Bij hack van Nederlandse politie zijn 'incidenteel' ook privénummers gestolen

Bij de hack van de Nederlandse politie zijn 'in individuele gevallen' ook de privételefoonnummers van medewerkers gestolen. Toen de hack afgelopen vrijdag bekend werd, sprak de politie alleen nog van werkcontactgegevens.

Het gaat om 'incidentele' of 'individuele' gevallen, zegt de politie tegen NOS en RTL. Tegen de NOS zegt de politie nog te onderzoeken hoe vaak de privégegevens precies zijn gestolen. Bij de hack werden de Outlook-visitekaartjes van alle 63.000 werknemers van de Nederlandse politie gestolen. Deze visitekaartjes konden 'in het verleden' door werknemers zelf aangepast worden, mogelijk zijn zo de privénummers toegevoegd.

Een andere optie is dat ze 'niet goed hebben gestaan in een van onze gebruikte systemen', zegt de politie tegen NOS. RTL meldt dat er ook privénummers zijn toegevoegd aan visitekaartjes zonder dat de medewerker dit zelf had gedaan. Bij de hack zijn verder namen en functies gestolen, evenals werkcontactgegevens als e-mailadressen en telefoonnummers.

Het is nog niet bekend wie achter de hack zit. De politiebond ANPV zegt tegen RTL dat de gegevens zijn gestolen via malware op de smartphone van een politiemedewerker. De politie wilde dit niet tegen RTL Nieuws bevestigen. De Nederlandse politie adviseert politiemedewerkers inmiddels wel om met codewoorden te werken tijdens het bellen, om te verifiëren dat beide gesprekspartners collega's zijn. Zo noemt de politie het voorbeeld van een collega die opneemt met 'hallo krant', waarna de ander 'hey brievenbus' zegt.

Reacties (73)

[Anoniempje39]

Ik werk zelf de politie, maar code woorden gebruiken we echt niet. Sowieso delen wij geen gevoelige info over de telefoon met mensen die we niet kennen.

Ook het hacken van een diensttelefoon lijkt me onwaarschijnlijk. Ze zijn flink dichtgetimmerd. Je kan niet sideloaden en alles loopt via een afgeschermde PlayStore. 'onveilige apps' zoals WhatsApp, draaien in een sandbox. Alleen goekgekeurde apps kan je installeren. Social engineering of onvoorzichtigheid (vergeten uit te loggen) lijkt me logischer.

Telewerken (URL kan je volgens mij gewoon via Google vinden) heeft two-factor (naast gebruikersnaam en wachtwoord). Deze app kan je echter ook op privé telefoon zetten. In mijn ogen kan dit een zwakke schakel zijn.

Details weet ik ook niet.

[Reactie gewijzigd door Anoniempje39 op 30 september 2024 21:37]

[MennoE]

Sowieso delen wij geen gevoelige info over de telefoon met mensen die we niet kennen.

Ik denk dat het gevaar juist is dat criminelen zich voordoen als iemand die je kent, met informatie verkregen uit de hack.

[Banath]

Weet jij toevallig dan ook of het enkel de huidige in dienst medewerkers en of het ook npdp betreft?

[Anoniempje39]

Wat ik begrijp alleen de huidige medewerkers. Weet even niet wat je met npdp bedoelt.

[Reactie gewijzigd door Anoniempje39 op 1 oktober 2024 21:21]

[rjmno1]

Aldus al op het nieuws gezien.

[djernie]

Diensttelefoons zijn misschien dan wel goed dichtgetimmerd, maar het is net zoals bij elke onderneming die Office365 gebruikt wel mogelijk om Microsoft Office apps zoals Teams te installeren en gebruiken op elke willekeurige (privé) smartphone, zonder dat er een controle plaatsvind hoe veilig dat toestel is.

[TheDudez]

Is het wel echt een hack geweest? Of heeft iemand de voordeur open gelaten? Door bijvoorbeeld gewoon een kopietje te kunnen maken door een medewerker. Hack wordt zo vaak misbruikt door gewoon de sleutel te laten liggen bij de voordeur.

[BertNL]

Eigenlijk zou een adresboek kopiëren standaard niet moeten kunnen. Technisch zou de bevoegdheid daartoe best beperkt kunnen worden.

[themadone]

Ja hier lijkt het op, adresboek gehackt via een authenticated sessie van een mobieltje met email.

Moeten we nu echt ook in gaan voeren dat je alleen met een company device email mag gebruiken.... En die mag dan ook helemaal op slot. Dit wordt onwerkbaar.

Want welke email service je ook gebruikt, dit kan natuurlijk altijd.

Je kan het downloaden van het hele adresboek wel blokkeren maar naam herkenning op een enkel adres is al voldoende, je moet alleen wat meer geduld hebben.

Het adresboek dat geen namen teruggeeft is geen adresboek dus kan je letterlijk op de achtergrond gegevens gaan farmen zonder dat iemand het door heeft.

[Imaroe1905]

Waarom zou dat onwerkbaar zijn? Ik werk momenteel al zo en vind het prima. Heb een beheerde laptop en telefoon van de zaak. Alleen op de beheerde hardware kan ik mijn werk apps ontsluiten zoals mail. Zelfs de Play store heeft alleen goedgekeurde apps beschikbaar, voorkomt dat mensen Temu achtige apps installeren.

[Djerro123]

Moeten we nu echt ook in gaan voeren dat je alleen met een company device email mag gebruiken.... En die mag dan ook helemaal op slot. Dit wordt onwerkbaar.

Dit is toch vrij gangbaar? Ik mag nooit company resources op mijn mobiel benaderen zonder MDM is ingeschakeld

[Don_Paul]

Zo werkt het bij de Politie al.

Toegang tot email op een prive-telefoon is afgesloten. Ik heb als externe ook geen politie-telefoon, dus sta regelmatig voor niets op het werk terwijl een afspraak 's ochtends vroeg afgezegd is. Echt heel erg onwerkbaar, dit - met name voor de agenda (mail is nog wel te doen). En iedereen een toestel geven is ook wat onhandig, er zijn collega's die voor nog 2 andere klanten werken, dan loop je continu met 4 telefoons.

Maar dat dichttimeren heeft dus allemaal niet geholpen, het adresboek ligt nu op straat.

[jaapzb]

Als iemand door het adresboek kan zoeken, dan kan die hem ook kopieren

[la cucaracha]

Met een hoop toewijding kan een kwaadwillende ook screenshots maken van elk visitekaartje.
Vervolgens alle verzamelde screenshots samenvoegen in 1 pdf en dan chatgpt aan het werk zetten met een aantal opdrachten.
Bv: maak een spreadsheet met kolommen a, b, c, d, ( enz.)
Zet alle achternamen in kolom a, bijbehorende voornamen in kolom b, email adres met @politie.nl in kolom c, email adres met @xxx in kolom d.
Je kunt aan laten vullen met onderscheid tussen 06 en vaste nummers, werklocatie, regio, functie, rang en noem maar op.
Je zult creatief moeten zijn als je dubbele namen tegenkomt zoals Jansen, Jan ( dit als fictief voorbeeld)
maar je gaat met veel moeite een heel eind komen.

[evers97]

Nou veel moeite is het zeker niet, je kunt zo een script opzetten die alles doet en binnen een uur echt wel klaar is.

[stimpyMGS]

Hacken is een bredere term dan alleen doelbewust technische exploits te gebruiken. Wellicht is hier een vorm van social engineering gebruikt

[TheDudez]

Ik denk eerder social engineering. Zoals wel vaker.

[Reactie gewijzigd door TheDudez op 30 september 2024 20:40]

[2TheMaks]

Hack wordt zo vaak misbruikt door gewoon de sleutel te laten liggen bij de voordeur.

Dat is hier waarschijnlijk ook het geval. Als ik op politie.nl kijk wat 'de'burger' kan doen om geen slachtoffer te worden van cybercrime dan kom ik van alles en nog wat tegen, behalve de zeer belangrijke tip om een device ALTIJD te locken wanneer je deze onbeheerd achter laat.

Cyber-hygiene laat nogal te wensen over bij werknemers van organisaties. De Nederlandse politie zal daarin geen uitzondering zijn. Het volgende scenario is daarom het meest waarschijnlijk:

Bart de Brigadier heeft een bezoeker in zijn kantoor. Op een gegeven moment word Bart even weg geroepen. Zonder zijn computer te locken (want dat gaat toch automatisch na een paar minuten) loopt Bart zijn kantoor uit. Zodra Bart verdwenen is steekt de bezoeker een USB-device in de computer van Bart, selecteert de globale adreslijst in Outlook, en exporteert deze naar zijn USB-device.

Deze export is klaar ruim voordat Bart terug is. Wanneer Bart zijn kantoor weer binnen komt zit het USB-device met de export van de globale adreslijst al weer lang en breed in de zak van de bezoeker.

Zo low-tech kan een hack zijn wanneer iemand een belabberde cyber-hygiene heeft.

[Martijn033]

Gewoon een USB-stick met wat malware in de pc hangen. Binnen een minuut is de pc geïnfecteerd. Dat kopiëren van het adresboek (en wat nog meer) gebeurt dan gewoon achter de schermen via het netwerk.

[Orgel]

Ik vind dan ook dat we alle USB-sticks moeten verbieden

[Martijn033]

Sowieso USB-poorten buiten gebruik stellen op zakelijke pc's.

[hamsteg]

Deze visitekaartjes konden 'in het verleden' door werknemers zelf aangepast worden, mogelijk zijn zo de privénummers toegevoegd.

Of gewoon eenvoudiger, weet niet of de politieorganisatie deze optie biedt, maar mijn telefoonnummer is van mij. Bij overstappen naar een nieuwe werkgever geef ik altijd aan dat ik geen separate telefoon wil, geen aparte sim maar geef ik mijn nummer ter beschikking (onder voorbehoud dat dat nummer van mij is en blijft). Ik wil geen twee sims, heb geen behoefte om alles te scheiden. Geef het een label prive of zakelijk of vereniging of ... maakt mij niet uit, het nummer is van mij. Geen office pakketten op de telefoon maar puur en alleen sociale contacten (al dan niet zakelijk). Misschien ben ik nog old-school. Office-werk dat gaat via de laptop die heel mobiel meegaat in mijn rugzak.

[tweaker2010]

Dat klinkt allemaal heel leuk, maar gaat vaak al fout voordat een medewerker in dienst gaat. Sollicitatiebrief met privemailadres en telefoonnummer wordt vaak ook nog jarenlang ergens op een netwerkschijf bewaard.
Of wat dacht je van een smscode naar een privenummer omdat je je zakelijke toestel een dag thuis hebt laten liggen.

[Artz]

Een beetje bedrijf houdt zich aan de AVG waarbij de brief en cv binnen 3 maanden (of eerder) verwijderd moet zijn (geautomatiseerd).

[Remzi1993]

Een beetje bedrij? Laat me niet lachen hoeveel bedrijven amateuristisch bedrijvigheid voeren of hebberig zijn en op alles besparen inclusief voldoende personeel. De meeste bedrijven is AVG gewoonweg niet op orde en de enige reden waarom (nog) geen boete hebben ontvangen is omdat de handhaving onmogelijk is omdat er zo veel overtredingen zijn.

[Powerblast]

Ik vermoed dat dit waarschijnlijk net omdat het politie is anders ligt. Zomaar prive toestellen binnenlaten is vermoedelijk niet toegelaten. Heb er zelf geen ervaring mee, maar ik zie daar nog wel een beveiligingsrisico in als je vervolgens stopt als agent. Als je dan het telefoonnummer gewoon kan meenemen is er totaal geen controle meer op.

[hamsteg]

Als je dan het telefoonnummer gewoon kan meenemen is er totaal geen controle meer op.

Controle waarop? Als een persoon vertrekt heeft dat nummer toch geen betekenis meer? Wat wil je na vertrek controleren?

Met goede IT is dat geen issue. Ben vaak zat bij werkgevers vertrokken waarbij na de laatste werkdag ik alles moet inleveren wat niet van mij is en daarna wordt mijn nummer ontkoppeld uit de systemen. Geen centje pijn.

[wica]

Het lijkt mij toch echt wel een probleem, als een ex-politie agent zijn nummer kan behouden. Waarmee hij zijn collega's belde. Niet elke collega weet dat die persoon een ex-agent is. En zou daardoor veelste gemakkelijk info vrij kunnen geven.

Met goede IT is dat geen issue.

We hebben het hier over de politie, die niet eens goede logging heeft. Laat staat proactieve audits er op doen.

[Anoniempje39]

Ik werk zelf bij de politie. Een medewerker die ontslag neemt of met pensioen gaat mag zijn werknummer meenemen. Men moet zelf een abonnement aanschaffen en het nummer laten porteren. Dit dient aangevraagd te worden en de leiding moet goedkeuring geven.

[wica]

Wat een slecht idee, naar mijn persoonlijke mening.

[Martijn033]

Dat is wel een heel groot potentiëel lek, vanuit een security perspectief.

[hamsteg]

Een normale telefoon is sowieso geen goed medium voor secure informatie. Een nummer is heel eenvoudig te spoofen.

[wica]

We hebben het over de politie. Waar hun eigen communicatie middel zo rampzalig is. Dat ze met hun eigen mobiel bellen.

[Orgel]

Ze hadden beter bij C1000 kunnen blijven

[la cucaracha]

C1000 is ( of beter gezegd was) een supermarkt.
Hulpdiensten communiceren via C2000.

[Orgel]

[Powerblast]

Nee dat klopt. Maar als een agent zich kan blijven voordoen als agent omdat het nummer hetzelfde blijft en hij dit misschien uitgegeven heeft onder die functie, is dat wel een iets andere zaak. Dat ik me blijf voordoen als ze mij bellen als IT'er van zaak X is natuurlijk ook een issue maar ligt wel minder gevoelig.

Ik heb er geen ervaring mee, dus geen idee hoe dat daar intern werkt.

[Remzi1993]

Dit is juist riskant, liever een apart werktelefoon zodat ik geen werk apps heb die toegang tot mijn prive mobiel hebben. Geen haar op mijn hoofd die daarover nadenkt.

[hamsteg]

Goed lezen, ik gebruik geen office apps.

[Remzi1993]

Geen e-mail van je werkgever op de telefoon?

[hamsteg]

Nee, als ik buiten werktijd wat moet doen ... stuur maar een appje. 3 minuten later kan ik ingelogd zijn.

[Remzi1993]

Dan snap ik inderdaad dat ze geen werktelefoon hoeven te geven, echter zodra je werkgever eist dat je email en dergelijke op je mobiel moet zetten kan ik je wel aanraden om een werktelefoon te nemen. Dat wil je echt niet op je prive mobiel hebben.

[Elorad]

Bij mijn werkgever moet ik, als ik dat zou willen, mijn telefoon aanmelden via microsoft intune, dan wordt er een beveiligde partitie gecreëerd, daar kan ik dan de office apps van mijn werk installeren. Schakel ik over naar mijn privé partitie kan ik niks meer inzien en vica versa, in de zakelijke partitie kan ik niet eens de camera van mijn telefoon gebruiken, omdat de security afdeling nog geen toegestane camera app beschikbaar heeft gesteld. Werkt op zich prima hoor, maar kan best omslachtig zijn. Ook verwijderen is weer een fluitje van een cent. Intune deinstalleren en alles is weer zoals je begon.

[WigaDan]

En onmiddelijk ben je in principe traceerbaar omdat je ingelogd ben op deze Microsoft systemen. Serienummers, macaddressen, imei etc. Ga er maar vanuit dat je hele fingerprint er meteen bij Microsoft in zit (als dat nog niet het geval was).

Als iemand een "de -Googled phone" heeft verpest éénmalig inloggen op Google of Microsoft het hele anoniem zijn direct. Je blijft zelfs traceerbaar als je weer uitgeligd bent en de coockies overboord uebt gegooit. Sommige mensen hechten wat meer aan hun privacy dan andere dat doen en willen geen apart Intune gedeelte op hun telefoon hebben.

[Elorad]

Goed punt, nooit bij stilgestaan.
Ik heb het zelf ook nog nooit aangezet, omdat ik het nut er niet van inzie, maar genoeg collega's wel.
Als ik werk, ben ik bereikbaar via slack of mail, als ik niet werk hoef ik niet bereikbaar te zijn voor het hele bedrijf. Als het echt nodig is, zijn er wel mensen die mijn privenummer hebben.

[WigaDan]

Ik geef je groot gelijk. Geen werkgevertroep op eigen toestel.

Een toestel van de werkgever (niet de-googled) is meteen weer een +1 voor Big Tech die weer als een malle alle Metadata over mij verzameld.

Ik gebruik mijn eigen toestel met eigen nummer maar gebruik geen werkgever apps. Ik lees mijn mail wel op mijn werklaptop.

Een de-googled toestel met E-OS geeft in de appstore aan hoe privacy veilig een app is. MS Outlook en MS Authenticator scoren heel laag. Die zitten vol met (ook Google) trackers en willen toegang tot veel meer componenten op je telefoon dan nodig is.

[Remzi1993]

Ik kan het je niet aanraden. Ik zal dit nooit doen en een werktelefoon eisen. Je mobiel kan als bewijs voor een rechtszaak dienen of je werk apps hebben vergaande toegang tot je mobiel en andere dingen die te tracken zijn.

[Yarda]

malware op de smartphone zou dus de ingang geweest zijn ?
Ik ben toch benieuwd hoe dan, je hebt toch niet duizenden contacten op je telefoon staan.
Blijft toch vooral pijnlijk en vervelend voor alle betrokkenen, zacht uitgedrukt

[Yordi-]

Je kan toch gewoon exchange uitlezen?

[SinergyX]

Maar zou een ieder dan altijd toegang hebben tot al die 63.000 mensen? Geen idee hoe dat gaat in grote omgevingen, maar je zou toch verwachten dat je contactenlijst beperkt is tot locatie/afdeling/regio?

Edit, gezien de reacties, blijkbaar toch vrij toegankelijk. Dus eigenlijk 1x phising op telefoon en binnenharken die zooi blijkbaar.

[Reactie gewijzigd door SinergyX op 30 september 2024 19:44]

[DanielB]

Nee, is helaas een utopische gedachte en ook niet ideaal als je op een afdeling werkt die een (algehele) spin-in-het-web functie heeft. Ik moet als analist met iedereen kunnen schakelen en gezien de hoeveelheid namen is het soms echt lastig om volle achternamen te onthouden, zeker als ze uit meerdere delen bestaan. Dan moet ik dus toch iemand van bijvoorbeeld R&D of compliance kunnen opzoeken.

Misschien niet het beste voorbeeld, maar wel de realiteit bij mijn huidige en voorgaande werkgevers.

[jdh009]

Ik heb bij klanten en bedrijven gewerkt (consultancy) waar op bijvoorbeeld Teams of interne profielpagina's telefoonnummers stonden, zodat medewerkers snel contact konden leggen met anderen binnen het bedrijf. Op zich is dit heel handig, omdat je snel kunt communiceren, maar het biedt natuurlijk ook de mogelijkheid om alle informatie te verzamelen. Voor zover ik weet was destijds alleen de C-suite afgeschermd, echter nooit geprobeerd om alles te scrapen dus weet niet of zoiets daar tegen beschermd was.

[Quintiemero]

Bij een big 4 kantoor konden we iedereen over hele wereld vinden.

[tolunaygul12]

Op mijn werk kan ik via outlook de gehele werknemerslijst zien en personen opzoeken.
En dat is een behoorlijke lijst omdat ik bij een grote Duitse organisatie werk

[Ro4x]

Ik kan je vertellen dat ieder toegang heeft tot alle visitekaart gegevens, op wellicht een enkele afdeling (heimelijk) na. In het verleden zijn er ook meermaals mails gestuurd naar de gehele organisatie zonder bcc. Die threads blijven maanden doorlopen omdat sommige het nou eenmaal leuk vinden om ook ff te reageren via reply all met "jongens, kappen nou".

[Thonz]

Hopelijk zal dit veranderen, maar toegang voor elke werknemer tot de contactgegevens van alle werknemers in een bedrijf, komt vaak voor.

[Orgel]

Wat heb je aan een adresboek als je niemand kan vinden die je wilt opzoeken. Juist!

[HKLM_]

Komt helaas wel voor dat organisaties heel de Global Adres list synchroniseren naar je mobiel

[Patrick22221]

Uhh je kan met microsoft exchange al je organisatorische contacten in 1 klap toevoegen aan je telefoon. Dus ja fat kan wel

[hawkeye73]

Ben ik de enige die denkt..... hoezo transparantie?

Bedrijven moeten meteen met de billen bloot qua aanpak maar dit stapelt zich toch op door amateurisme...

[lvdgraaff]

Zo noemt de politie het voorbeeld van een collega die opneemt met 'hallo krant', waarna de ander 'hey brievenbus' zegt.

Dit is toch moeilijk serieus te nemen. Ik reken op de humor van het korps dat hier nog heel lang grappen over gemaakt worden.

[wica]

'hallo krant', waarna de ander 'hey brievenbus'

Ik denk dat de politie beter even zijn mond dicht kan houden tegen over de pers. Tot dat ze meer duidelijkheid hebben.

[Reactie gewijzigd door wica op 30 september 2024 21:51]

[tl_buis]

Lijkt me ook

[multikoe]

Hahaha... En hoe denk je dat er hier gereageert gaat worden op het *niet* snel delen van informatie? Ze kunnen op dit moment even helemaal niets goed doen....

[wica]

De politie heeft geen plicht op het publiek te informeren omtrent dit soort zaken.
Ze hebben enkel een plicht om hun medewerkers en de minister te informeren.

Het lijkt mij verstandig om, als ze de publiek informeren, het duidelijk te doen en niet dagelijks.

[Sorcerer8472]

Codewoorden...

Het wordt echt tijd dat we spoofing tegengaan bij telefonie. Ik wil net zoals in de VS een vinkje zien als het nummer geverifieerd is...

[Sylves]

Het lijkt alsof de Politie geen MAM (Mobile Application Management) in Microsoft Office 365 (Intune) heeft ingevoerd als het adresboek nog lokaal gesynchroniseerd wordt. Lijkt me wel slordig. Dit is iets wat heel veel bedrijven al hebben gedaan / zouden moeten doen om zakelijke apps (op privé devices) af te schermen van de privé zone. Bij mijn organisatie waren mensen er echt niet blij mee (contacten kwijt e.d.); maarja zakelijke contacten en email gaan daarna gewoon altijd via de Outlook app. Even wennen, maar stukken veiliger..

[FrostyPeet]

Ah. Het nietszeggende, suggestieve woord "incidenteel". De top lijkt zich al in te dekken, met de hulp van de afdeling communicatie en adviseurs. Op vrijdagmiddag algemene informatie naar buiten brengen, dan zakt het wat weg in het weekend en dan op maandag druppelsgewijs zo vaag mogelijk meer informatie geven waarmee ze wegkomen. Dezelfde strategie zag je ook bij de bankencrisis.

Elke telefoonlijst in een grote organisatie heeft telefoonnummers op privé adressen. Die bij shtf gebeld kunnen worden als ze vrij zijn. Dat zijn meestal de mensen die echt interessant zijn als potentieel doelwit.

Elke organisatie heeft telefoonlijsten van andere clubjes waar ze veel mee van doen hebben.

Dit is gouden informatie.