gegevens zijn meegelekt. Er is nochtans een systeem om het gebruik van al deze privé en gevoelige gegevens drastisch te beperken. Dergelijke bedrijven hebben, terecht geen rechtstreekse toegang tot het rijksregister. In dit geval zijn alle nodige gegevens en info beschikbaar bij de “organiserende” overheden nl. de gemeentes, dienst bevolking. Met een dataflow kan dit vrij eenvoudig opgelost worden. In Vlaanderen wordt dit reeds gebruikt bij een andere organisatie, de dienstencheques. Speciale kortingen voor bv hulpbehoevenden worden door de bevoegde overheid, de gewestelijke overheidsdienst van het departement werk wisselt via een nachtelijke data uitwisseling met de uitgifte maatschappij deze gegevens uit. De uitgiftemaatschapij heeft aldus de gegevens voor de eventuele kortingen met “ja/neen” maar geen enkel document, deze kunnen dan ook niet lekken of gehackt worden. Zelfde methode voor alle andere informatie zoals gezinssamenstelling adreswijzigingen en dergelijke. Mijn ( ruime) ervaring is dat lokale politici niet begaan zijn met deze problematiek waardoor bij heel wat verschillende instanties dezelfde gevoelige info onnodig opgeslagen wordt.

[Hurtebise]

Volgens HBVL gaat het om 383.000 gestolen bestanden.
https://www.hbvl.be/cnt/dmf20240123_94566217