Man veroordeeld tot werkstraf en boete wegens hack van serverbeheerder

Een 28-jarige man uit Amsterdam is veroordeeld tot 240 uur werkstraf voor het hacken van NextSelect, een serverbeheerder uit Enschede. Ook moet de Amsterdammer ruim 37.000 euro aan schadevergoeding betalen.

Aanvankelijk heeft het Openbaar Ministerie 20 maanden gevangenisstraf tegen de man geëist. De rechter is niet meegegaan in die eis en heeft de Amsterdammer een boete en werkstraf gegeven, vanwege zijn 'persoonlijke omstandigheden', schrijft RTV Oost dinsdag. Als de verdachte weer in de fout gaat, moet hij echter de cel in.

De verdachte was in 2022 de systemen van NextSelect binnengedrongen en had daar malware geplaatst. Dit lukte de hacker volgens het OM door het gebruikersaccount van een admin te hacken en broncode van het systeem aan te passen. Op de servers stonden onder meer gegevens van festivalorganisatoren The Support Group en ID&T. De man heeft mogelijk 'de persoonsgegevens van honderdduizenden festivalgangers, gasten, artiesten en crew' ingezien, zei het OM vorige maand. Ook heeft de verdachte bekend dat hij de gegevens heeft gekopieerd naar zijn MacBook.

De verdachte claimt dat hij na meerdere inlogpogingen bij de server van de dienst Evi toegang kreeg nadat hij 'administrator' en 'Welkom01' had ingevoerd als gebruikersnaam en wachtwoord. NextSelect spreekt dit tegen. "De werkelijkheid is dat de hacker gebruik heeft gemaakt van meerdere tools op verschillende applicaties, en mogelijk al toegang had tot het EVI-systeem door zijn werkzaamheden voor een festival", zei het bedrijf tegen Tweakers in april.

Van de malware heeft de verdachte uiteindelijk geen gebruik gemaakt. NextSelect is niet door de man afgeperst en er is ook niet gedreigd met de openbaarmaking van de gegevens. NextSelect zegt dat de hack het bedrijf 47.000 euro aan schade heeft bezorgd.

Reacties (46)

[Jeffrey_KL]

Lekker serverbeheer dan. Externe partijen kunnen kennelijk bij de login van de admin. Daarnaast zie ik ze niet ontkennen dat het wachtwoord Welkom01 was.

Wat mij betreft mag deze club net zo goed een boete krijgen voor nalatigheid.

[n4m3l355]

Wanneer is het hacken en wanneer is het de sleutel op je voordeur laten steken met de deur half open. Als het inderdaad zo is dat de beheerder zo'n slechte beveiliging had, is hij zelf niet aansprakelijk? Het siert het OM ook niet om er een verhaal van te maken dat iemand diverse tools heeft gebruikt wanneer die misschien helemaal niet relevant is.

[eilavid]

Wanneer ik de sleutel in mijn voordeur laat zijn de consequenties voor mijzelf, hier is een bedrijf zeer onzorgvuldig omgegaan met persoonsgegevens van 100.000+

[SkyStreaker]

Dat voorbeeld van sleutel en deur wat eindeloos aangehaald wordt is onzinnig, al staat de voordeur open. Toetreding zonder toestemming is strafbaar, ongeacht de situatie.

[StackMySwitchUp]

En tòch keert je verzekeraar geen cent uit. Het neemt niet weg dat het toetreden strafbaar is, dus de inbreker dient gestraft te worden, maar zie het als een containeropslag-faciliteit. Als je een betalende huurder van de faciliteit bent, en het bedrijf wat de opslag runt laat per ongeluk de hoofdsleutel in de voordeur zitten, en je container wordt leeggeroofd, dan mag je naast de inbreker heus ook wel een vinger wijzen naar de eigenaar van de opslag.

[SkyStreaker]

Dat is een hele andere uitleg, eens, maar anders.

[StackMySwitchUp]

Ja, ik realiseer me nu dat ik een beetje van de rails af ging.. die voordeur is ook een brakke vergelijking omdat het vaak niet om "de voordeur van je huis" gaat maar meer om de situatie van de containeropslag.

[andries98]

En? Als jij een keer je sleutel in je deur laat zitten of niet goed sluit geeft het anderen toch ook geen recht je hele huis leeg te roven?(gegevens kopiëren)
Of zelfs uitgebreid te doorzoeken? (Alle gegevens willen inzien en kopieren voor eigen gebruik)
En ook nog eens verborgen cameras te plaatsen? (Malware te installeren)
Dat het bedrijf ook aansprakelijk is ben ik wel eens, ze hadden een lijst met niet toegestane wachtwoorden moeten gebruiken. Maar dit is geen white hacking meer

[Reactie gewijzigd door andries98 op 23 juli 2024 17:52]

[himlims_]

Gelegenheid maakt de dief; jij je gewoon nalatig. De verzekering zal in zo’n situatie weinig compenseren. En ergens ook wel begrijpelijk - eerlijk is ander verhaal

[andries98]

En? Dan is de dief ineens niet meer schuldig? Beetje gekke redenering in mijn ogen... waar zit de grens dan? Die ruit kan je ook makkelijk intikken, de meeste sloten zijn zo gekraakt etc. Geeft dat een inbreker het recht om in te breken? Wanneer is het dan wel of juist niet strafbaar? Volgens mij is de wet vrij duidelijk in wat inbreken en/of stelen inhoudt (zelfs op straat) de verzekeraar is inderdaad ander verhaal maar daar hebben we het nu niet over. Dit hele artikel gaat over de hacker zijn straf, daarnaast kan het bedrijf ook de sjaak zijn omdat de verzekeraar het niet dekt. Als jij er schade door hebt gekregen ben je ook nog is vrij om het bedrijf aan te klagen en geld te eisen. Ik vind overigens wel dat er hiernaast een boete hoort te volgen voor het bedrijf mocht het wachtwoord verhaal echt waar zijn (omdat ze risico nemen met persoonlijke gegevens van anderen)

[Reactie gewijzigd door andries98 op 23 juli 2024 17:52]

[n4m3l355]

Ik zit niet in Nederland maar in China, hier zijn duidelijke regels omtrend privacy gevoelige data. Hoe we die mogen verzamelen, hoe die opgeslagen moet worden, in hoeverre we informatie mogen delen. Apart genoeg in China zijn de regels voor bedrijven uiterst strikt en ik als "company representative" ben hoofdelijk aansprakelijk als het mis gaat. Wij hebben een ontwikkel afdeling (klein groepje) maar laten ons dan ook jaarlijks auditen door een derde partij of we nog steeds compliant zijn.

Als wij zo nalatig waren als hier, geloof ik best dat de hacker zelf in de gevangenis gaat maar zonder twijfel ik ook.

Ook mag je je afvragen hoe redelijk het is om kosten te verhalen op een hacker wanneer je zelf zo nalatig bent. Dat ID&T kosten achteraf heeft gemaakt om de boel in orde te maken zijn niet kosten ten gevolge van de hack, maar nalatig onderhoud.

[drdelta]

Gelukkig hebben wij in de EU de GDPR en in Nederland de AVG die prima beschrijven hoe er met persoonsgegevens omgegaan dient te worden.

Als een bedrijf grof nalatig is kun je probleemloos persoonlijk aansprakelijk gehouden worden als bestuurder van het bedrijf. Het hele bestuur, gezamelijk.

De uitdaging ligt waarschijnlijk in het bewijzen van schade wanneer je persoonsgegevens gelekt zijn, én dat dat het gevolg is door grove nalatigheid. Persoonlijk zou ik ook graag zien dat de autoriteiten hier hun tanden zouden laten zien wanneer het om privacy gaat.

[CPM]

Zie het als iemand die de voordeur dicht heeft zitten maar niet op het nachtslot. Een inbreker kan de deur open "flipperen". Ben je dan nalatig?
Deze man wist dat hij dingen deed die niet de bedoeling waren. Hij zat op systemen waar hij niets te zoeken had dan ben je gewoon fout bezig. Simpel.

[SkyStreaker]

En dat is het he? Je treedt binnen zonder toestemming ongeacht de situatie. Men probeert het grijs gebied te zoeken in vrij contrastrijk gebeuren.

[Dekar]

Heel simpel. Je hackt als je een systeem binnendringt. Ook al is het een PC zonder wachtwoord, zodra jij ongewild een systeem gebruikt ben je aan het hacken.

De AP kan mogelijk een boete opleggen, maar de hacker is absoluut niet gevrijwaard. Jij mag ook niet bij iemand naar binnen wandelen met de voordeur open en iets meenemen. En dat weet je ook dondersgoed. Ik snap de vergelijking nooit. Het OM handelt in haar eigen bestwil om een crimineel te laten veroordelen.

[Jerie]

NextSelect zegt dat de hack het bedrijf 47.000 euro aan schade heeft bezorgd.

De vraag is dan ook waar deze kosten hem in zitten. Bijvoorbeeld als ze n.a.v. dit gedoe een pentest uit hebben laten voeren en een beter wachtwoordbeleid hebben ingevoerd dan is het m.i. onterecht dat deze persoon de boeman is. Ik zou het dus wel graag gespecificeerd willen zien.

Hij had de gegevens echter nooit moeten kopiëren. Ofwel de kant van ransomware opgaan. Door het te kopiëren impliceerde hij immers de voorbereidingen te plegen om dat te doen, en dat is zowel ethisch als wettelijk gezien onverstandig.

Echter als je goed leest:

De verdachte was in 2022 de systemen van NextSelect binnengedrongen en had daar malware geplaatst

Dat van die malware is wel behoorlijk kwalijk. Dat impliceert namelijk een hoger doel.

Het volgende impliceert wel weinig tot geen verantwoordelijkheid richting het slachtoffer.

"Door toedoen van de verdachte is het vertrouwen dat derden moeten kunnen stellen in hun persoonlijke digitale omgeving en in de digitale omgeving van websites op het internet aangetast", oordeelt de rechtbank.
De honderdduizenden gedupeerden moesten daarvan persoonlijk op de hoogte worden gebracht, zo verplichtte de Autoriteit Persoonsgegevens (AP) de gehackte bedrijven. "Met zijn handelen heeft hij inbreuk gemaakt op de privacy van een groot aantal personen en de integriteit van het softwarebedrijf in gevaar gebracht", aldus de rechtbank.

"Door toedoen van de verdachte is het vertrouwen dat derden moeten kunnen stellen in hun persoonlijke digitale omgeving en in de digitale omgeving van websites op het internet aangetast. Cybercriminaliteit werkt daardoor ondermijnend. Pas door ingrijpen van politie en justitie is aan het handelen van verdachte een einde is gekomen", zegt de rechter verder.

De hand in eigen boezem steken lijkt er niet bij. Of dat terecht of onterecht is, is lastig te zeggen. Dat hangt echt af van de omstandigheden van de hack. Bijvoorbeeld stel deze persoon had toegang tot het systeem vanwege banden met een festival. Vervolgens bleek een intern wachtwoord (bijv het interne CMS) inderdaad administrator/Welkom01 te zijn dan is dat kwalijk maar van andere proportie dan dat het publiekelijk bereikbaar was. Was het vanaf ieder IPv4 in de gehele wereld mogelijk om in te loggen met administrator/Welkom01 dan is daar m.i. maar 1 partij verantwoordelijk voor. En dat is niet degene die het demonstreert; die moet wel gestraft worden gezien deze de gegevens heeft gekopieerd en malware heeft geplaatst. Maar... de volledige schade op deze verdachte verhalen is dan ridicuul.

Nou zou je kunnen zeggen: dat is victim-blaming. En om eerlijk te zijn, weet ik daar zo snel niets tegenin te brengen. Een uitermate zwak wachtwoord als Welkom01 zou niet moeten mogen anno 2024. Maar dat men er van uit gaat dat bijvoorbeeld de festivalmedewerkers geen kwade bedoeling hebben is al weer minder belachelijk. Onverstandig, natuurlijk, zoals dat wachtwoord dat ook is.

Wat betreft de schade lijkt deze 1x 47k en 1x 50k te zijn?

Volgens het Enschedese bedrijf NextSelect is de schade van de hack 47.000 euro. Ook de Support Group, leverancier van onder meer Defqon.1 en Awakenings, zegt schade te hebben en eiste 50.000 euro van de verdachte. Uiteindelijk moet hij van de rechtbank nu ruim 37.000 euro schadevergoeding betalen.

En dan zou je zeggen dat ruim 37k op 47k + 50k (97k) niet de volledige schade is, en daarmee dus wel degelijk ook een stuk verantwoordelijkheid bij de andere partijen lijkt te leggen?

[zomaar0iemand]

Staat in de uitspraak hier te vinden: https://uitspraken.rechts...d=ECLI:NL:RBOVE:2024:2424

Door NextSelect is het volgende geeist.

- post 1: kosten oplossen en opsporing € 38.547,00;
- post 2: verlies inkomen/omzet € 8.700,00;
- post 3: schade op lange termijn is een complex vraagstuk en zou mogelijk met een advocaat uitgezocht moeten worden.

Waarvan alleen Post 1 is toegekend:

Door de gebezigde bewijsmiddelen en de behandeling op de terechtzitting is komen vast te staan dat verdachte door de bewezen verklaarde feiten rechtstreeks schade heeft toegebracht aan de benadeelde partij. De opgevoerde schadepost is voldoende onderbouwd en aannemelijk. De rechtbank acht deze post daarom voor toewijzing vatbaar met uitzondering van:
30-09-2022 Overleg met digitale recherche € 200,00
11-07-2023 Overleg bij Openbaar Ministerie in Arnhem € 400,00
19-04-2024Aanleveren documenten strafzaak € 650,00
Deze opgevoerde schade is geen rechtstreekse schade als gevolg van het bewezenverklaarde.
De rechtbank zal het gevorderde daarom deels toewijzen tot een bedrag van € 37.297,00

Betreft de 50K deze was niet onderbouwd:

De rechtbank is van oordeel dat de gestelde materiële schade door de benadeelde partij onvoldoende is onderbouwd. Hierdoor is niet vast te stellen of sprake is van rechtstreekse schade als gevolg van het bewezenverklaarde. Het in de gelegenheid stellen van de benadeelde partij om zijn stelling alsnog nader te onderbouwen levert een onevenredige belasting van het strafgeding op. De rechtbank zal de benadeelde partij die gelegenheid niet bieden. De rechtbank zal de benadeelde partij daarom in de vordering niet-ontvankelijk verklaren en bepalen dat de benadeelde partij de vordering in zoverre slechts bij de burgerlijke rechter kan aanbrengen.

[Jerie]

Kan dus nog civielrechtelijk een staartje krijgen.

Ik zou die 37k wel in willen zien. Want ik vraag me af in hoeverre het achterstallig onderhoud betreft. Welkom01 wekt immers die suggestie. Wel hebben we die suggestie maar van 1 bron: de verdachte. Daarentegen ontkennen ze het niet, dat maakt het aannemelijk.

[keranoz]

Ervanuitgaande dat het klopt (want NextSelect spreekt het wel tegen), is dit inderdaad vrij slecht, dit is ook het eerste wat ik dacht toen ik het las.

Edit: typo

[Reactie gewijzigd door keranoz op 23 juli 2024 17:52]

[GameNympho]

Hoe hoog is de boete en hoe staat die in verhouding met de schade?
Enige persoonlijke invloed zou dat diegene nog geen boete of straf eerder heeft gehad, welke andere persoonlijke invloed zou er op een lage straf uitkomen?
Heeft Brein mee geprocedeerd voor de artiesten?

@CPV Dat gaat helaas niet op met dit.
https://www.om.nl/onderwe...rtikel-computervredebreuk
https://www.meijerscanata...straf-staat-er-op-hacken/
https://www.strafrecht-ad...mputervredebreuk-advocaat
En zo zijn er meerdere voorbeelden, van advocaten en rechtszaken

[Reactie gewijzigd door GameNympho op 23 juli 2024 17:52]

[CPV]

Hoe hoog is de boete en hoe staat die in verhouding met de schade?

Onzin.
De boete voor door rood rijden is € 300,=, punt uit, zonder verhouding tot de schade.
Inbreken is ook verboden. Het is niet zo dat het een beetje mag, in verhouding tot de schade.

[maartenvdezz]

Ja je noemt een lichte verkeersovertreding (Mulder) als argument. Bij straffen wordt neem ik aan toch gekeken naar de context van het vergrijp en de ernst daarin? Ik heb geen rechten gestudeerd, maar een webserver hacken en een responsible disclosure doen om de beheerders te helpen (security.txt) wordt hoop ik wat anders veroordeeld (of niet veroordeeld) dan een webserver hacken voor de fun. Wordt dat helemaal niet meegenomen? Dat zou wel cru zijn.

[_Thanatos_]

Klopt, de straf voor een misdrijf wordt (bijna?) altijd bepaald in een strafrechtelijke procedure, dus door een rechter. De straf staat altijd in verhouding tot de context waarin het misdrijf is gepleegd, maar dat beperkt zich niet alleen tot de aanklager. Los van het feit dat je in NL moet kunnen aantonen dat de geleden schade ook echt geleden is, en je dus niet zomaar 10 miljoen kunt gaan lopen eisen, wordt er ook naar de dader gekeken. Bijv of hij/zij een motief had, of dat het voorbedachte rade was, en hoeveel boete kan de persoon eigenlijk veroorloven zonder in dramatische armoede te vervallen.

Bij een verkeersovertreding is er geen strafrechtelijke procedure, omdat het geen misdrijf is. En daarvoor staan de boetes inderdaad vast. Maar bijv iemand aanrijden als gevolg van een rood licht negeren, dat kan weer wel een misdrijf zijn.

[hully]

20 maanden geëist? niet helemaal lekker daar bij het OM.

[Notlupus]

$47000 euro "schade" en dan 20 maanden is inderdaad vrij fors

[mapa2011]

Aan de andere kant is het scrapen van alle data en daar een kopie van maken ook een grote inbreuk op privacy. Buiten dat als je dan gaat hacken doe het dan white hat/ethisch.

[jpfx]

En waaruit bestaat de schade als er niet is afgeperst, niets is bekend gemaakt en de malware niet is gebruikt?

[wildhagen]

Onder andere imagoschade bijvoorbeeld.

Maar ook personeel dat zich bezig gehouden heeft met onderzoek naar, en ongedaan maken van de hack en het verwijderen van de malware. Dat personeel kon op dat moment niet voor andere zaken worden ingezet.

Dan nog dingen als juridische kosten voor de advocaat etc.

[_Thanatos_]

Ik denk dat er ook is afgewogen wat deze man kan betalen. Als je een een boete van 1M gaat opleggen, dan kun je er donder op zeggen dat die nooit betaald gaat worden. Maar 37K is nog haalbaar voor iemand met een modaal salaris.

[Ossebol]

Kan zo op het oog prima. Artikel 138ab lid 2 lijkt van toepassing, omdat de verdachte ook gegevens heeft gekopieerd. Hier staat max vier jaar op https://wetten.overheid.n...z=2024-01-01&g=2024-01-01 (heb overigens de eis nog niet kunnen lezen)

[Reactie gewijzigd door Ossebol op 23 juli 2024 17:52]

[xbeam]

Zeker wel. Hij wist dat het niet de bedoeling dat hij helemaal tot badkamer iemand iemands digitale huis in loopt.

[jbhc]

Dat is toch geen vergelijking?

Het is meer alsof je iemands archiefkast open hebt gemaakt waarvan de code 000 of 999 was in de stukken hebt gekeken en een kaartje hebt gekopieerd en daarna hebt terug gelegd.

Is het netjes? Nee
Mag het? Nee

Maar om daar al 20 maanden cel voor te eisen staat gewoon niet in verhouding.

Als je iemand verkracht krijg je nog minder straf.

[Lagonas]

De gegevens kopiëren van 100000 mensen staat gelijk aan aan een kaartje kopiëren uit een archiefkast? Dat is meer als de gehele archiefkast kopiëren.

[Dekar]

Straffen in NL zijn sowieso super krom. Iemand voor zijn bek slaan wordt minder zwaar gestraft dan fout parkeren.

[ninjazx9r98]

Stemmingmakerij. Het gaat niet om "gewoon" fout parkeren maar om ten onrechte parkeren op een invalidenparkeerplaats. Maar die nuance doet het natuurlijk een stuk minder goed als kop van een artikel.

[_Thanatos_]

Iemand voor z'n bek slaan is een misdrijf, en fout parkeren is een overtreding. Dat is een wezenlijk verschil, en is totaal niet te vergelijken.

Je kan ook wel zeggen dat een cheeseburger veel goedkoper is dan een maaltijdsalade, maar wat schiet je op met die vergelijking?

Maar als je het er niet mee eens bent - we zijn een democratie, en wel een van de meeste vrije van de wereld. Dus wat let je.

[Dekar]

Dus jij vind het logisch de straf voor bv je kinderen een harde knal voor hun harses krijgen, lager is dan dat iemand ergens dubbel parkeert?

Het punt is dat de scheefgroei in bestraffen uit de klauwen aan het lopen is. Daar zijn overigens het OM en juristen het ook over eens.

[_Thanatos_]

Ik zeg niet dat ik het logisch vind. Ik benoem alleen dat het een onterecht vergelijk is.

Het strafrecht is een totaal ander deel van de wetgeving dan de verkeerswetten. Ze hebben feitelijk niets met elkaar te maken, ergo, een vergelijk ertussen maken is niet steekhoudend.

edit: Dat wil niet zeggen dat ik het okay vind. Iemand een dreun verkopen mag best zwaarder bestraft worden, maar niet *omdat* fout parkeren je €110 kost.

[Reactie gewijzigd door _Thanatos_ op 23 juli 2024 17:52]

[Dekar]

Eens, maar dat is ook niet het punt dat ik wil maken. Het rechtssysteem is er op gemaakt om de samenleving veilig en beter te maken. Daar is veel onderzoek naar gedaan, en dat wordt grotendeels optimaal toegepast. En de overheid ziet het als een melkkoe, waar een onoplettende, relatief veilige Nederlander harder wordt genaaid dan de echte criminelen. Die Mulder boetes moeten daarom fors naar beneden. De straf moet werken aan een optimaal resultaat, niet als een soort hufterbelasting.

Nederland kent meer dan een miljoen mensen met een licht verstandelijke beperking. En nog veel meer met een laag inkomen. Die maken wel eens een foutje, en komen hiermee jarenlang in de shit.

[MainframeX]

20 maanden vind ik nog een milde straf. Had van mij ook wel 3 jaar mogen brommen. Als we iedere keer hackers en ander soorten computer criminelen laten lopen met een paar weekjes taakstraffen, dan wordt het ook nooit onaantrekkelijk om de misdaad te begaan. De pakkans is ook al zo ontzettend klein.

[_Thanatos_]

Weet je wat het kost om iemand 3 jaar lang in een cel te zetten? Met een taakstraf levert diezelfde persoon juist geld op. Plus dat we nou eenmaal geen USA zijn waar je voor het minst of geringe keihard in de boeien wordt geslagen door machtswelluste politieagenten, en je jaren in de bak gaat voor het stelen van een pak melk.

[MainframeX]

Zullen we het installeren van malware op een serverpark en stelen van persoonsgegevens enkele honderduizenden personen maar even niet vergelijken met het stelen van een pak melk? Verder vind ik het helemaal prima als het taakstraffen wordt i.p.v. opsluiten maar dan moet de perceptie daarvan wel minstens zo erg zijn als 3 jaar opsluiten. 240 uur taakstraffen is gewoon echt 10x niks en totaal niet in verhouding met het misdrijf dat gepleegd is.

[Dekar]

Wat je wil is dat een straf er toe leid dat er geen recidief plaatsvind. Langer straffen werkt averechts. En een taakstraf werkt veel beter dan een gevangenisstraf.

[MainframeX]

Daar heb je op zich een punt. Dan zie ik er op zich wel brood in om een dusdanig hoge taakstraf op te leggen dat de persoon in kwestie het niet gauw in z'n hoofd haalt om een hack o.i.d. uit te halen. De komende drie jaar iedere zaterdag kwijt zijn aan taakstraffen en maar een weekend van één dag overhouden zou een idee zijn. Vreselijk zo'n vooruitzicht en dat is precies wat nodig is. 240 uur is niks.

[dez11de]

Beetje vreemd dat je kan worden veroordeeld voor hacken terwijl het vermeende slachtoffer stellig ontkent te zijn gehackt.

[DoctorBazinga]

Die willen zeker niet toegeven dat hun beveiliging dermate slecht was dat ze bijna iedereen kon “hacken”.

Dat heb ik in mijn studententijd ook eens ervaren :
Ik werkte parttime op een afdeling van een groot IT bedrijf dat de telefonische klantenservice deed voor een grote IT-leverancier. Op een gegeven moment kregen we voorbeeld/sample-ssytemen/computers op onze afdeling van de nieuwste leveringen/verkopen om ons meer bekwaam te kunnen maken wat er nou precies wordt geleverd/verkocht.
Tussen de telefoontjes respectievelijk in de rustige periodes waren we die systemen aan het doornemen en die waren dus helemaal niet beveiligd of met restricties voorzien zoals onze werkterminals maar hingen wel allemaal aan het netwerk en internet.

Op een vrijdagmiddag heb ik met een aantal andere (studenten)collega’s niet het het internet zitten browsen maar gewoon door het netwerk en vondt daar heel veel workstations met onbeveiligde shares met documenten die volgens mij niet iedereen zou moeten kunnen lezen.
Maar vondt ook 2 servers, van een andere afdeling,die echt onbeveiligd waren. We hebben een tekst/notepad document in op de desktop folder gekopieerd met de inhoud van “Beter beveiligen volgende keer aub”. Meer niet.

Maandagochtend werd ik uit mijn bed gebeld en verzocht onmiddellijk naar de zaak te komen , ondanks dat ik eigenlijk naar mijn studie moedt en die dag niet was ingepland. Daar werd me ook verweten dat ik aan hacken was geweest.

Is dat hacken als de eigenaar/gebruiker/beheerder de boel niet op slit en zekf alkes wagenwijd open laat voor iedereen die even rondkijkt op het netwerk?

Trouwens was bij die actie , op vrijdag, op dat moment de supervisor van mijn afdeling erbij en ik heb hem ook via een opmerking gezegd dat er wel best wat mis is bij de beveiliging van enkele workstations/shares en servers op het netwerk zonder in details te gaan.

[Reactie gewijzigd door DoctorBazinga op 23 juli 2024 17:52]