FIA is getroffen door een phishingaanval

FIA, de internationale federatie van diverse motorsporten, is onlangs getroffen door een phishingaanval. Hierdoor konden cybercriminelen inbreken op twee e-mailaccounts van de organisatie. Het is niet duidelijk waar de daders op uit waren en welke data is gestolen.

De federatie meldt in een korte verklaring dat ze snel na het ontdekken van de aanval 'alle nodige acties ondernam om het probleem op te lossen'. Daarna heeft het de Franse en Zwitserse privacyautoriteiten op de hoogte gebracht van de aanval.

Het is nog niet bekend hoeveel personen er precies zijn getroffen door de aanval, maar de hackers zijn er in ieder geval in geslaagd om toegang te krijgen tot twee e-mailaccounts. FIA zegt tegen Techradar Pro dat verschillende personen en organisaties in de motorsport, die niet nader worden genoemd door de federatie, de laatste tijd het doelwit zijn geweest van phishingaanvallen.

Reacties (52)

[RoRoo]

Je beveiliging is maar zo sterk als de zwakste schakel.
En dat zal altijd de gebruiker blijven. Het lijkt mij zó kut als je die gebruiker bent.

[Olaf van der Spek]

En dat zal altijd de gebruiker blijven. Het lijkt mij zó kut als je die gebruiker bent.

Zo'n dooddoener.
Er is nog zoveel mogelijk op technisch vlak om dit soort risico's te verminderen.

[Metalfreak]

En toch is niet alles met techniek op te lossen. De gebruiker blijft in principe nog altijd de zwakste schakel. Als diegene toegang heeft tot die data, is dat ngo altijd een risico. Hoe moeilijker je het die gebruiker maakt, hoe meer hij/zij gaat zoeken naar een manier om er omheen te werken. Een gebruiker kan zelfs foto's maken van gegevens als het hem maar moeilijk genoeg gemaakt wordt, daar kun je niets tegen doen behalve awareness awareness awareness.

[Polderviking]

Je kan het een dooddoener vinden maar data beveiligen waar mensen beroepshalve toegang toe hebben blijft toch gewoon een uitdaging.

[Olaf van der Spek]

De prioriteiten van big tech liggen elders, dat maakt het zo'n 'uitdaging'.

[Horatius]

Wat?
Big tech stopt best veel resources in beveiliging en ik zou het zeker wel een van hun prioriteiten noemen. Dus als big tech dit hun prioriteit zou maken zouden we geen security issues meer hebben van gebruikers? Dat is enorm naief gedacht.

Het grootste probleem is dat gebruikers geen gemak willen inleveren voor veiligheid en als je dat forceert het vaak negatieve effecten heeft. Is ook niet de schuld van de gebruiker naar mijn mening.
Beveiliging ontwerpen heeft vele facetten maar kennelijk denk jij dat "big tech" dit met een handomdraai kan fixen terwijl ze zelf regelmatig slachtoffer zijn en er miljarden op worden verloren en aan uitgegeven.

[Olaf van der Spek]

Wat?

Yep

MS bijvoorbeeld heeft pas sinds mei een security first beleid: https://blogs.microsoft.c...-security-above-all-else/

Dus als big tech dit hun prioriteit zou maken zouden we geen security issues meer hebben van gebruikers?

Geen? Waar zeg ik dat? Minder, dat wel.

Het grootste probleem is dat gebruikers geen gemak willen inleveren voor veiligheid

Dat is vaak ook niet nodig.

[Horatius]

[...]

Yep

MS bijvoorbeeld heeft pas sinds mei een security first beleid: https://blogs.microsoft.c...-security-above-all-else/

Dat je nu bron stuurt dat ze nu een security first beleid hebben betekent niet dat ze daarvoor andere prioriteiten hadden. Prioriteit 1 zal nogsteeds geld verdienen zijn, maak je geen zorgen. Dit is een drogreden.

Geen? Waar zeg ik dat? Minder, dat wel.

Dat is vaak ook niet nodig.

Kennelijk zou het niet zo een 'uitdaging' zijn volgens jezelf, als de uitdaging er nauwelijks is is het ook niet echt een groot probleem.

Maar kennelijk weet jij manieren waarom gebruikers geen gemak hoeven in te leveren voor veel meer veiligheid? Ik ben een en al oor, mijn patentenprinter ligt klaar. Want het antwoord voor dit issue is goud, heel veel goud.

[BLACKfm]

Zal vast wel een leuke modeterm voor zijn, maar is nog zoiets als 'gebruiksvriendelijkheid' in relatie tot veiligheid.

Je zou prima middels 2FA (of strengere middelen) kunnen regelen dat elke mail die je wilt lezen een 2e authenticatie nodig heeft. Wellicht moet je dan met een fysieke chip-kaart, die je uit een biometrisch beveiligde kluis haalt en waarbij 2 mensen nodig hebt in 2 verschillende ruimtes op 2 verschillende locaties met een minimale horizontale afstand van 5km om deze te kunnen open, je e-mail client ontgrendelen en kun je dan voor de komende 60 minuten niet meer in je client komen en moet je het hele process weer opnieuw doen om een 2e mail te kunnen lezen (of verzenden).

Maar ja, daar wordt het allemaal niet gebruiksvriendelijker van

Het is net als phishing bij 'de gewone man'. 1000x tegen jezelf vertellen dat het jouw niet zal overkomen, en dan overkomt het je toch.

[Olaf van der Spek]

Zal vast wel een leuke modeterm voor zijn, maar is nog zoiets als 'gebruiksvriendelijkheid' in relatie tot veiligheid.

In het ideale geval gaan die twee hand in hand in plaats van dat het het een of het ander is.

[BLACKfm]

Gezien hoe het in veel bedrijven nog vaak uit balans is daar zeker nog wel laagdrempelig een verbetering in te vinden.

Simpel gezegd zou een zelfde fysieke chip aanwezig moeten zijn terwijl je wilt inloggen in je mail client.
Aan het begin van de werkdag log je er mee in, en aan het einde van je werkdag (waar je in de regel niks meer met je mail doet) stop je die chip weer op een veilige plaats.

Een phish-er heeft dan niet zo veel aan je credentials als die ook geen toegang heeft tot de 'hardware lock'

Maar goed, kun je heel lang over speculeren. Het hoeft allemaal niet zo lastig te zijn. En er hoeft maar 1 'hooggeplaatst' iemand te zijn die bij de IT afdeling gaat staan schelden dat dit systeem hardstikke kut is en die persoon een uitzonderingspositie wil, en dan kom je weer op het 'zwakste schakel' zinnetje uit.

Dergelijke beveiliging moet gewoon met een 'zero tolerance' beleid worden uitgevoerd.
Als je in Nederland 10 km/h te hard rijdt krijg je een boete, als je in een belangrijk bedrijf de kantjes er iets vanaf loopt kunnen er staatsgeheimen op straat liggen.

[Horatius]

Gezien hoe het in veel bedrijven nog vaak uit balans is daar zeker nog wel laagdrempelig een verbetering in te vinden.

Simpel gezegd zou een zelfde fysieke chip aanwezig moeten zijn terwijl je wilt inloggen in je mail client.
Aan het begin van de werkdag log je er mee in, en aan het einde van je werkdag (waar je in de regel niks meer met je mail doet) stop je die chip weer op een veilige plaats.

Niet heel gebruiksvriendelijk als iemand zijn chip is vergeten en niet kan werken. Of kapot is of. of. of. En daar moeten allemaal gaten in de beveiliging voor worden gemaakt om die te verwerken. Of simpelweg die hardware lock wordt gejat.

Er is een reden dat Microsoft et al aan het pushen zijn naar passkeys want die lijken een vrij goede oplossing te zijn voor het wachtwoorden probleem.

Zero tolerance beleid? Dan snap je echt de kant van een gebruiker niet en ook niet dat dit lastig aan de gebruiker is te wijten. Mensen ontslaan met een zero tolerance beleid heeft geen enkele zin, lekkere angstcultuur krijg je dan.
Werkgevers moeten een fijne werkplek creëren om werknemers aan te trekken, beveiligingsmaatregelen zijn hierin vaak een horde. Oftewel je moet daarin de balans vinden want te veel hordes en mensen lopen er omheen. (klassiek voorbeeld is dat beleid om regelmatig het wachtwoord te veranderen het wachtwoord alleen maar makkelijker maakt)

[BLACKfm]

Ik doelde met de zero tolerance meer op de tolerantie om de beveiliging te versoepelen of uitzonderingen te maken voor 1 persoon. Niet zo zeer als straf of ontslag.

En ja, als je dan je pas kwijt bent of defect is... dan moet je het systeem ook zodanig inrichten dat dit relatief snel is op te lossen. En niet dat de 'it afdeling' nog even 3 weken moet wachten op vervangende apparatuur.

Mijn microspft outlook (web)mail vond het blijkbaar nodig dat ik mijn mobiel nodig heb om in te loggen door een code te vergelijken. Als ik mijn mobiel niet bij mij heb of de batterij is leeg kom ik er ook niet (gemakkelijk) in.

Er zullen vast wel wat simpelere manieren zijn die minder gevoelig zijn voor fouten, onder aan de streep krijg je dat risico nooit op 0.

[akooijman]

Als ik mijn autosleutel vergeet doet mijn auto het niet. Dat is toch niet gebruiksvriendelijk?

[Horatius]

Daarom heb je ook een 2e autosleutel en is een autosleutel vergeten een stuk moeilijker .

Immers kan je niet weg als je je autosleutel niet hebt dus ben meestal nog dicht bij je auto.

[jpsch]

Hoeveel auto's worden niet afgesloten met de sleutels erin?

[Horatius]

Als ze niet zijn afgesloten zijn ze dus open, ik zie het probleem niet.

[Reactie gewijzigd door Horatius op 22 juli 2024 20:38]

[akooijman]

Als je he wachtwoord of een ander toegangsding kwijt bent is de helpdesk vlakbij. Wat is het probleem?

Het gaat erom dat extra veiligheid vrijwel altijd ongemak met zich meebrengt.
Een extra slot op de voordeur betekent (vaak) een extra sleutel. Een disselslot of wielklem op je aanhanger of caravan is een heel gedoe maar de verzekering wil het nu eenmaal graag.

Bedrijfsgegevens vertegenwoordigen vaak heel veel waarde, dus je mag best wat moeite van gebruikers verwachten om die te beveiligen danwel te ontsluiten.

Je pensioen ligt (neem ik aan) ook niet thuis in een oude schoenendoos.

[Metalfreak]

En dan maakt de gebruiker een foto van de gevoelige data met de mobiele telefoon en synct deze automatisch met de Google/Apple/Microsoft-cloud...

[BLACKfm]

Moet dat dan wel weer gelinkt zijn aan de credentials die zijn ontfutseld door de phishing aanval. Maar dat zullen ze toch wel niet allemaal aan elkaar koppelen... toch?

[reneflo]

Daarom is het ook zo belangrijk dat iedereen alleen toegang krijgt tot wat hij echt nodig heeft. Zo hou je de schade beperkt als er op een account wordt ingebroken. Als je iedereen overal toegang toe hebt is het risico veel groter dat er iets goed mis gaat.

[Kees]

En het is nog veel belangrijker dat je niet de gebruiker de schuld geeft of hem iets verwijt.

Het moment dat je dat gaat doen, dan komen gebruikers ook niet meer bij jou aankloppen als ze in een vlaag van verstandsverbijstering op een link hebben geclicked. Je wil dat ze zich veilig voelen om zonder consequenties zoiets te melden. Dus niet een reactie als: 'owh, dan mag je nu een phishing-mail training gaan volgen' of iets ergers.

[Houtenklaas]

Volstrekt eens.

De interne phishing mail dat de koffie vanaf volgende maand niet meer gratis was EN dat er een aantal parkeerplaatsen werden ingetrokken voor het management heeft de meest argwanende mensen in woede doen reageren, dat was wel een aardige.

Moraal van het verhaal, de vraag is niet OF je er intuint, maar wanneer. Overigens kregen wij WEL die "u mag aan phishing-mail training ..." wat ook weer de nodige hilariteit opwekte. Ik krijg ze niet meer, ik weet altijd de verzender aan te wijzen

[CPV]

Daarom is het ook zo belangrijk dat iedereen alleen toegang krijgt tot wat hij echt nodig heeft.

Dat lost maar weinig op: hooguit wat minder mensen die toegang tot kritieke data hebben. Maar als je één van die zo ver kunt krijgen om op jouw link te klikken, ben je ook binnen.

[asdfqwerty]

Dat is juist het punt. Als 10 mensen toegang hebben tot kritieke data is de kans dat iemand daar een fout maakt natuurlijk kleiner dan wanneer 1000 mensen toegang hebben tot deze data...

[mphilipp]

Maar het doel is juist om de schade zoveel mogelijk te beperken. Als iedereen overal (of bijna overal) in mag, maakt het niet uit wie er op de link klikt. Nu is het een loterij voor de phishers; ze moeten precies de juiste persoon treffen. En dan nóg...als je het goed inricht, heeft niemand altijd toegang tot de onderdelen die voor die persoon toegankelijk zijn, maar moet ie (tijdelijke) toegang aanvragen. Om bijvoorbeeld iets op een productie omgeving na te kijken, wat niet constant nodig is, moet je dan een access token aanvragen die een bepaalde tijd geldig is. En die toegang moet door iemand worden goedgekeurd. Vaak moet je dan een casenr opgeven. Dat soort maatregelen, die medewerkers in eerste instantie vaak vervelend vinden, beperk je de schade enorm in geval van een geslaagde phishing aanval.

[jaapzb]

Ja dat noemen ze attack surface. Heb je 25 man die ergens bij kunnen dan heb je 25 kansen er in te komen. Als het er maar 3 zijn is de kans natuurlijk significant kleiner...

[Chrono Trigger]

Niet iedereen draagt hetzelfde gevoel van verantwoordelijkheid of ernst. Om nog maar te zwijgen van de gebruiker die uit voorbedachte rade handelt.

[Niemand_Anders]

Was het maar zo dat de gebruiker *altijd* de zwakste schakel was.
Vaak is ook beveiliging in zijn algemeen niet in orde, worden backup procedures vrijwel nooit getest. Zelfs organisaties met ISO 27001 en 27002 hebben vaak nog veel niet op orde.

Je wilt niet weten bij hoeveel bedrijven je direct op het interne netwerk zit als je een laptop aansluit op een RJ-45 connector in de muur. Firewalls zitten meestal op de gateway/router, niet op de switches in de organisatie, dus ineens zijn allerlei poorten naar interne servers en/of workstations 'open' bereikbaar...

[syl765]

Ook het opzetten van je beveiliging speelt natuurlijk een rol. Je ziet bij veel bedrijven dat alles aan het centrale systeem word gehangen, meestal de Acive Directory. Want makkelijk te beheren. Veel winst zou je al kunnen behalen door sommige zaken te scheiden. Toegang tot servers bijvoorbeeld, of je backup. Daar kun je een andere systeem voor optuigen. Inderdaad vervelend voor beheer maar je maakt het een aanvaller een stuk lastiger.

Wij gebruiken outlook, waar ik vroeger door op een link te gaan staan met de muis kon zien waar ik naar toe zou gaan is dat nu gemaskeerd door de microsoft anti phising link. Het is dus niet meer te zien. De enige manier is nu klikken en hopen dat het systeem het juist heeft. Het word je als gebruiker soms ook niet makkelijker gemaakt.

[cariolive23]

Je beveiliging is maar zo sterk als de zwakste schakel.

Het probleem met mensen is ook nog eens dat ze de ene keer beter opletten dan de andere keer. De sterkte van de schakel varieert dus nogal.

En dat zal altijd de gebruiker blijven. Het lijkt mij zó kut als je die gebruiker bent.

Dan wil ik de gebruiker die op zo'n hyperlink heeft geklikt toch even verdedigen. Want hoe is het mogelijk dat de organisatie zo'n email heeft doorgelaten? En nog belangrijker, waarom staat de organisatie het toe dat er op zo'n hyperlink kan worden geklikt? Je smeekt als organisatie om een hack en wanneer er dan een hack plaats vindt, ga je naar de gebruiker wijzen?

Je hebt de zekerheid dat mensen fouten maken, zorg er dan ook voor dat deze fouten niet tot grote schade kunnen leiden.

[Lextreme]

Is dit niet simpelweg altijd aan de hand? Phishing aanvallen op bedrijven is meer "gewoon" dan bijzonder en dat twee man erop klikt is ook niet echt nieuwswaardig. Wanneer de gevolgen zeer groot zijn of er andere specifieke bijzonderheden zijn snap ik dat dit nieuwswaardig is, maar deze nieuwswaarde mis ik toch een beetje.

[Yannick97]

Veel Formule 1 fans binnen de redactie van Tweakers, FIA en F1 is natuurlijk nauw aan elkaar gelinkt, dan kan het al snel als nieuwswaardig gevonden worden. Het artikel zelf is niet heel interessant.

Het kan als waarschuwing blijven dat het overal kan gebeuren, van kleine organisaties tot organisaties die bekend zijn bij het brede publiek. Bewustwording en aandacht hiervoor is nooit weg.

[Hansie9999]

Hmm,

Waarom noemen ze dit een aanval ?

Was dit omdat het specifiek gericht was naar "high ranking members" van de FIA organisatie ??
en enkel naar hun mail adressen gemailed is ?

Phishing is toch gewoon dat er een hoop spam mails verstuurd worden in de hoop dat domme gebruikers op links in mails klikken ? (les nummer 1 ivm IT veiligheid, NOOIT op email links klikken, altijd zelf naar de site gaan)

En wel HEEL raar dat iemand van IFA een mail van IFA krijgt en dan op die link klikt, ipv standaard zijn bookmark te gebruiken (die hij hopelijk toch wel heeft als hij zelf voor IFA werkt)

weer raar dit,

[lenwar]

Klopt. Dit klinkt meer als spearphishing, dus waar specifieke mensen getarget worden.

Het is heel interessant hoe dat te werk kan gaan. Je moet sowieso rustig de tijd nemen. Leer wie de hoge heren en dames zijn. Ga rustig volgen op LinkedIn. Zo weet je wie de assistenten/secretaressen zijn. Verder blijven kijken je weet wat voor sociaal-maatschappelijke dingen ze doen. Je leert vrij snel vrij veel van de dagelijkse onzin van een organisatie.
Uiteraard volg je ook andere social media, want organisaties als de FIA kicken erg op aandacht, dus die posten best een boel van hun marketingprut over hoe geweldig dit en dat is. Ook daar leer je een boel van. Uiteraard ga je ook de website af, gelieerde websites. Sites van anderen waar over gepost wordt social media.

Bovenstaande doe je een paar maanden. Niemand valt wat op. Want je bent gewoon Hansie9999 of LenWar die aan het rondsnuffelen is op social media. Niets verdachts aan, maar je hebt wel een vrij helder profiel van je doelwit.

Vervolgens composteer je je mailtje die verstuurd namens de secretaresse van je doelwit. (het is niet voor niets dat Outlook tegenwoordig laat zien dat een mailtje van 'buiten de organisatie' komt en dat soort zaken).

[Hansie9999]

Ah,

Ja dan vermoed ik ook eerder dat het hier over spearphishing ging, lijkt me logischer, dan zouden ze de titel hier misschien moeten aanpassen.

[Horatius]

Phishing is een aanval, spearphishing een subset dus niet incorrect. Anders zouden ze spearphisingaanval kunnen neerzetten.

[cariolive23]

En zo'n mail zou niet eens in de junk-mail terecht mogen komen... De hyperlink die in de mail staat, zou elke firewall direct moeten updaten om deze url te blokkeren.

[lenwar]

Je gaat uit van een verkeerde link. Voor hetzelfde heeft de “baas van de FIA” aan z’n secretaresse gevraagd om z’n wachtwoord te laten resetten via een ander adres. Het kan alle kanten op gaan hè? Spearphishing is heel refaffineerd 😊

Edit: en als de site is gemaakt voor dat ene doel, is de kans klein dat de firewall hem kent. 😊

[Reactie gewijzigd door lenwar op 22 juli 2024 20:38]

[cariolive23]

Zoals gezegd, die email zou zelfs niet in z'n junk-mail terecht mogen komen.

Dat jouw firewall een website niet kent, en dat deze nu wel opduikt in een email, is dé reden om deze url te automatisch blokkeren. Maar ook om de email niet door te laten en direct in /dev/null te laten verdwijnen.

[Horatius]

Ja want dat werkt uitstekend als je mails krijgt van externen! Je ziet ze geeneens. Leuk in de theorie maar niet toe te passen in de praktijk.

Leuk voorbeeld;
Je hebt een tender uitstaan, bedrijf stuurt je een link om te kijken naar een demo of iets van promo.
*oh mail is verdwenen want stond een extern verwezen afbeelding in*
*oh mail is verdwenen want stond youtu.be ipv youtube.com*
*oh mail is verdwenen want er stond een typfout in de mail*
*oh mail is verdwenen want de demo linkte naar een dev domein van hun*
> Ik heb geen mail gezien
> Laat ik naar IT gaan en vragen of ze dit domein kunnen toevoegen binnen 2 maanden dan kan ik uw mail ontvangen.

Dan krijg je dat mensen hun persoonlijke mail gaan linken met veeeeel minder beveiliging of zoveel klachten dat je het toch wee rmoet afschaffen.
Zoveel Tweakers hier die dit probleem zo simpel en makkelijk op te lossen vinden maar dat niet op de markt brengen en miljarden verdienen. Gouden kennis mocht je een oplossing hebben.

[cariolive23]

Dat is wel een beetje heel simpel en zwart wit gedacht. Onze hond is nog slimmer dan dat...

[rko4u]

Ik ben benieuwd waar het hier om te doen is. Een autosportfederatie zou weinig geheimen mogen hebben. Het is immers fishing, geen ransomware.

[feuniks]

Aangezien ze bijvoorbeeld gedetailleerde specificaties van alle F1 auto’s hebben, zijn er dus genoeg zaken die je niet in de openheid wil hebben. Daarnaast gaat er ook wel een paar euro in om, dus zullen er ook de nodige bankgegevens te vinden zijn. En natuurlijk zijn er ook contactgegevens van heel veel personen, bedrijven, circuits en teams te vinden, die weer gebruikt kunnen worden om daar binnen te komen.

En dan heb ik het nog niet over de schade die je als kwaadwillende kunt toebrengen als het je lukt om bijvoorbeeld een F1 weekend of Le Mans plat te leggen…

[Jeffrey1908]

Precies dit, alle rapporten waar F1 auto's aan moeten voldoen, afmetingen beperkingen noem maar op zijn dan inzichtelijk voor iedereen ook voor de concurrentie. Ik neem aan dat alles gerapporteerd word van elke team, elke (auto) en dus ook de verantwoordelijke daarvoor.

[bwerg]

Een autosportfederatie zou weinig geheimen mogen hebben.

Ik ben benieuwd waarom dat niet zou mogen... Mail-boxes lijken me per definitie 'geheim', anders zou er wel een publiek forum gebruikt worden in plaats van een mailbox.

En ik ben benieuwd hoe je een professionele federatie, die betrokken is bij evenementen waar miljoenen in omgaan, denkt te kunnen organiseren zonder hier en daar een niet-publiek kanaal te gebruiken.

[Reactie gewijzigd door bwerg op 22 juli 2024 20:38]

[Stoney3K]

Het is natuurlijk gedaan door Lewis Hamilton die het resultaat van het wereldkampioenschap in 2021 aangepast wil hebben.

[Marcel Br]

FIA is niet alleen autosport.
Bv NCAP valt er ook onder.

[faim]

I have it printed out!

[Skating_vince]

So Mi?

[Aurora]

Er van uitgaand dat het hier om het email domein fia.com gaat, verbaast mij dit bericht ook totaal niet als je zero effort stopt in email security. Er staat een DMARC record op het domein, maar met de huidige waarde kun je het net zo goed als niet-bestaand noemen;

"v=DMARC1; p=none;"

Email. 1 van de meest ondergeschoven onderdelen in een gemiddelde organisatie.

[janpiet]

So seg. Die engelsen zijn echt boos op de FIA.