Politie: hackers hebben mogelijk toch extra privégegevens zoals foto's gestolen

De Nederlandse politie erkent dat er mogelijk toch nog meer privégegevens van werknemers gestolen zijn bij de grootschalige hack van 27 september. Het is niet honderd procent zeker dat dit gebeurd is en het zou om 'slechts een deel' van de 63.000 getroffen werknemers gaan.

In een persbericht laat korpschef Janny Knol weten dat medewerkers van de politie ingelicht zijn over de mogelijkheid dat naast privénummers ook andere privégegevens bij de hack door een 'statelijke actor' gestolen zijn. Het is niet duidelijk om hoeveel werknemers het gaat. Wel meldt de politie dat het vermoedelijk gaat om foto's of afbeeldingen die gebruikt werden voor visitekaartjes.

Bij de bekendmaking van de cyberaanval werd nadrukkelijk vermeld dat er geen privégegevens van de werknemers gestolen werden; het zou puur om werkgerelateerde informatie gaan. Later werd bekend dat er toch 'incidenteel' privénummers bij de cyberaanval werden buitgemaakt. Nu blijkt dat er mogelijk ook beeldmateriaal gestolen zou zijn.

Het is vooralsnog niet officieel duidelijk wie er achter de hack van de Nederlandse politie zit. Het is volgens de politie zeker dat een ander land verantwoordelijk is voor de cyberaanval. Volgens verschillende bronnen van De Telegraaf, RTL Nieuws en Tweakers gaat het om Rusland. De hack trof praktisch alle 63.000 werknemers van de politie en mogelijk ook rechters en officieren van justitie.

Reacties (66)

[banaj]

Wat een shitshow. En de goede vragen worden niet gesteld. De feiten: het Outlook adresboek is gestolen. Oftewel: een ouderwetse telefoonklapper is van een bureau gestolen. Dan zijn er twee opties:

• De informatie is niet gevoelig. Het is immers semi-publieke data waar iedereen bij kan. Als dat zo is: zeg dat dan. Alles werkt zoals ontworpen: met het adres- en telefoonboek kun je personen, adressen en telefoonnummers zoeken. En we weer verder met boeven vangen.
• De informatie is wel gevoelig. Dan is de vraag: waarom kan ten minste intern (vrijwel) iedereen bij gevoelige gegevens? Inclusief stagaires en corrupte medewerkers die dit bijvoorbeeld voor Taghi opsnorren. Dit is dan een grove fout: bekend probleem wordt al jaren niet opgelost. Koppen laten rollen.

De vraag zou dus moeten zijn: met wiens incompetentie hebben we te maken? Die van afdeling communicatie of van afdeling informatiebeveiliging?

[sjorsjuhmaniac]

Precies dit. Perfect verwoord.

Zal bv ook wel eens een privé 06 in staan want niet iedereen krijgt een telefoon van de zaak


Gokje: de privé foto’s zijn de van-HR-verplichte headshots avatars in office365.

[Reactie gewijzigd door sjorsjuhmaniac op 9 oktober 2024 17:55]

[Powerblast]

Was ook het eerste waar ik aan dacht, die kleine thumbnailes moeten het dan zijn? Ik zou anders eigenlijk niet weten hoe je in outlook adresboek privé fotos inkrijgt. Spijtige zaak dat ze natuurlijk ineens ook een gezicht bij de naam en privé gegevens hebben.

[rbr320]

Dat is wel iets meer dan spijtig. Bij iedere andere organisatie zou je dit spijtig kunnen noemen, maar bij de politie is het zeer kwalijk. Dat er nu foto's met bijbehorende namen van politiemedewerkers op straat liggen kan het werk van de politie ernstig belemmeren en zelfs undercoveracties en daarmee levens in gevaar brengen.

[beeldbuijs]

Denk eerder dat vrijwel iedere politie-medewerker wél een telefoon van de zaak krijgt. Sterker nog, 'de baas' geeft er de voorkeur aan dat je werk en privé-telefoon gescheiden houdt en sandboxed politie-apps, voor zover je überhaupt apps kunt installeren op je werktelefoon. De politiemedewerkers zetten hun privé-nummer niet in het algemene systeem. Waarom zouden ze, want iedereen heeft een werktelefoon.

[3raser]

Dus eerst denk je het, en daarna presenteer je het als een feit?

Wat dacht je van de honderden politie vrijwilligers die ook toegang hebben tot dit systeem. Krijgen die ook allemaal een telefoon van de zaak?

[beeldbuijs]

Even informeel nagevraagd en alle 'echte' politiemedewerkers krijgen een werktelefoon, zover ik na kan gaan, maar vrijwilligers niet.

Het probleem is meer dat sommige werknemers hun privé-nummer ook in outlook hebben gezet.

[Goffo]

Het probleem is ook niet deze data die gestolen is maar de spear phishing attacks die gaan volgen komende jaren welke allang niet meer allemaal beginnen met een e-mailtje maar steeds vaker via sociale media.

[Padje]

Ja heel raar verhaal Outlook, 365 enz zelfs ML en AI is er bij gehaald. Maar lijkt mij gewoon een GAL die ze hebben

[__fred__]

Op dit moment raken aan de lopende band complete adresboeken kwijt bij organisaties. Iedereen synct zijn lokale ad lekker met EntraID want handig. Vervolgens laten we de default optie van consent geven gewoon op alle users staan.

En dan is er altijd wel 1 van de vele medewerkers zo stom om in te loggen met zijn werk microsoft account op een vage website of online game. Lekker consent geven op User.ReadBasic.All en feest. voor Directory.Read.All en User.Read.All hebben Admin consent nodig, maar voor namen, foto’s en emailadressen is Microsoft net Facebook.


Let dus serieus goed op met je consent policies en sta gebruikers niet zomaar toe om consent te geven.

[3DDude]

https://ibestuur.nl/artik...en-naar-een-vrijwilliger/
Dit vond ik wel een goeie , kwam ik op via Bert Hubert die schrijft dit:

Wijze en pijnlijke woorden van Fleur 🎙🦊 van Leusden “De rol van CISO wordt wereldwijd verschillend ingevuld. In de Verenigde Staten is de CISO-rol echt een executive-functie. Die kan worden ontslagen vanwege een incident als dit. Maar die heeft dan ook een totaal andere rol, met budget en mandaat.” In Nederland heeft de CISO meestal de rol van onafhankelijke adviseur: kaderstellend en controlerend. “Het komt best vaak voor dat een CISO of een FG kritieke punten rapporteert, zonder dat er iets met die rapportages wordt gedaan.”

[DealExtreme2]

Exact dit. Nergens. En dat onzin verhaal het moet een land zijn, komaan... een outlook uitlezen

[rbr320]

Als je eenmaal binnen bent is een Outlook adresboek exfiltreren natuurlijk kinderspel. De moeilijkheid zit hem in het binnen komen. Het kan nog steeds een vijandig gezind land zijn die dat heeft gedaan.

[3raser]

Het binnen komen was via een account van een politie vrijwilliger. Die klikte op een malware link.
Dat kan iedereen dus gedaan hebben lijkt me. Je kunt je echter wel afvragen of normale hackers zich zouden richten op politie accounts. De kans dat je jezelf daarmee in de kijker speelt is groot.

[jeroen79]

Is dat niet iets dat detecteerbaar is?

Een gewone medewerker die in korte tijd via zijn mail client 50.000 adresboek items raadpleegt is opmerkelijk.

[metalmania_666]

Het was ook erg naïef dat dit niet het geval zou zijn.
Ik denk dat je er gewoon van uit moet gaan dat alles is gestolen, tenzij het op aparte afgeschermde servers stond waar degene van wie het account was, niet bij kon

[kodak]

De grens waar je van uit kan gaan verschilt van hoe je het bekijkt.

In een gunstig geval blijkt achteraf niets gestolen, in een heel ongunstig geval maakt een crimineel gebruik van exploits om de de meest vergaande hogere rechten te krijgen dan officieel de bedoeling is en heeft dan ook nog toegang tot alle gegevens genomen. Waar je redelijk nog vanuit kan gaan hangt dus van de omstandigheden af. En zo te lezen is daarvan bekend dat het niet zomaar om meer gaat dan toegang tot "visitekaartjes".

De grens lijkt dan vooral te liggen bij wat daar in staat. En dat is bijvoorbeeld meer dan men vermoed (waarbij je je kan afvragen hoe het kan dat ze dan steeds meer persoonlijke gegevens lijken te verwerken dan waar de verantwoordelijke weet van heeft). Het kan ook zijn dat ze steeds alleen maar noemen wat genoeg bewezen is (waarbij het niet lijkt te gaan om duidelijk kunnen of willen zijn welke persoonlijke gegevens er in de visitekaartjes verwerkt kunnen worden).

[mjtdevries]

Nee, jouw reactie is naief.
Het was van het begin af aan duidelijk dat het adresboek gestolen was.
Dat is iets waar iedere medewerker bij kan. En dan is het vanzelfsprekend dat datgene wat in het adresboek staat gestolen is.
Dus in ieder geval naam en email adres voor iederen. En alle andere velden waar standaard iets ingevuld is.

Er is helemaal geen indicatie dat er iets anders is gestolen en ook geen indicatie dat de hackers tot meer toegang hebben gehad dan het adresboek.
Als je alleen de inloggegevens van 1 persoon hebt kunnen compromiteren (en daar lijkt het sterk op) dan hoef je er totaal niet vanuit te gaan dat alles bij de politie is gestolen. (Tenzij die persoon forest admin is)

Wat alleen nogal knullig is van de politie is dat ze niet meteen hebben bedacht (en gemeld) dat er ook fotos in het adresboek staan.

[CAPSLOCK2000]

De zaak roept de vraag op of het nodig is dat er een "globaal" adresboek is waar iedereen bij kan? In de meeste organisaties waar ik kom is er 1 adresboek voor alles en iedereen, ongeacht of dat nu nodig is voor je werk. Voor de meesten is het waarschijnlijk genoeg om alleen de gegevens te hebben van hun directe collega's. Voor contact met andere afdelingen kun je beter gebruik maken van functionele adressen.
In kleine organisaties is het wel te begrijpen dat iedereen direct met elkaar communiceert, maar niet in een organisatie met duizenden medewerkers.

[Bor]

Voor de meesten is het waarschijnlijk genoeg om alleen de gegevens te hebben van hun directe collega's.

Dat gaat in vrijwel geen enkele organisatie op. Denk aan contact met bv HR, de congierge, beveiliging, ICT etc. Vrijwel elke organisatie kent bovendien afdelingsoverstijgende initiatieven.

In kleine organisaties is het wel te begrijpen dat iedereen direct met elkaar communiceert, maar niet in een organisatie met duizenden medewerkers.

Dat hangt helemaal van de organisatie af. Het is meer dan eens niet ongebruikelijk dat je ook eens contact nodig bent met een medewerker buiten je afdeling, locatie, bedrijf etc.

[TheRealProcyon]

Vertrouwenspersonen staan uiteraard als het goed is ook in zulke adresboeken en dienen makkelijk te bereiken zijn

[Bor]

Net als andere belangrijke personen en functies. Een adresboek is er niet voor niets. Je zou daar beperkt onderscheid in kunnen maken maar als je niet uitkijkt wordt dat al snel erg inefficiënt tot onwerkbaar.

[CAPSLOCK2000]

Dat gaat in vrijwel geen enkele organisatie op. Denk aan contact met bv HR, de congierge, beveiliging, ICT etc.

Dat kan dus prima via functionele adressen. [e-mail], [e-mail]. Daarvoor hoef je niet te weten welke poppetjes er precies achter dat adres zitten. Als je eenmaal contact hebt zou je contactgegevens beschibkaar hoeven stellen, maar de meeste mensen hoeven niet te weten wie er allemaal precies op zo'n afdeling zitten.

Vrijwel elke organisatie kent bovendien afdelingsoverstijgende initiatieven.

Het is prima dat je de geevens hebt van mensen met wie je samenwerkt, maar daarvoor hoef je niet álle gegeven van iedereen te kunnen zien.

Dat hangt helemaal van de organisatie af. Het is meer dan eens niet ongebruikelijk dat je ook eens contact nodig bent met een medewerker buiten je afdeling, locatie, bedrijf etc.

Daarvoor is het niet nodig dat iedereen alle gegevens kan inzien.

[Bor]

Dat kan dus prima via functionele adressen. [e-mail], [e-mail]. Daarvoor hoef je niet te weten welke poppetjes er precies achter dat adres zitten.

Wat veelal resulteert in een "kastje naar de muur" en het niet direct weten met wie je communiceert. Bovendien zal je die functionele mailboxen of distributielijsten moeten bemannen. Dit is lang niet altijd een werkbare situatie.

Daarvoor is het niet nodig dat iedereen alle gegevens kan inzien.

Nee, maar wel de relevante. Hoe bepaal je op voorhand wat relevant voor iemand is en wat niet?

[CAPSLOCK2000]

Wat veelal resulteert in een "kastje naar de muur" en het niet direct weten met wie je communiceert.

Je mag best weten met wie je communiceert, maar je hoeft niet vooraf iedereen te kennen waar je misschien ooit mee zou kunnen gaan communiceren.

Bovendien zal je die functionele mailboxen of distributielijsten moeten bemannen. Dit is lang niet altijd een werkbare situatie.

Dat is eenvoudig op te automatiseren door die permissies te koppelen aan je functie. Dat gebeurt op veel plekken toch wel. De functionele adressen moet je sowieso hebben zodat je contact kan zoeken als je niet wie je precies nodig hebt.

Nee, maar wel de relevante. Hoe bepaal je op voorhand wat relevant voor iemand is en wat niet?

Net als alle andere vertrouwelijke data: zo min mogelijk.

Je begint met helemaal geen permissies en zet dan alleen essentiele basistoegang op.
Vervolgens richt je een procedure in waarmee mensen beargumenteerd toegang tot bepaalde info kunnen vragen. Die aanvragen laat je beoordelen door de eigenaar van de data volgens richtlijnen die zijn opgesteld door security & juridische zaken. Regelmatig review je de permissies en ruim je ze op of schrijf je basisregels.

In sommige gevallen kun je dat deels automatiseren zoals een helpdeskmedewerker die automatisch toegang krijgt tot de gegevens van een beller.

Bij een grote organisatie heeft dat natuurljk veel voeten in de aarde, zeker als je het achteraf moet doen in plaats van "green field", maar dat is hoe je zo iets aanpakt.

[Aldy]

We hebben het hier natuurlijk wel over een landelijke organisatie, waarbij het bijna onmogelijk is om je collega's uit andere regio's te kennen. En als er buiten de regio contacten moeten zijn, dan gaan die contacten meestal via leidinggevenden.

[Bor]

Nee hoor. Contacten buiten de regio zijn niet vreemd, ook niet binnen de politie. Mensen werken samen, ook buiten hun regio en dat gaat echt niet altijd via leidinggevenden. Dat geldt voor bijjna alle grote bedrijven.

[Reactie gewijzigd door Bor op 14 oktober 2024 19:25]

[Aldy]

Er wordt weleens buiten de regio gewerkt, maar mijn ervaring is dat de regio waar gewerkt wordt niet altijd op de hoogte wordt gebracht. En dat samenwerken gaat meestal via de leidinggevenden en als er op lager niveau wordt samengewerkt, hoeft niet de hele afdeling alle adressen van de medewerkers van die andere afdeling te hebben en vice versa.

[Praetorian]

Het vermoeden is geloof ik dat er een kopie is gemaakt van het Offline Address Book (OAB), daar zitten ook de foto's in inderdaad.

[freaq]

Kwalijke hier is dat men, veel te snel concludeerde dat het niet het geval was.

Zeg dan iig zoiets als,
“We weten dat namen etc buitgemaakt zijn maar hebben nog geen bewijs dat foto’s of andere imformatie bemachtigd is. Maar dat is nog niet volledig uitgesloten.”

Door te zeggen dat dat niet bemachtigd is zet je dingen te slap neer, en heeft men mogelijk verkeerde beslissingen gemaakt met bijv undercover agenten.

Zeer slordig, zeer gevaarlijk

[banaj]

Het is volgens de politie zeker dat een ander land verantwoordelijk is voor de cyberaanval.

Waar komt deze wijsheid vandaan? Jullie eigen berichtgeving over het bericht van de politie:

We zijn door de inlichtingendiensten geïnformeerd dat het zeer waarschijnlijk is dat een statelijke actor verantwoordelijk is voor het cyberincident

Dat is nogal wat anders dan dat het zeker is. 't Klinkt natuurlijk wel spectaculair. "We zijn gehackt door een schooljongen" zou ook zo knullig klinken...

[mjtdevries]

Het zou niet de eerste keer zijn dat er achteraf blijkt dat het helemaal geen ander land was, maar een jongen van 17 in het eigen land.
En het lijkt ook geen bijzonder geavanceerde hack te zijn geweest. Inloggegevens van 1 persoon compromiteren gebeurt aan de lopende band door ransomware criminelen. Daar heb je de kennis van staats hackers niet voor nodig.

[FrostyPeet]

Begint toch beetje te lijken op het bekende consultants protocol van gedoseerd bekendmaken van een gevoelige data diefstal. Elke keer iets nieuws bekend maken en dan even de boel laten uitrazen voordat het volgende punt bekend wordt gemaakt.

Ging van zakelijke emails van interne medewerkers, toch telefoonnummers, toch soms privé gegevens, toch soms externe partijen, toch soms foto's.

Ook de reactie van de korpsleiding dat het "maar de Russen" zijn en geen criminele bende vond ik aardig spindokter achtig. Net als dat "bezorgde medewerkers meldpunt".

Kan nu geconcludeerd worden dat het hele interne "visitekaartjes systeem" gestolen is? Dat de Russen, als die het deden, zich weinig lijken aan te trekken wat Nederland eraan doet? Dat er knarsentandend wat protocollen komen om dit soort zaken in de toekomst moeilijker te maken?

[ShadowWorrier]

Dit incident is toch erg bijzonder.

- Een gehackt outlook account is niet super uniek, met mitm aanvallen via phishing kan dit voorkomen
- een gelekt adresboek is niet uniek, het is iets wat aanvallers vaak automatisch downloaden na een gehackt account.

Wat het wel uniek maakt is dat hier zo breed over wordt gecommuniceerd, dat zag je niet eerder.

Wat mij betreft goed iets, veel bedrijven focussen vooral op een audit log om impact van een breach vast te stellen. Echter hier staat/stond niet altijd alles in maar dat betekent niet dat het niet gelekt is

[computer1_up]

In de basis ben ik het daar wel mee eens, maar helaas vind ik de communicatie erg onfatsoenlijk en respectloos naar de getroffen werknemers van de Politie. Er wordt veel te snel vanalles geroepen, waarvan steeds vaker blijkt dat er toch meer aan de hand is dan oorspronkelijk werd geroepen (krijg ik bijna Rundfunk, “leeraar Duits” indrukken van, “of nee toch niet”). Nu is het geëvolueerd van harde uitspraken van “er is absoluut niks verder gestolen” naar “ohja misschien wel misschien niet is er toch meer gestolen oepsie woepsie” en “er zit een ander land achter maar we willen nog niet toegeven wie”, dit schiet dan weer veel te ver door in ambiguïteit waar de werknemers vooral de dupe van worden. Eerst wordt men valse hoop gegeven en daarna wederom in de steek gelaten. Om nog maar te zwijgen over de gevolgen die deze “hack” in de eerste plaats kan hebben voor agenten en bijv. recherge etc. en dat men niet eens fatsoenlijk werd ingelicht (ja, vanwege de korte tijdslijn tussen hack en mededeling hebben veel medewerkers nog het nog niet kunnen zien intern, maar dit zou uberhaupt nooit een issue mogen zijn geweest in mijn ogen). Ik kan me goed voorstellen dat er nu een behoorlijk aantal agenten, zeker agenten die te maken krijgen met zwaardere/georganiseerde criminaliteit, zich nu heel erg zorgen maken over hoe veilig ze zijn. Immers, voor zover ze weten zijn er wel al een aantal belangrijke gegevens gestolen, maar geen adresgegevens en dergelijke. Maar met het iedere keer toegeven dat er toch meer is buitgemaakt dan gedacht, zullen er genoeg agenten zijn die zich dan afvragen “wat is er nog meer gestolen dat we nog niet weten?”.

Mijns inziens is dit een enorm falen van de politie, de hack zelf is volgens mij nog minder het probleem dan de manier waarop ermee omgegaan wordt. Dat is sterk bepalend voor de veiligheid van de werknemers.

[TheRealProcyon]

Als oud DIVD vrijwilliger vind ik het persoonlijk erg frappant dat de minister alsook anderen in bestuur van de politie nu constant met dingen naar buiten komen om het dan weer terug te moeten draaien omdat het toch blijkt dat het niet helemaal juist is. Eerst intern onderzoek volledig afwachten, mensen informeren met het risico op zo groot mogelijk, want interne systemen zijn getroffen en daarna verder inlichting geven lijken mijns inziens de beste stappen hier.

[Reactie gewijzigd door TheRealProcyon op 9 oktober 2024 20:01]

[computer1_up]

Dit idd, anderzijds wel belangrijk dat men zo spoedig mogelijk concrete info krijgt, en alles eerst 100% uitzoeken en dan mededelen kan nog wel eens écht te lang duren. Maar wat je idd zegt, alles op code rood en eerst onderzoeken wat er écht is gebeurd zou misschien wel de veiligheid van de agenten en eventuele gezinnen(!) beter waarborgen. Mocht uiteindelijk tóch blijken dat her en der ook bijvoorbeeld (woon)adresgegevens zijn gestolen (en nu openbaar te vinden), dan is dit niet alleen voor de agenten zelf potentieel enorm gevaarlijk maar ook familie/dierbaren/inwonenden.

[laurens0619]

Dit incident is zo raar op dat gebied. Organisaties zijn altijd zeer voorzichtig wat ze naar buiten brengen hier lijkt er van alles achter elkaar te komen, vanuit verschillende hoeken en ongecontroleerd.
Dat gecombineerd met "politie gebruikt codenamen" "het was rusland" etc etc
Ik heb al meer dan 1x gedacht: Dit incident is nep en is een soort awareness campagne. De manier waarop dit gaat _kan_ haast niet echt zijn.

[TheRealProcyon]

Helaas kan het mijns inziens niet anders dan echt zijn en wijst de manier van handelen op extreme incompetentie. De Rijksoverheid heeft overigens zoals je kan verwachten over het algemeen wel security drills maar die worden niet bepaald publiekelijk genoemd of bekend gemaakt hoe en wat

[neonite]

Klinkt alsof iemand is ingelogd is geweest, naar portal.azure.com is gegaan en daar een kopie heeft gemaakt van de AD.

[mjtdevries]

Dan was er veel meer buitgemaakt dan nu het geval is.
Gezien de informatie die de politie heeft gegeven is een O365 adresboek veel waarschijnlijker.

Daarom vind ik het staatshacker verhaal ook dubieus. Want AD is grotendeels leesbaar voor iedere geauthentiseerde gebruiker en daar staat veel meer interessante info in dan het adresboek. Iemand die een gerichte hack tegen de politie doet weet dat ook.

Maar voor beheerders hier is het wel goed om eens naar portal.azure.com te gaan om zelf te zien hoeveel info daar staat en te zorgen dat bulk acties daar uit staan. En dat je monitoring op dat soort acties doet.

[neonite]

Office365 adresboek is hetzelfde als AD

[mjtdevries]

Nee, dat is niet hetzelfde.
Voor leken vergelijken we dat vaak wel met elkaar omdat het makkelijk uit te leggen is.
Maar AD bevat veel meer informatie dan het O365 adresboek. Het adresboek word wel gevuld met informatie die uit de AD komt.

[Servowire]

Lelijk hoor.

Een simpel idee: Weer gaan werken met "usernames" ipv echte namen. Bijv vroeger op iSeries waren usernames 3 of 4 tekens lang. Eerste letter van je voornaam, eerste letter achternaam en laatste letter. In mijn geval SWE.

Maarja security by obscurity is eigenlijk ook geen oplossing.

[MeNTaL_TO]

.

[Reactie gewijzigd door MeNTaL_TO op 11 oktober 2024 12:52]

[Servowire]

>welke dat wel bevat is juist je emailadres

design flaw