Duizenden e-mailadressen gestolen bij aanval op Eindhovense jeugdzorgorganisatie

Duizenden e-mailadressen van de Eindhovense organisatie Combinatie Jeugdzorg zijn gestolen bij een cyberaanval. De e-mailadressen zijn vooral van andere organisaties, maar er zitten ook een aantal bij van cliënten.

De aanval vond vorige week plaats, schrijft Combinatie Jeugdzorg op zijn website. Via een phishingmail wist een aanvaller in de mailbox van een van de werknemers te komen. Dat account is dichtgezet om verdere schade te voorkomen. Dat lukte echter niet voordat de aanvaller e-mailadressen wist buit te maken. De personen van wie e-mailadressen zijn gestolen, zijn daarover geïnformeerd.

De organisatie laat tegenover het Eindhovens Dagblad weten dat het gaat om meer dan tienduizend e-mailadressen. Met die e-mailadressen is vanuit de mailbox in het verleden gecommuniceerd. Of er alleen e-mailadressen uitgelekt zijn of ook persoonlijke of medische informatie over gezinnen of kinderen, wordt nog onderzocht. Volgens een woordvoerder is die kans echter klein. "Mocht dat toch het geval zijn, dan informeren wij de betrokkenen persoonlijk. We hopen dat we dit zo snel mogelijk helder krijgen.”

Combinatie Jeugdzorg zegt direct maatregelen te hebben genomen om te voorkomen dat dit nog een keer kan gebeuren. Ook wordt nog diepgaand onderzoek uitgevoerd naar de inhoud van het incident. Vooralsnog weet de organisatie niet wie er achter de hack zit of waarom de aanval is uitgevoerd. "Tot op heden hebben we niets vernomen van de hacker." Het datalek is gemeld bij de Autoriteit Persoonsgegevens. Combinatie Jeugdzorg biedt alle betrokkenen excuses aan.

Reacties (56)

[JJ Le Funk]

Via een phishingmail wist een aanvaller in de mailbox van een van de werknemers te komen.

lijkt wel dezelfde methode als bij de Politie: een medewerker klikt op foute link en hacker krijgt toegang tot de lokale mailbox (Office 365?) en begint het adresboek van de organisatie te scrape'en.

[oef!]

In vaktermen wordt het een business email compromise genoemd. Samen met ongepatchte firewalls is dit waarschijnlijk verantwoordelijk voor 80% van alle cybersecurity incidenten.

Aan alle bedrijven: leid je mensen op, implementeer overal mfa, segmenteer je netwerk (backups, hypervisors!), gebruik goede password managers en patch je infra of vervang het. Met de kosten en het gedoe van een breach ben je al snel tienduizenden euro's en een hoop goodwill kwijt, nog los van je productieverlies.

[Reactie gewijzigd door oef! op 10 oktober 2024 10:07]

[laurens0619]

Goede tips maar bij Business Email Compromise is de methode steeds vaker een MiTM-Proxy aanval. Mfa helpt hier dus helaas niet bij.

Heel lastig dit type aanvallen tegen te gaan. Strakke account monitoring/mail filtering helpt enorm maar preventief kun je het beste inloggen restricten tot company owned devices (intune/azure ad joined)

[itlee]

Leuk verhaal maar als je een domme wortel in je bedrijf hebt die op een link klinkt en je troep wordt encrypted gaan ook al je netwerk drives mee... Dus kan je leuk doen met je vlans maar als een user ergens bij kan met lees en schrijf rechten heb je toch gezeik.

[Cowamundo]

Zou het toch wel kwalijk vinden als er persoonlijk gegevens in een standaard mail omgeving staan, en al helemaal in een online office 365.

Volgens mij hoort zoiets in een apart systeem te staan met MFA erop.
De "reguliere" mail zou dan alleen gebruikt worden om iemand mede te delen dat er informatie beschikbaar staat in de secondaire omgeving. Helaas is dat natuurlijk ook niet 100% waterdicht maar daar kun je niet zo makkelijk alles uit trekken.

[MeetTommy]

Helaas zijn de meeste MFA-methoden die worden gebruikt tegenwoordig niet phishing resistent.

In een authentication-in-the-middle aanval doen gebruikers (zo denken zij) een legitieme inlogpoging waar hen wordt gevraagd hun reguliere MFA te doen. Deze proxy's zijn zo gerafineerd en maken alles met huisstijl en alles na waardoor deze voor de leek echt niet meer van echt te onderscheiden is.

Echter vangt de aanvaller het token op die door de uitgever (in dit geval Microsoft) is gewaarmerkt als "gedaan met MFA". Daardoor kunnen de aanvallers het token misbruiken om te authenticeren zonder dat zij zelf MFA hoeven te doen.

MFA is dus (zeker bij phishing) niet zaligmakend. Je kan oneindig datascheiding en perimeterniveau's toepassen, maar de werkelijkheid in het bedrijfsleven is dat de mate van beveiliging een afweging is tegen de werkbaarheid en productiviteit voor de medewerkers. Geen enkele methode is risicoloos.

[Reactie gewijzigd door MeetTommy op 10 oktober 2024 10:09]

[asing]

Er zijn mogelijkheden om het voor de aanvaller moeilijker te maken. Zo kan je iemand die aan "unusual travel" doet vragen om een extra MFA te doen. Unusual travel is wanneer iemand zo snel van locatie wisselt dat dat fysiek niet mogelijk is. Ook is het mogelijk om een geo restrictie in te bouwen zodat er alleen toegang kan worden gegeven vanuit 1 land.

Verder is er natuurlijk een Defender for Office 365 licentie die kan helpen om phishing te stoppen. Denk aan safe-URL.

Alles hierboven zit in extra licenties en kosten extra geld.

[satya]

Trusted devices,, iemand??

[asing]

Dan moet je iedereen een laptop en een telefoon geven. En iedereen verbieden om een eigen toestel te gebruiken.

Je wordt met pek en veren het pand uit gejaagd denk ik.

[satya]

Bij ons heeft iedereen een laptop en een telefoon, en bij overheidsklanten zien we niet anders.

[asing]

Ik zit hij bij de overheid met mijn eigen (Linux) laptop en eigen telefoon. De laatste 4 jaar heb ik eigenlijk alleen maar BYOD gehad.

[BCC]

BYOD FTW

[wica]

Zo kan je iemand die aan "unusual travel" doet vragen om een extra MFA te doen.

Deze optie bestaat al ruim 10 jaar in Google workspace en is idd een aardige beveiliging.

[laurens0619]

Jup, sinds de komst van (mitm)proxy zie je deze aanvallen erg vaak terugkomen.
Een kleine nuance: Er wordt niets nagemaakt in huisstijl, het is een proxy. Hij proxied dus alles precies door vanaf de backend, inclusief huisstijl maar je ziet zelfs je office365 mailbox/account nadat je via de phishing bent ingelogd. Het valt mensen dus niet eens op achteraf dat ze via een proxy ergens zijn terechtgekomen...

[pascallj]

Hoe zou dit kunnen werken met SSL certificaten? Je kunt het dan wel doorsturen via een proxy, maar je kan de data niet uitlezen zonder dat je je eigen certificaat hebt geïnstalleerd op de pc van de gebruiker en de data on the fly aanpast.

[laurens0619]

Even heel simplistisch:
- Aanvaller host proxy op https://login.fakemicrosoftonline.com. Inclusief valide TLS aangevraagd op dat domein. Proxy is ingesteld dat alles wat binnenkomt reverse proxy wordt doorgezet naar https://login.microsoftonline.com

- Slachtoffer gaat naar de fake url, met juist TLS certificaat. Proxy ziet dus al het verkeer en kan de cookies/sessions alles eruit halen.

Die proxy tool is zo volwassen dat hij zelf het TLS certificaat bij letsencrypt aanvraagt. Het wordt dus allemaal automatisch voor je ingesteld.

https://docs.mitmproxy.or...rks-transparent-https.png
https://github.com/mitmproxy/mitmproxy
YouTube: 🔥 Capturing HTTPS Traffic and Viewing it in PLAIN TEXT with MITMProxy 🔥

[Reactie gewijzigd door laurens0619 op 10 oktober 2024 11:37]

[pascallj]

Ah ja zo een mitm proxy. Op een neppe url zie ik hoe dat zou kunnen werken. Ik zat even met een mitm proxy op netwerkniveau in m'n hoofd (met correcte url).

[SinergyX]

Maar dan snap ik nooit 1 ding niet, veel mensen werken met wachtwoord managers of de ingebouwde browser versies, die gaan geen gegevens op zo'n nepsite invullen, dat zou toch direct een alarmbelletje moeten zijn? Of mis ik daar een element dat ze zelfs die managers kunnen neppen?

[laurens0619]

Dat is een goede,
Gedeelte van het antwoord is denk ik dat niet iedereen zon password manager gebruikt. Helemaal in corporate omgevingen waar je het AD wachtwoord nog vaak moet wijzigen.

En dat die gebruikers ook gewend zijn dat het niet altijd vlekkeloos op domain matching werkt, en ze dus alsnog het wachtwoord invullen als ze een herkenbare microsoftonline pagina zien

[SinergyX]

Oh het zullen absoluut de 'zwakste schakel' gebruikers zijn, maar bij de beveiligingstrainingen haal ik dit vaak aan en dit wordt veelal weggezet als 'maar hackers zijn slim', dat ik me dan afvraag of mijn technische kennis wat achterhaald is of dat gewoon bul.. is.

Zo krijgen wij regelmatig op ons werk van die phishingtesten, denk dat ik 9/10 direct merk door enkel te zien dat mijn gegevens niet automatisch worden ingevuld, vandaar dat in zulke situaties ik me afvraag.. zou het mogelijk zijn?

[laurens0619]

ah zo nee dat is niet te faken inderdaad.
Goed punt om daar op te letten, handig om mee te nemen in trainingen

[walteij]

Is het niet veel makkelijker om het authenticatietoken dat op het systeem zelf staat te kopiëren?
Dus gebruiker doorsturen naar een website, die een browserlek misbruikt en zo het token kan uitlezen en kan misbruiken?

[laurens0619]

het token stelen ze inderdaad vaak via die proxy.
Of dat via een browserlek ook kan weet ik niet. Sinds veel browsers zichzelf updaten zijn deze vaak wel redelijk up2date.

Ik denk niet dat er veel clients op je phishing website terechtkomen die een browser kwetsbaarheid hebben waarmee je de sessie token van een ander domein kunt stelen.

[ZeRoC00L]

Zou het toch wel kwalijk vinden als er persoonlijk gegevens in een standaard mail omgeving staan, en al helemaal in een online office 365.

Keertje heen en weer mailen en je hebt al een naam en mailadres, 9 van de 10 keer nog meer gegevens verwacht ik.

[Polderviking]

Hoe zie je dat werken exact?
Als je mensen een e-mail stuurt betekend dat onherroepelijk dat je contact info in je mailbox hebt anders heb je geen adres om een mail aan te richten.

[kdekker]

Als je in een (groot) bedrijf werkt, dan is het niet meer dan logisch dat er in het adresboek minimaal voornaam, achternaam, mailadres, locatie en eventueel nog dingen als functie staan. Als een bedrijf migreert van on-Prem Exchange naar de cloud, dan staan daar ook die gegevens. Anders weet je elkaar niet te vinden. En MFA gebruiken om een collega aan de andere kant van de oceaan te vinden is een beetje onpraktisch.

Als het goed is moet je bij inloggen op je PC of laptop de nodige veiligheidsstappen nemen, waar ook MFA kan horen. Realiseer je dat als je een bedrijfsgebouw binnen kunt komen ook al een 'authenticatie' hebt gehad (pas of sleutel). En als je thuis werkt, zit er vaak MFA op de VPN client die gebruikt wordt. Dus eenmaal binnen = ook echt binnen.

Een IT afdeling zal best wel zoveel mogelijk mail scannen om te kijken of het geen malafide mail is, maar met (open) internet (geen balcklists) en mail, ook van externen, heeft een werknemer ook een grote verantwoordelijkheid. Net zoals deze in de privesituatie ook heeft. Common sense zeg maar. Het is altijd een balans tussen gezond verstand en barrieres opwerpen vanuit de IT hoek om de impact van 'dommigheden' te beperken. Dat is nooit waterdicht. En dat weten hackers.

[M3m3nt0m0r1]

Jup. Het heeft er alle schijn van.

[Jan121]

Nee, een phishing mail is nepmail met een link naar een scam website waarop je vervolgens de inloggegevens invoert.

"Uw bankrekening is geplunderd. Log snel in op ingbank.scam"

Een foute link is iets anders. Dan is er software 'lek'.
Foute link kan duiden op
- een link naar een bijlage met malware. Die mag nooit met 1 klik runnen.
- link naar foute website met malware. Dan is de browser lek.
- link met data-URL Javascript, email programma mag nooit JS uitvoeren.

Ergens meer info over de technische achtergrond van die politiehack?
En een politievrijwilliger die 'geklikt' zou hebben?? Klinkt bijna als cryptische omschrijving van infiltratie 😛

[willieverhoef]

Mag ik ervanuit gaan dan O365 altijd MFA heeft aanstaan?. Dus dan is het al wel een aanval met een linkje of een site die je laat inloggen met je credentials en dan nog de MFA onderschept? Maar persoonlijk lijkt met met 10.000 mailadressen, dit geen "normaal" account ik weet niet hoeveel contracten mensen hebben, maar dit lijkt mij meer een account voor marketing.

[JJ Le Funk]

als je de apps (Outlook, Teams, etc) op je laptop hebt draaien, zal je niet continu MFA nodig hebben om mail en adresboek te checken. Vaak draaien deze apps in de achtergrond en voor de gebruiker volledig toegankelijk na eenmalige SSO-MFA login die verder onthouden wordt voor een x periode zodat je niet opnieuw hoeft aan te melden, behalve dan inloggen op de Windows werkplek zelf.

PS: dit is allemaal speculatie, er zijn te weinig details vrijgegeven over de exacte werkwijze van de hacker om dit met zekerheid te kunnen stellen.

[Reactie gewijzigd door JJ Le Funk op 10 oktober 2024 11:14]

[dutchgio]

Dergelijke berichtgeving kan ook kwaadwillenden op ideeën brengen natuurlijk; als het bij de Politie lukt is dat bij andere organisaties wellicht ook mogelijk.
Je hoeft het wiel dan ook niet opnieuw uit te vinden.

[Bkim]

Melden bedrijven het meer waardoor het meer in het nieuws komt, zoekt journalistiek hier actief naar of is NL zo lek als een mandje

[corporalnl]

Het is een combinatie van. Je hebt gewoon te maken met mensen, op verkeerde link klikken en je bent klaar. Daarnaast hebben bedrijven meldplicht, dus je zal het vaker te zien krijgen.

Je kan er beter vanuit gaan dat je gegevens al op straat liggen, want dat is het al 9 van de 10 keer. ( dan heb ik het vooral over mail adres en 06 nummer )

[Tha Render_2]

Het krijgt gewoon meer aandacht. Dit gaat nu puur over het scrapen van email adressen, niets meer (toch voor zover ze weten), wat heb je dan in de praktijk? Een lijst met email adressen, that's it .. Nu wordt hierover een nieuwsartikel gechreven, vroeger waren dat doodnormale praktijken.. Lijsten van emailadressen stonden zelf vaak publiek beschikbaar. 20 jaar geleden organiseerden wij evenementen en kon je overal scrapen en lijsten downloaden om nieuwsbrieven naartoe te sturen.

Toen kwam GDPR, meer focus op privacy, voetbalclubs moesten de lijst van leden offline halen etc.

[Sebastian1313]

Uit welke statistieken blijkt dat er in Nederland meer data lekken zijn dan in andere landen? Ik kon het zo even niet terugvinden namelijk.

[walteij]

Bedrijven zijn wettelijk verplicht om datalekken te melden vanuit de AVG bij de Autoriteit Persoonsgegevens.

[M3m3nt0m0r1]

Voordat iedereen begint te roeptoeteren dat diegene een prutser is, stom is dat hij/zij in een phising email is getrapt enzovoorts.
De phising emails worden steeds geraffineerder. En daardoor steeds moeilijker te doorzien voor een gemiddeld persoon. Zeker als er vanuit de email druk wordt gelegd op de betreffende persoon.

[Rhinosaur]

Maar met zo een functie en alsnog het gebrek aan digitale vaardigheden vind ik alsnog dat je een prutser bent. Maar de verantwoordelijkheid ligt bij het management.

[walteij]

>80% van de computer gebruikers hebben een chronisch tekort aan digitale vaardigheden.
Digitale vaardigheden zijn immers een kostenpost, mensen moeten opgeleid worden en moeten begrijpen dat deze kennis en kunde toegevoegde waarde voor ze heeft.
Jan van de salarisadministratie heeft een trucje geleerd en daarmee kan hij wat hij moet doen om zijn werk goed uit te voeren. Al het overige is onnodige ballast voor hem en heeft voor hem geen toegevoegde waarde.

[DinDin]

Het is misschien te kort door de bocht en ook niet altijd mogelijk, maar ik ik zeg altijd om niet op linkjes in een mail te klikken.
In plaats van het linkje aan te klikken, ga naar de betreffende website en log daar dan met je gegevens in.

Bijlages openen, altijd met voorzichtigheid. Neem anders even contact op met de persoon van wie je de mail hebt ontvangen of het juist is dat er een bijlage bij zit. Een paar jaar geleden krijgen we vaak mailtjes met een PDF bijlage, maar in de werkelijkheid stond er nog .exe erachter en was het een uitvoerbaar bestand en geen PDF.
In een mailbericht was dat niet zichtbaar. Pas als je de bijlage vanuit de mail naar een map op de computer had gesleept en extensies in Verkenner had aangezet, dan kon je pas zien dat het geen PDF bestand was.

[willieverhoef]

Daar stop het natuurlijk als je password reset mail krijgt of bevestigings mails.

[DinDin]

Klopt inderdaad. Het is dan ook niet altijd mogelijk, maar aan deze had ik tijdens het typen van mijn reactie niet aan gedacht.

Dan kom je inderdaad niet verder met het resetten van een wachtwoord...

[GRerink]

Ik begrijp ook niet wat mensen bezielt om op linkjes in emails te klikken. Dit zou je echt alleen kunnen doen bij afzenders die geverifieerd zijn (interne organisatie) en dan nog goed controleren wat voor link het is. Tegenwoordig is het veel logischer om linkjes in een andere omgeving te zetten zoals teams.
Veel bedrijven hebben een awareness campagne die regelmatig wordt gelanceerd om medewerkers bewust te maken van de gevaren van o.a. dit soort mails.
Ik zag gisteren een goede actie van de overheid om online oplichting tegen te gaan. Dit soort zaken mogen hier ook wel in meegenomen worden.

[michaelkamen]

Ik vind het juist kwalijk dat als ik in Outlook een document uit Onedrive toevoeg, dat Outlook dit als linkje plakt (met alleen de bestandsnaam als tekst) ipv het als bijlage toevoegt.
Dat maakt phishing veel makkelijker.

[walteij]

Van de andere kant hou je als organisatie wel de controle over waar je documenten staan en blijven, want met conditional access en DLP policies kun jij heel precies aangeven wat er wel en niet mag gebeuren als een extern iemand een document op OneDrive opent (wel of niet printen/downloaden, opslaan op een andere locatie etc)

[Tweddy]

Titel gewijzigd.

[Reactie gewijzigd door Tweddy op 10 oktober 2024 09:38]

[sIRwa3]

ben normaal een glas half vol persoon maar ben benieuwd naar de follow ups, het begint altijd met: Email adressen gestolen, en later o, misschien ook wachtwoorden al dan niet hashed, followup 3: o en misschien ook adressgegeven etc.. kort gezegd, ik zie een trend van enorm downplayen in dit soort events, wees gewoon eerlijk? nogmaals, we gaan het zien..

[CPV]

Combinatie Jeugdzorg zegt direct maatregelen te hebben genomen om te voorkomen dat dit nog een keer kan gebeuren.

Kijk, 100% waterdicht gemaakt, daar hebben we wat aan.
Wat waren die maatregelen?

[walteij]

De betreffende PC door de shredder, de medewerker ontslagen.

[mariomario]

het klinkt als terug naar pen en papier.

[ShadowWorrier]

Ik denk dat we meer van deze berichten gaan zien de komende tijd...
Microsoft heeft namelijk onlangs voor meer gebruikers een audit log toegevoegd waamee je kunt zien welke emails zijn geraadpleegd vanuit een (gehackte) sessie. Zonder die log is het lastig te bepalen welke emails zijn geopend na een gehackt account,

Deze log was eerst alleen beschikbaar als je een bepaalde licentie had. Na ernstige incidenten in het verleden heeft Microsoft besloten (onder druk overheid?) deze functie breder uit te rollen.

Conclusie: Deze emailadressen, maar ook adresboek van politie, zijn waarschijnlijk al vaker gelekt maar het was voorheen niet aan te tonen met een log.

https://techcommunity.mic...dard-logs-in/ba-p/4144454
https://www.bleepingcompu...ilities-after-may-breach/

[turniphead]

Jaa, goed idee! Laten we de politie (die had hetzelfde probleem) en de een jeugdzorg organisatie financieel kapot maken. Dat gaat natuurlijk helemaal niet voor een hoop extra nevenschade zorgen

Ik denk dat deze 2 situaties vooral pleiten voor het compartimentaliseren van je data, want phishing ga je zonder een grondig anders opgebouwd internet niet 100% oplossen. Natuurlijk moeten er scherpe consequenties zijn, en strenge toezicht (dus meer geld naar toezichthouders), en het belangrijkste is dat er van geleerd wordt. Wat ik me ook voor kan stellen dat er managers verantwoordelijk worden gehouden.

Maar de kapitalistische gedachte dat oneindig geld afpakken dan maar de oplossing moet zijn (zeker bij maatschappelijk belangrijke partijen) vind ik wel heel kortzichtig, het spijt me.

Het doel van boetes is uiteindelijk preventie (dat zou het moeten zijn), een organisatie in geldnood brengen werkt juist aanjagend. Een organisatie in stress maakt over het algemeen niet de beste lange termijn beslissingen.

[ZeRoC00L]

Jaa, goed idee! Laten we de politie (die had hetzelfde probleem) en de een jeugdzorg organisatie financieel kapot maken. Dat gaat natuurlijk helemaal niet voor een hoop extra nevenschade zorgen

Mooi verwoord, en als toevoeging: Iedere euro boete kan niet naar jeugdzorg toe....

[Frame164]

Om te beginnen zou de IT-afdeling eens flink op hun flikker moeten krijgen. Niet alleen het management maar iedereen moet worden wakker geschud. Er is immers geen manager die zegt dat je een lek moet maken. Het zijn in eerste instantie IT-ers die de boel hebben verwaarloosd. De uitvoerenden zijn professionals en daarvan mag je verwachten dat ze hun werk serieus nemen en als er problemen zijn ze dit melden en oplossen.

[Cranslove]

Dan kun je de 'kosten' toch op deze persoon verhalen? ontslag wegens nalatigheid bijvoorbeeld. Dan moeten er koppen rollen. Alleen zo wil men het leren. Aanpakken die handel. Dan gebeurd het namelijk niet weer en doet men wel gewoon waarvoor ze duur betaald worden.