Ransomwaregroep lekt 53.900 documenten met medische informatie van Belgen

De ransomwaregroep Killsec heeft alsnog 53.900 documenten met gevoelige medische informatie van Belgische patiënten online gezet, nadat ze die eerder stalen bij de firma MediCheck. Het bedrijf contacteert alle personen die genoemd worden in de documenten.

HLN schrijft dat de onderhandelingen tussen MediCheck, dat controleartsen uitstuurt voor werkgevers, en Killsec zijn mislukt. De hackersgroepering lekte vervolgens de documenten op het darkweb, waar iedereen ze in principe gratis kan bekijken. De gegevens bevatten namen en adressen van de patiënten en betrokken artsen, alsook of de patiënt volgens hen terecht afwezig is of niet. In sommige gevallen noemen de verslagen ook symptomen zoals spierpijn of duizeligheid en medicijnen die werden voorgeschreven.

Volgens MediCheck-ceo Dina De Haeck komt dat omdat het over verslagen gaat die voor de patiënt bestemd zijn en 'de werkgever die nooit krijgt te zien'. Soms merkt een controlearts bepaalde zaken op en wil die nog aan de patiënt laten weten via een apart veld op het formulier. "De werkgever krijgt zelfs de naam van de controlearts niet te zien."

Normaal zou MediCheck vandaag alle personen contacteren die in de documenten worden genoemd, al wordt dat nog een hele klus. Het bedrijf ligt sinds het datalek zo goed als stil en verwacht volgende week pas weer op te starten. Verder geeft De Haeck aan dat MediCheck voortaan nauw wil samenwerken met het Centrum voor Cybersecurity België en elk kwartaal een beveiligingsaudit gaat uitvoeren.

MediCheck bevestigde eind september dat Killsec de patiëntendata heeft kunnen onderscheppen. Penbox, dat als tussenpersoon werkt voor grote verzekeringsfirma's, werd begin september eveneens getroffen door de hackersgroep. Het Brusselse bedrijf heeft losgeld betaald en kon zo de publicatie van de uitgelekte gegevens blijkbaar vermijden.

MediCheck werkt voor driehonderd bedrijven. Via het bedrijf kunnen werknemers zich ziek melden en MediCheck verzorgt het contact tussen de patiënten en controleartsen. Tot de klanten van het bedrijf behoren grote bedrijven als bpost, H&M en Lidl.

Reacties (72)

[valkenier]

Bijzonder is dat we het tegenwoordig normaal vinden dat we medische gegevens onderbrengen in allerlei systemen, ook zonder dat een patiënt daar überhaupt weet van heeft. Ultiem voorbeeld is wel dat een bedrijf als calculus complete databases van huisartspraktijken kopieert:
Ook de vele PGO's trekken deze data (weliswaar met toestemming) naar zich toe. Het is wachten tot er in één van deze systemen een datalekje komt imho. Hoe meer plaatsen waar je dit opslaat, hoe meer kans op een lek denk ik altijd.

[Reactie gewijzigd door valkenier op 4 oktober 2024 13:43]

[Majestici]

Misselijkmakend vanwege de onrechtvaardigheid.

[Ma.rkus.nl]

Linkje met wat basisinformatie zonder paywall: https://nos.nl/artikel/24...-naar-commercieel-bedrijf

[MennoE]

Ik denk dat we er rustig van uit kunnen gaan dat over een jaar of wat van de meesten van ons wel dit soort info ergens gelekt is. Misschien moeten bedrijven die persoonsgegevens verwerken ook maar gaan werken met versleuteling. Niet meer de naam van een patiënt in het systeem, maar een versleutelde code of zo.

[rko4u]

Uiteindelijk moet die code toch gecombineerd worden met je id en je persoonsgegevens. En wie wil je die koppeling met het id veilig laten beheren, maar wel voor iedereen toegankelijk laten maken?

[sympa]

Waarom moet het "voor iedereen toegankelijk" zijn? Is dat "want handig"?
Soms is een notitieblokje zo gek niet. Beperkt de omvang van schade.
De impact van schade kan je dan weer beperken door het notitieblok te beperkten tot de medische status en een casenummer.

[wildhagen]

Waarom moet het "voor iedereen toegankelijk" zijn? Is dat "want handig"?

Nou, het schijnt handig te zijn als een arts bij het dossier kan. Het gaat niet heel praktisch zijn als iemand in levensgevaar is, de arts middelen wil geven, maar niet (snel) in het dossier kan kijken of de patient die wel mag hebben (ivm allergie, bijvoorbeeld)... en die arts kan een eerstehulp-arts zijn, hoeft dus niet de behandelend arts zelf te zijn. Om maar een voorbeeld te noemen.

Een administratie zal bij de gegevens moeten kunnen voor bijvoorbeeld doorbelasting naar de zorgverzekering.

Laboranten/radiologen moeten uitslagen in het dossier kunnen verwerken die door artsen worden aangevraagd.

Onderzoekers moeten er mogelijk bij voor hun medische onderzoek.

En zo nog een aantal scenarios...

Soms is een notitieblokje zo gek niet. Beperkt de omvang van schade.

Maar maakt het ook meteen weer omslachtiger om gegevens met andere afdelingen (of andere ziekenhuizen) uit te wisselen. Daarnaast kunnen dat soort notitieblokjes ook kwijtraken of achterblijven doordat iemand ze vergeet.

En niet iedereen heeft een fantastisch handschrift, als iemand dan die notities weer moet lezen en iets verkeerd interpreteert kan dat ook weer vervelende, of ronduit gevaarlijke, situaties opleveren...

Je kan de digitale systemen overboord gooien, maar dat is nogal draconisch, en een beetje het kind met het badwater weggooien. Ja, digitalisering heeft zijn nadelen qua beveiliging, maar de voordelen zijn ook gigantisch.

[Reactie gewijzigd door wildhagen op 4 oktober 2024 09:57]

[Wouterie]

Vroeger hadden we van die hangertjes waar je dit soort zaken kon opschrijven zoals bloedgroep en allergieën. Maar ja, dat heeft ook z'n beperkingen.

[sympa]

Maar ik begrijp dat de gestolen data van een bedrijfsarts is. Die zalf een dossier maakt en geen medisch advies geeft. MAAR uiteindelijk aan de alleen aan de werkgever hoeft te melden: deze persoon is nog wel twee weken uit de running.
Medische notities zijn dan wel handig, maar als ze verloren gaan kan de patiënt opnieuw gevraagd worden.

[mjtdevries]

Waarom moet het "voor iedereen toegankelijk" zijn? Is dat "want handig"?

Uiteraard werd er door rko4u niet bedoeld dat het toegankelijk moet zijn voor willekeurige personen zoals jij en ik.
Maar het moet wel toegankelijk zijn voor de bedrijfsartsen die met de gegevens moeten werken.

m.a.w. je gebruikt wel versleuteling voor de persoonsgegevens, maar op een zodanig wijze dat de bedrijfsartsen de gegevens onversleuteld te zien krijgt. Want dat is nou eenmaal nodig voor hun werk.
Het automatisch gevolg is dat wanneer een ransomwaregroep kan inloggen als een bedrijfsarts ze de onversleutelde gegevens te zien krijgen.

En ergens zal de key voor de versleuteling bij IT beschikbaar moeten zijn. Als de ransomware aanvaller kan authenticeren als de persoon die toegang heeft tot die key, dan kunnen ze ook de onversleutelde gegevens te zien krijgen.

En dat is wat ransomware groepen altijd proberen. Ze zijn vaak al meerdere maanden binnen en proberen dan steeds dieper in het systeem te komen zodat ze zoveel mogelijk gegevens kunnen zien. Vaak hebben ze uiteindelijk admin privileges weten te bemachten en kunnen daardoor zoveel schade berokkenen.

[sympa]

Er hoeft op zo'n dossier maar 1 arts te werken. En misschien 1 invaller. Ja, heel "handig" dat het voor iedereen beschikbaar is, maar dat "handig" heeft ook consequenties.

[4hvm]

IT hoeft geen toegang tot de sleutel te hebben. Zij kunnen ook backups maken van de versleutelde gegevens (of ze migreren, enzovoort). Verder is er een verschil tussen het kunnen inkijken van een aantal dossiers, en het downloaden van alle patiëntgegevens. Je kan dat limiteren, of een alarm geven als iemand ongewoon veel gegevens raadpleegt. Je kan ook bepaalde patiëntgegevens als sleutel gebruiken. Het is lastig om goed te doen, maar sommige partijen proberen het niet eens, lijkt het.

[MennoE]

Maar kan je niet gewoon de persoonsgegevens hashen?

[Bor]

Een hash is een cryptografische one way functie. Het is niet mogelijk om een hash om te draaien en de originele gegevens weer terug te krijgen. Hashing is het proces waarbij een invoer van willekeurige lengte wordt omgezet in een vast resultaat met behulp van een wiskundig algoritme. Er zijn veel verschillende van hashing algoritmes, waarbij de een veiliger is dan de andere.

[Reactie gewijzigd door Bor op 4 oktober 2024 09:52]

[M3m3nt0m0r1]

https://md5.gromweb.com/

Unfortunately, there is a way to decrypt a MD5 hash, using a dictionary populated with strings and their MD5 counterpart. As most users use very simple passwords (like "123456", "password", "abc123", etc), MD5 dictionaries make them very easy to retrieve.

Zelfde geldt voor SHA-1.

[Bor]

Op die manier decrypt je de hash eigenlijk niet maar zoek je hem op in een lijst van input waarden met bijbehorende output als ik het zo lees. Een snelle test op de door jou genoemde website laat al zien dat bij alles wat ik er aan tekst wat bestaat uit meerdere woorden ingooi ik de volgende output krijg: "Provided MD5 hash could not be reversed into a string: no reverse string was found."

[Kevinp]

Klopt maar, als je de input weet kan je wel (voorlopig met brute force) de input simuleren en daarmee het achterhalen.

Er is overigens een relatief makkelijke manier. Iedereen slaat zijn eigen gegevens op op een kaart.

Nadeel is als het verloren gaat ben je alles kwijt. Ga je namelijk een backup maken staat alles ergens en hoe veilig dat ook is ergens moet een unencrypt gebeuren of een Hash en dat is altijd (als je echt wil) te hacken.

Sommige dingen duren langer dan andere. Maar deze techniek is niet goed te voorspellen hoe dat gaat lopen.

Daarnaast zit er altijd een menselijke factor aan. En de mens is toch het zwakke punt.

[dez11de]

Uiteindelijk moet die hash toch terug te leiden zijn tot je persoonsgegevens.

[spoonman]

Nee, net niet. Met je persoonsgegevens kan je dan de gegevens ophalen die bij die hash horen, maar met de hash+bijhorende gegevens weet je niet over wie het gaat. (Maar je kan dan nog altijd gemakkelijk gegevens opzoeken van personen waar je genoeg gegevens van hebt)

[Reactie gewijzigd door spoonman op 4 oktober 2024 10:31]

[Zoop]

Een hashed wachtwoord wordt gevalideerd door de user input ook te hashen en dat te vergelijken met het opgeslagen hashed password in de database, als dat overeen komt, dan is het wachtwoord dus correct zonder dat iemand heeft hoeven weten wat het precies was. Zoiets is dus (als het goed is) alleen te achterhalen door brute-force, afhankelijk van de lengte van en complexiteit van de hash kan dat een praktische onmogelijkheid zijn.

Als het data is dat terug leesbaar gemaakt moet worden, dan is dat encryptie (en dus andersom, decryptie), niet hashing.

[rko4u]

Lijkt me lastig, hoe verzend ik u een email als ik alleen de hash van uw email adres heb? Hoe verzend ik u een brief als ik alleen een hash heb van uw adres en hoe controleer ik dat u het bent wanneer ik uw naam niet ongehasht kan zien. En ten slotte, hoe verleen ik u support als ik die gegevens niet klan lezen?

[xtlauke]

Ad hoc die data ophalen van de plek waar ze wel mogen staan, en deze informatie daarna niet op slaan. Natuurlijk moeten er dan duidelijkere afspraken gemaakt worden en daadwerkelijk volgens deze afspraken worden gewerkt zodat je dat je de NAW etc. gegevens niet of zo min mogelijk opslaat in je eigen systeem. Dan zou het in ieder geval lastiger worden om in 1 keer een hele database te dumpen met alle mogelijke gevoelige gegevens erin.

Ben je wel afhankelijk van de verbinding, dus voor spoeddiensten wil je dit waarschijnlijk niet. En het lost ook niet alle mogelijke manieren van datalekken op. Als men maandenlang continue dit verkeer kan monitoren vanuit de (web) app waar de NAW gegevens worden getoond, kan de bad actor alsnog veel gegevens achterhalen, maar dit lijkt me wel alweer een stuk lastiger te bereiken en betreft dan alsnog (veel) minder data (ligt er natuurlijk aan hoe lang men onopgemerkt blijft).

[HenkEisDS]

Eens. This seems to be the way. In een vorig topic kwam dit ook al ter sprake.

Centraal punt met alle NAW hebben we al: de overheid (noem het nu ff DigiD). Bedrijven krijgen geen persoonsgegevens van hun klanten meer. Wordt je nieuwe klant dan verzin je een nickname en initieer je een identificatie-, autorisatie- en authenticatieactie bij DigiD. Het resultaat van deze actie is een code die het bedrijf met hun private key kan versturen naar DigiD, eventueel met een extra parameter waarin een derde partij eenmalig toegang wordt gegeven. Wil het bedrijf bijvoorbeeld post versturen naar de klant dan kan dat, maar PostNL moet dan de unieke code van de klant versturen naar DigiD en PostNL krijgt dan eenmalig NAW toegestuurd voor de addressering. Het moet dan verboden worden om die NAW langer dan een maand op te slaan.

[mjtdevries]

En jij denkt dat dat in de praktijk werkbaar is?

[HenkEisDS]

Er zijn vast 1001 redenen te verzinnen waarom het moeilijk is, heb jij een beter idee om te voorkomen dat alle gegevens die je aan een derde partij verstrekt op een gegeven moment uitlekken? We moeten echt naar een zero-trust achtige manier van persoonsgegevens verwerken denk ik.

[mjtdevries]

Net zoals er 1001 redenen te verzinnen zijn waarom er het komende jaar geen vrede op aarde zal zijn.
Want dat is ongeveer wat je wenst.

[analog_]

In belgie zijn er een aantal spelers die een documenten kluis aanbieden, zoals Doccle. Daar komen mijn boetes, belastingen maar ook doktersbezoeken in.

[Reactie gewijzigd door analog_ op 4 oktober 2024 12:47]

[xtlauke]

Ik denk dat dit in de praktijk werkbaar is en ik denk ook dat we hier de komende jaren naar toe gaan, misschien niet PostNL maar wel wat betreft dingen zoals bijv. overheidsdiensten. Niet iedere partij kan dit zomaar nu implementeren, het zal zeker in het begin lastig zijn, maar als hier op wordt aangestuurd en in wordt geïnvesteerd zullen er ook steeds meer kant en klare diensten komen die dit soort processen ondersteunen. Vroeger was het uitvoeren van een iDEAL betaling ook een gedoe (en nog steeds zie je dat je soms 6 verschillende schermen en diensten af gaat gedurende een betaling), maar het werkt eerlijk gezegd wel goed ondertussen, en ook kleinere webshops die dit gewoon ondersteunen.

Het lijkt mij in ieder geval vele malen gemakkelijker dan vrede op aarde bereiken, dat los je niet op met een paar solide web services. Die web services zijn niet in 1 dag gebouwd, maar we hebben het over een termijn van meer dan een paar jaar.

Het voornaamste bezwaar dat ik op dit moment zie, is dat je dit dan mogelijk niet voor spoeddiensten wil gebruiken, omdat een kwestie van gezondheid of zelfs leven en dood niet afhankelijk moet zijn van de stabiliteit van een internetverbinding.

Ook moeten er natuurlijk hele duidelijke afspraken gemaakt worden. Op een gegeven moment zijn die web services volwassen genoeg zodat iedere leverancier deze wel goed geïmplementeerd kan hebben en je kun je ook boetes er tegenover gaan stellen als je deze data toch wel zelf opslaat. Dat gaat ook niet over één nacht ijs.

Maar niet praktisch werkbaar of onhaalbaar lijkt mij dit zeker niet.

Welke praktische bezwaren zie jij nog meer?

[HellboyFromHell]

Zou wel mooi zijn als er een algemeen protocol iets in het leven wordt geroepen wat voor elk bedrijf makkelijk te implementeren is voor het veilig bewaren van persoonsgegevens, en na verloop van tijd dit bijv verplicht wordt wanneer er met deze data gewerkt wordt. (iets als digiid fz)

[Reactie gewijzigd door HellboyFromHell op 4 oktober 2024 11:15]

[ironx]

Is hetzelfde als de naar mijn mening nikszeggende leus "dat verzamelde data geanonimiseerd wordt opgeslagen". Als je maar genoeg data hebt van verschillende bronnen (en dat zijn er een hoop tegenwoordig) en deze dmv verschillende overeenkomsten aan elkaar koppelt kan je uiteindelijk alsnog veel herleiden naar individuele personen...

[Aardwolf]

Maar wel wat moeilijker dan grijpklaar vanuit 1 bron.

[Prince]

Ik ga niet aangeven dat het niet waar is wat er staat, maar HLN als bron gebruiken is toch wat laag. HLN is zowat een van de grootste sensatiebladen van België. Regelmatig worden er onwaarheden of verdraaide zaken neergezet die ze later dan ook niet willen aanpassen of rechtzetten. Journalistieke integerheid is daar subzero.

Dit soort zaken is natuurlijk iets wat we vaker gaan zien, want met de hele privacy verplichtingen (waar ik ook compleet achter sta hoor) is dit een nieuwe blackmail/afpers categorie geworden.
"Even wat data stelen" en dan de firma afpersen voor geld. Toen persoonsgegevens nog minder interessant waren, had een groep als deze hier minder macht mee.

Langs de andere kant wel spijtig dat er op Tweakers niet meer aandacht is besteed aan "wat is er net fout gelopen", "hoe is de data gelekt", "wat hadden ze kunnen doen om dit te voorkomen", etc... het meer technische. Daar ben ik wel benieuwd naar.
Zoals @MennoE terecht zegt wellicht de naam en de inhoud van de patient ten alle tijden gescheiden houden, zaken versleutelen, etc...

[b12e]

maar HLN als bron gebruiken is toch wat laag

HLN is onderdeel van DPG. Tweakers is onderdeel van DPG.

1+1=2 in dit geval. Het is veel gemakkelijker om content van HLN klakkeloos over te nemen gezien ze bij dezelfde groep behoren, en om dan een zustermerk van dezelfde groep niet als "laag" te behandelen.

Uiteraard zou extra inbreng vanuit Tweakers welkom zijn.

[Reactie gewijzigd door b12e op 4 oktober 2024 10:02]

[Prince]

Het feit dat ze tot dezelfde groep behoren (wat ik overigens niet wist, dus petje af dat je dit wist), betekent natuurlijk niet dat ze dezelfde waarden, integerheid of management hebben.
Het is natuurlijk wel een interessante vraag of Tweakers een bepaald quota heeft om te verwijzen naar berichten van zusterbedrijven - los van de nauwkeurigheid van deze berichten.

[digibaro]

Zie je tegenwoordig wel vaker voorkomen dat de media (bron) wordt aangevallen en niet aangegeven wat er niet klopt in het artikel. Zo valt op social media niet meer te discussiëren omdat bepaalde type mensen het monopoly hebben op het begrip mainstream media (MSM). Aangezien zij bepalen wat er onder MSM valt "winnen" zij elke discussie en eindigen ze die met een "block".

[Mizitras]

Wat wil je hiermee dan juist zeggen? Omdat Joost en Annelies samen aan de ontbijttafel zitten en het bed delen, is hun journalistieke realisatie ook toch niet hetzelfde.
HLN kent een ander format als Tweakers.

[sympa]

De Telegraaf en NRC zijn beide ook onderdeel van dezelfde uitgever. En ook tamelijk verschillend als je mij vraagt.

[Ra_gdd]

Ik ben 100% met je een Prince.
Sinds DPD Media HLN heeft overgenomen is het een pulpblad geworden vol met klik bait en sensatie artikels.
Niveau Blik en Kwik.
Halve waarheden vertellen of zelfs foute info.
En als echt belangrijke info is, moet je naar de site van HLN of VTM gaan waar ze nog eens verdienen.
Vele mensen zijn precies schapen die geen vragen stellen, dit door niveau op onze Belgische zenders en gedrukte press.

[kodak]

Je twijfels zijn kennelijk niet gebaseerd op dit nieuws. Maar heb je dan onderbouwing aan welke specifieke beweringen uit de bron je twijfels hebt? Of dat je inhoidelijke redenen hebt om aan te nemen dat het anders is verlopen? Bijvoorbeeld dat de criminelen niet onderhandelen, of dat dit soort gegevens niet online staan?

De bron stelt onderhandelingen mislukt zijn en er nu duizenden documenten gelekt zijn. Dat is hoe dit soort criminelen werkt. Ze stellen eisen zoals een enorm bedrag moeten betalen. Een bedrijf doet daar in mee of niet. Als er niet is betaald wat de crimineel wil dan maakt de crimineel de gestolen gegevens publiek.

[Prince]

Ik bedoel dat tweakers niets heeft toegevoegd of verder heeft onderzocht aan dit artikel, maar gewoon heeft overgenomen. Tweakers heeft journalisten, dat is niet mijn job als lezer. Zonder verder onderzoek is het steeds een risico om zaken verder over te nemen en kan je enkel verder gaan op de betrouwbaarheid van de bron. Reddit of Facebook is bvb minderwaardig aan een overheidswebsite, een researchdocument, officiële verklaringen van de politie, vonnissen, etc...
Mijn mening gaat dus ook niet specifiek over dit artikel, maar over de bron in het algemeen en of het slim is om daar blindelings data van over te nemen.
HLN heeft geen goede naam als het op betrouwbaarheid aan komt; sterker nog: ze hebben reeds moedwillig de andere kant op gekeken als ze vermoedden dat hun artikel dan minder sensatie zou opleveren omdat die feiten zaken zouden tegenspreken. En ja, dit ten koste van anderen.

[kodak]

Je bent nu tweakers verwijten aan het maken omdat jij algemene zorgen over de bron hebt. Dat jij algemene zorgen hebt is niet zomaar op het datalek van toepassing. Dan zul je toch zelf aan moeten tonen dat de beweringen in dit nieuws duidelijk niet zomaar te vertrouwen zijn, niet dat je zelf in het algemeen een mening hebt. Je toont nu vooral aan dat je zelf geen moeite doet aan te tonen dat deze beweringen onbetrouwbaar zijn. Daarbij klopt je aanname niet tweakers dat als dit nieuws geen mededelingen doet of en hoe het gecontroleerd is het dus maar niet gedaan zou zijn. De gegevens staan helaas online en niets toont aan dat het nieuws niet klopt.

[Prince]

Mijn oprechte excuses, ik leef vast in een droomwereld waar factchecking de job is van de journalist en niet van de lezers. Hoe kan ik deze fout toch gemaakt hebben?

Mijn punt is dat dit het zoveelste copy/paste verhaal is dat hier gepost wordt zonder enige toegevoegde waarde, noch enig verder onderzoek, factchecking of evaluatie van de betrouwbaarheid van de bron.

Ik ben wel blij met mijn droomwereld, want jouw wereld, waarin news outlets mogen schrijven wat ze willen zonder enige factchecking en dus evengoed nepnieuws zorgeloos mogen verspreiden is een wereld die vraagt om problemen.

Of ze in dit specifieke artikel gelijk hebben of niet, weet ik niet. Ik zal dit weten vanaf dit van een betrouwbare bron komt. Meestal was Tweakers zo een betrouwbare bron en vergeleken ze zelfs verschillende bronnen en zochten naar discrepanties, maar tegenwoordig zie je overal (niet enkel Tweakers) vaak dit soort copy/paste acties en dat vind ik oprecht spijtig. De gemiddelde lezer denkt dan "oh, iedereen zegt hetzelfde, dus het zal dan wel waar zijn".

Jij hebt 100% recht op jouw mening en om deze te verspreiden in comment, net als ik. Ik vind het erg dat journalistiek gereduceerd is tot het script van de film Idiocracy en heb elk recht om dat te verwoorden in comments. Een journalist heeft echter een zeer specifieke taak. Ik heb hier een mooie definite van gevonden: "Een journalist of journaliste is een beroepsbeoefenaar die nieuwsfeiten verzamelt over recente gebeurtenissen van algemeen belang, die deze feiten onderzoekt of analyseert en daarover publiceert in een actueel (nieuws)medium."
- Zijn dit door de journalist hier bevonden als feiten? => neen, copy/paste
- Algemeen belang => ja, dus zeker het onderzoek waardig
- Is er een onderzoek of analyse gebeurt? nope...
- Publicatie in een actueel nieuwmedium? => yep, Tweakers.

Als ik wil weten wat anderen geschreven hebben, dan ga ik wel naar Google Nieuws; die scrapen en leggen links. Dat is ook wat ze moeten doen. Tweakers zou meer moeten zijn.

[kodak]

Ik stel op geen enkele wijze dat controleren geen onderdeel is van journalistiek. Ik stel dat je niet zomaar kan suggereren dat het niet gedaan is. En zeker niet als je zelf geen enkele inhoudelijke onderbouwing geeft dat het nieuws over deze criminelen en het lekken niet klopt. En daarbij ook nog negeert dat er duidelijke redenen zijn dat het klopt. Ik geef niet zomaar aan dat de gegevens gelekt zijn.

[SunnieNL]

Langs de andere kant wel spijtig dat er op Tweakers niet meer aandacht is besteed aan "wat is er net fout gelopen", "hoe is de data gelekt", "wat hadden ze kunnen doen om dit te voorkomen", etc... het meer technische. Daar ben ik wel benieuwd naar.

Dat wordt nu nog vaak volledig verborgen gehouden en is ook nog niet verplicht naar buiten te brengen. Het komt maar heel weinig voor dat naar buiten wordt gebracht hoe het kon gebeuren. Ik ken eigenlijk maar een handje vol gevallen waar dat daadwerkelijk is gedaan.

Hopelijk veranderd dat met de NIS2 waar meldingen, onderzoeken, maatregelen etc. bij toezichthouders moeten worden gemeld en binnen de EU tussen toezichthouders wordt verspreid. Heel misschien gaat daarmee ook meer naar buiten komen zodat anderen er van kunnen leren.

[Vexxon]

Verder geeft De Haeck aan dat MediCheck voortaan nauw wil samenwerken met het Centrum voor Cybersecurity België en elk kwartaal een beveiligingsaudit gaat uitvoeren.

Iets met een kalf en een put.

Natuurlijk moeten deze partijen hun shit beter op orde hebben, het feit dat een dergelijke partij die dat soort gegevens verwerkt niet samenwerkt met een Centrum voor CyberSecurity is op zijn minst behoorlijk laks te noemen.
Maar buiten dat zijn die ransomeware groepen wel zo ongeveer het laagste van het laagste soort. Alles voor het geld en fuck de slachtoffers.

[mjtdevries]

En jij denkt te kunnen beoordelen of ze hun shit op orde hadden?

Ransomware groepen zijn geen scriptkiddies. Die doen echt geraffineerde aanvallen.

[Iced Maggot]

Zitten normaal al die data niet in een database die goed beveiligd is?
Dan hebben ze toch het wachtwoord nodig voor aan die database te kunnen?
Ze gaan toch al die data niet in word bestandjes of zo bijhouden? :-)

[Reactie gewijzigd door Iced Maggot op 4 oktober 2024 10:03]

[Prince]

In het bronartikel staat dat de groep de communicaties tussen de artsen heeft weten te onderscheppen. Meer informatie hebben we niet. Het kwam dus niet uit een database, maar uit de informatie die door artsen ingevoerd of opgevraagd werd vermoed ik.

De vraag is dus "welke communicaties" en "hoe verliep dit"?

Dit kan een keyboard logger zijn, dit kan zijn dat ze een MFP device gescande documenten altijd naar een andere plek ook laten doorsturen, dat kan zijn dat ze controle hadden over de mailserver of mails van de artsen konden benaderen, dit kon zijn dat ze toegang hadden tot de laptop-backups van de artsen, etc....

Er zijn zo ontzettend veel potentiële ingangen in een firma dat het erg lastig is om alles tegen te gaan.

[Tormbo]

Er moet ook altijd eerst iets gebeuren voor een dergelijk bedrijf, dat volgens mij, gezien de persoonsgegevens waar ze mee werken, allang moet voldoen aan allerlei verschillende ISO procedures, hulp inschakelt en serieus werk gaat maken van security.

[mjtdevries]

En waar is deze beschuldiging van je op gebaseerd?

Waaruit concludeer jij dat ze niet voldeden aan ISO procedures en niet serieus werk maakten van security?
Ransomware groepen zijn geen scriptkiddies!

[Tormbo]

Ik beweer nergens dat ze niet aan ISO procedures voldoen. Ik zeg alleen dat ze dat al zouden moeten doen. Daarnaast kun je uit onderstaande quote voldoende halen denk ik.

Verder geeft De Haeck aan dat MediCheck voortaan nauw wil samenwerken met het Centrum voor Cybersecurity België en elk kwartaal een beveiligingsaudit gaat uitvoeren.

[mjtdevries]

Nee, daar kun je dat juist niet uit halen. Dat is een compleet onjuiste conclusie van jouw zijde.

[SunnieNL]

Elk kwartaal een beveiligingsaudit kun je niet aan afleiden dat ze nu niet aan de normen voldoen.
Je kan het ook zien als een mogelijk probleem binnen de norm, dat dit niet standaard moet gebeuren.

[bmwgozer]

Er zijn tal bedrijven geweest die leks hebben en gewoon ISO gecertificeerd zijn. Een ISO certificering zorgt er alles behalve voor dat je niet informatie lekt.

Een ISO procedure is “gewoon” een papier machine die mensen afvinken, het maakt het werken met data niet veiliger omdat mensen elke dag het zelfde moeten doen en dus juist minder lezen maar gewoon “oh ja sure” klikken.

[FrostyPeet]

Het is erg voor de patiënten. Ze moeten hun gegevens geven, hebben geen invloed hoe anderen met hun gegevens om gaan. Gaat het fout dan mogen ze het zelf uitzoeken. Op zijn best krijgen de patienten nog een e-mail met open deur intrappers als "let op phishing mails, klik niet op een link bij een onbekende e-mail afzender". Het "sorry" van het bedrijf kost ze niets. Komt misschien nog een boete, waarover advocaten in conclaaf gaan, bedrijf beloofd "beterschap" en alles gaat gewoon verder.

[Majestici]

Aan de ene kant heel vervelend, aan de andere kant voor mij hét bewijsmateriaal die ik nodig had om dit bij onze werkgever aan te zwengelen. Soms moeten mensen het eerst kalf zien verdrinken etc...

Ik had al eerder een bezwaar ingediend over de verwerking van data van de Abrounie en hun "Zivver" app. Als je daar gaat lezen in hun privacyverklaring geven ze min of meer toe dat ze data naar derden sturen om te verwerken, zelfs naar Google Analytics. En je stemt er al mee in zodra je de eerste file opent die je gestuurd wordt.

Als je momenteel via een bedrijfsarts in verzuimregeling zit kun je sowieso (als nederlander) dit tekeken:
https://puc.overheid.nl/nza/doc/PUC_719080_22/

En je behandelaar laten opsturen. En ik heb de Arbounie mijn emails al laten weghalen zodat ze me per post iets moeten sturen, niet via Vizzer. Het zijn maar druppels op een gloeiende plaat, maar als ik ze kan dwarsbomen in hun digitale fetisj dan doe ik het. Ik werk gewoon mee, ligt niet dwars, maar de mate waarin mensen hun data gewoon weggeven zal moeten veranderen. En bij deze aan iedereen die beter weet... leg het mensen uit.

[kodak]

Pogingen tot ransomware komen vaak voor en bestaat al vele jaren. Dus dat het een bedrijf overkomt is helaas niet bijzonder. Ik vraag me dan af of dit geen problemen waren in de bedrijven waar de verantwoordelijken eerder ook werkzaam waren. En ook of daar dan wel van geleerd is. Of dat duidelijk is dat er niet viel te leren.

[Reactie gewijzigd door kodak op 4 oktober 2024 14:44]

[Frame164]

En wat doet onze beroepsgroep er aan om dit te voorkomen in de toekomst? Het zijn ICTers die kwetsbare systemen ontwikkelen. Wellicht is het na pak m beet 80 jaar IT eindelijk eens tijd om te gaan professionaliseren.

[xtlauke]

Natuurlijk. Laten we gewoon alle schuld bij de hele beroepsgroep "ICTers" neerleggen, stelletje onprofessionele lamzakken.

Misschien komt het óók doordat er door andere mensen in de omgeving een situatie wordt gecreëerd waarbij de vereiste IT kwaliteit niet behaald kan worden?

"Maar we moeten nu live!" (anders halen we/ ik de project- en programma deadlines niet)
"Ja maar het budget is op." (misschien hebben we het volgend jaar minder druk en veel meer budget en capaciteit...)
etc.

Echt hè, na die 80 jaar hebben we nog steeds geen systemen waarmee veilig onze overheidszaken, bankzaken, etc. etc. met zaken zoals MFA kunnen regelen... /sarcasme

Of zijn specifiek alleen de ICTers die aan dit soort medische systemen werken onprofessioneel?

[Reactie gewijzigd door xtlauke op 4 oktober 2024 17:48]