Cybercriminelen stalen mogelijk gegevens werknemers en patenten Casio

Cybercriminelen claimen dat er verschillende gevoelige gegevens gestolen zijn van Casio. Het Japanse techbedrijf erkende dat er op 5 oktober een datalek heeft plaatsgevonden, maar deelde geen details over de gegevens die daarbij mogelijk betrokken zijn.

Het bedrijf erkende op 8 oktober dat het enkele dagen daarvoor slachtoffer was van een cyberaanval waardoor bepaalde services verstoord werden. Casio doet nog onderzoek naar de gevolgen van de ongeoorloofde toegang tot zijn systemen en heeft tot dusver geen details over de mogelijk gestolen gegevens gedeeld.

BleepingComputer meldt dat een relatief kleinschalige ransomwarebende achter de cyberaanval claimt te zitten. De bende zegt over ruim 200GB aan bedrijfsgegevens van Casio te beschikken, waaronder persoonsgegevens van werknemers, patenten en andere 'vertrouwelijke informatie'. De claims van de bende zijn vooralsnog niet geverifieerd.

Reacties (42)

[JorneB]

Er word 200GB aan data gedownload (dus ook geüpload) en dat valt niet op? Desnoods automatisch? Denk ik nu echt te simpel?

[Kees]

Dan denk je inderdaad veel te simpel. Zeker als je al in het netwerk zit is het eenvoudig om uit te vogelen welke clouddiensten zo'n bedrijf gebruikt. Stel dat ze Google diensten gebruiken, dan maak je een eigen account aan bij Google en upload je die data naar je eigen Google drive (en download het daarvandaan weer op je eigen machine).

Dat gaat dan echt niet opvallen, zeker in grote bedrijven die met veel data werken.

[supersnathan94]

Dat zou wel degelijk op moeten vallen. Een legitieme werknemer die een hele directory aan gegevens op een niet vertrouwd account zet? Dat is een bedrijfsrisico van heb ik jou daar.

Je kunt ook in google drive gewoon ACLs instellen om downloaden te voorkomen. Moet wel op filebasis, maar klinkt als een goed te automatiseren iets:

https://support.google.co...ting-or-copying-your-file

[Kees]

Ik bedoel dat hij het op zijn eigen google drive account zet, niet op een drive van het bedrijf. De gegevens verzamel je dan eerst intern en stuur je daarna door naar een google drive in jouw beheer. Die stroom aan gegevens valt dan niet snel op, want er gaat veel meer verkeer naar Google.

En ja, het is wel te detecteren en alles is te loggen en te blocken, maar dan moet je er ook naar kijken en actie op ondernemen. En je moet ervoor zorgen dat werknemers ook hun werk kunnen blijven doen. Mensen die veel gehinderd worden door blokkade's gaan daar omheen werken en krijg je shadow-IT.

Het blijft werken met mensen en dat blijft de zwakste schakel.

[kodak]

Er is al jaren duidelijk dat een van de makkelijke manieren om gegevens buiten een bedrijfsnetwerk te krijgen het gebuik van onbetrouwbare online diensten is. Als bedrijf heb je dan regels wat betrouwbare diensten zijn en onder welke omstandigheden. Als iemand vanuit een bedrijf toch gebruik van onbetrouwbare kan maken, en zeker om grote hoeveelheden of vaak te uploaden, dan is veel verkeer niet zomaar een excuus. Dan mag er wel uitleg verwacht worden hoe men effectief misbruik aan het voorkomen is door dit te negeren, als ruis te behandelen of pas heel laat op te controleren. Veel aanvallen zijn daarbij niet zo geavanceerd, eerder juist te herkennen. Maar dan moet je als bedrijf wel willen om streng genoeg te zijn dat wie bij de meeste belangrijke gegevens kan niet ook zomaar vrij van het internet gebruik kan maken. Ik lees niet dat er hier een realistisch belemmering, scheiding of controle was. Ik lees wel dat er verschil van mening is over wat nog acceptabel moet zijn zelfs als kan iemand bij de meest belangrijke gegevens komen.

[Kees]

Als bedrijf heb je dan regels wat betrouwbare diensten zijn en onder welke omstandigheden.

Maar als de aanvaller uit kan vogelen wat dat bedrijf als betrouwbare diensten ziet, dan kan een aanvaller ook gewoon een account maken bij die dienst. Niet alle diensten zullen per klant een aparte URL gebruiken (zodat je met dns logging iets kan doen) en al helemaal niet een aparte ip(range) per klant. Een extra upload van 200GB gaat dan niet snel opvallen als dat normaal is.

Je moet dan aan ssl-terminatie en inspectie doen, maar dit soort diensten worden dan juist vaak weer uitgesloten vanwege het volume.

Het is allemaal wel dicht te timmeren met techniek, maar in the end loopt iemand dan bij wijze van spreken gewoon met een usb stick die in zijn thermos verborgen zit naar buiten. Dus ja, je pakt de eenvoudige hacks er wel mee, maar ik lees hier nergens dat het een simpele hack was.

[kodak]

De discussie lijkt me niet dat het hoe dan ook maar te detecteren is. Het punt is vooral dat er zelden is te lezen dat het heel geavanceerde lekken zijn waarbij de crimineel duidelijk moeite heeft gedaan om te voorkomen dat het lekken niet op valt. Dan is het eerder te simpel om te stellen dat het niet optijd op te merken is.

[supersnathan94]

maar in the end loopt iemand dan bij wijze van spreken gewoon met een usb stick die in zijn thermos verborgen zit naar buiten.

Op een semi legal afdeling waar belangrijke “bedrijsgeheimen” worden behandeld ga ik er van uit dat er gigantisch veel meer maatregelen worden getroffen om precies dit by default dus te voorkomen. Zoals ik eerder al aangaf zijn de grote partijen prima in staat je hier bij te helpen door bijvoorbeeld downloaden van files gewoon niet toe te staan. Je data blijft dan binnen het bedrijfsnetwerk en kan alleen worden geopend op een bedrijfscomputer met een bedrijfsaccount.

Automatisering eromheen maakt het dan wel mogelijk om documenten te delen met collega’s om samen te werken, maar niet om en mass de boel binnen te hengelen om wat mee te doen.

Bedrijfsspionage komt steeds vaker voor. Zeker vanuit Chinese overheid nu er allerlei sancties zijn op digitale zaken.

[supersnathan94]

De gegevens verzamel je dan eerst intern en stuur je daarna door naar een google drive in jouw beheer. Die stroom aan gegevens valt dan niet snel op, want er gaat veel meer verkeer naar Google.

Dat snap ik, maar daar heeft google dus maatregelen voor. Dan kun je in eerste instantie de files niet eens zien zonder een specifiek account (dus binnen het team wat er aan werkt) en kun je ze niet downloaden voor offline gebruik. Met confidentieel materiaal is dat echt een must om precies dit soort dingen te voorkomen.

In het geval van Google worksuite is er toch geen offline alternatief dus met de online editor erbij kunnen is voor de meeste informatie zat. Als het document klaar is kan een administrator er altijd tijdelijk andere rechten aan toekennen (wordt geautomatiseerd weer terug gezet einde dag) om er een PDF van te maken die ingediend kan worden bij het patentbureau, maar dan zit je al in de indien fase. Als dat document wordt gestolen gaat er nooit iemand op tijd nog mee aan de haal kunnen.

[joker1977]

Hoe moet dat "opvallen" ? Als ik al zie hoe groot de spreiding is in de hoeveelheid data die ons bedrijf dagelijks uploadt naar het internet dan kan ik me goed voorstellen dat 200 Gb. niet opgemerkt wordt.

[The Zep Man]

200 GB dagelijks over een heel bedrijf niet. 200 GB via een specifieke link/pad naar een specifieke bestemming? Op een dag 2x200 GB in plaats van gewoon 200 GB? Ja, dat valt op en kan je detecteren (en correctief iets mee doen).

[joker1977]

Vermoedelijk kan dat technisch prima. De realiteit is natuurlijk dat de meeste bedrijven dat niet doen.

Ook is onbekend of het "via een specifiek liink/pad naar een specifieke bestemming" is gegaan, want Casio deelt die informatie niet.

Maar dat de meeste bedrijven niet monitoren op dat niveau is wel duidelijk.

[joker1977]

Ach ja, ik vind dat altijd een beetje makkelijk scoren. Er wordt dan vaak geredeneerd vanuit het standpunt van wat technisch mogelijk is, maar niet zozeer wat in de praktijk haalbaar is.

De gemiddelde ondernemer heeft geen oneindige ICT-capaciteit. (Vrijwel) alle beveiligingen zijn een trade-off tussen veiligheid en werkbaarheid. Zonder kennis van de organisatie en de hack en wat er precies gestolen is durf ik niet zondermeer te zeggen of iets "geen excuus is".

De hele wereld is bezig met een wapenwedloop om hackers buiten te houden. Dan elke keer maar (weer) roepen "dat is geen excuus!" krijgt een beetje een baard.

[Sluuut]

Je denkt te simpel ja; Hackers kunnen data ook uploaden door bijvoorbeeld DNS queries naar een speciale DNS server te sturen waarin een deel van die data staat, en de upload spreiden over een aantal maanden, waardoor je dus geen hits qua data upload hebt in je SIEM (als je die al hebt).

Zo zijn er nog andere wegen om data te uploaden op een niet-officiële manier zoals de software pakketten vaak monitoren.

[Guru Evi]

Dat is 3 minuten op een 10Gbps lijn. De meeste kantoren zelfs hebben meerdere 10, 25 of zelfs 100G lijnen naar het Internet, laat staan de datacenters, cloud diensten etc.

[Reactie gewijzigd door Guru Evi op 11 oktober 2024 16:56]

[nonzzz]

Denk niet dat ze de patenten zelf kunnen stelen. Volgens mij moet je daarvoor bij het USPTO zijn.

[CH4OS]

Patenten worden niet alleen in de US gebruikt, ook Japan heeft een eigen patent office: https://www.jpo.go.jp/e/

[PageFault]

Patenten moeten gepubliceerd zijn, anders zijn het geen patenten. Er zullen dus wel andere (of aanvullende) bedrijfsgevoelige info gestolen zijn.

[beerse]

Of patenten die nog 'in aanvraag' zijn. Dat zou wel gevoelige info zijn. Mocht dit in vergelijking met het lek bij de NL-politie ook op basis van een mail-click zijn, dan heb ik wel een idee in welke afdeling bij Casio ze iets te makkelijk op een linkje hebben geklikt.

[PageFault]

Als ze nog in aanvraag zijn, is het nog geen patent, maar zeker wel gevoelige info inderdaad.

[Aldy]

Volgens mij is patenten stelen niet erg zinvol, aangezien ze gepatenteerd zijn. Echte geheimen, zoals recepten van Coca Cola bijvoorbeeld, dat is pas een ramp voor een bedrijf.

[CH4OS]

En ook voor @PageFault: Ik begrijp niet zo goed wat jullie met jullie reacties op die van mij precies willen zeggen of toevoegen. Ik geef enkel aan dat Japan (aangezien Casio Japans is) ook een eigen Patent Office heeft...

[Aldy]

Ik denk dat het een toevoeging is, tenminste die van mij wel. Elk land heeft zo ongeveer een patentbureau, maar alle patenten zijn openbaar en kun je ook gewoon bij het betreffende patentbureau opvragen. Hoef je niet voor bij Casio te zijn.

[CrazyJoe]

Het kan natuurlijk ook om patenten gaan die nog niet ingediend zijn, maar nog intern verwerkt worden voor indiening.

Dat is natuurlijk wel kritische informatie, want tegenwoordig is "First to file" standaard praktijk voor erkenning bij de alle patent offices ter wereld, wat betekent dat alleen diegene die een patent als eerste indient, het toegewezen zal krijgen bij acceptatie van het patent.

[beerse]

Nu ik er aan denk: Er wordt ook wel eens met een keten aan patenten gewerkt. Dat het eerste patent meteen wordt ingediend. Als dat na een aantal jaar gaat verlopen, dat ze nog andere patenten achter de hand hebben om de periode van blokkade langer vot te kunnen houden.

Zoiets heeft daf/vandorne-transmissie/bosch ook gedaan met de cvt: Eerst een patent op de duwband die 25 jaar stand houdt. Dan voor de gereedschappen om de duwband te maken de patenten pas 10 of 20 jaar later indienen zodat het langer duurt voordat de concurent het kan maken.

[wooha]

Wel een slim idee.

Dat werkt alleen als er geen andere efficiënte manier is om de duwband te maken dan de manier die door het tweede patent beschermd wordt.

Je neemt wel een risico als dat tweede patent ook toepasbaar is voor andere doeleinden. Dan kan je direct geld verdienen met dat tweede patent en loop je de kans dat een latere aanvraag stuit op prior-art.

Als een ander je voor is met (delen van) het tweede patent dan moet je je bovendien zelf nog beroepen op prior-art.

[Aldy]

Het kan natuurlijk ook om patenten gaan die nog niet ingediend zijn, maar nog intern verwerkt worden voor indiening.

Patenten die nog niet ingediend zijn, zijn geen patenten.

Dat is natuurlijk wel kritische informatie, want tegenwoordig is "First to file" standaard praktijk voor erkenning bij de alle patent offices ter wereld,

Dat is niet alleen tegenwoordig, maar altijd zo geweest, daarom wordt er naast een datum ook een tijd genoteerd bij het indienen.

[CrazyJoe]

[...]
Patenten die nog niet ingediend zijn, zijn geen patenten.

Je kunt natuurlijk ook pedantisch doen, maar je snapt toch wel dat patenten eerst geschreven moeten worden voordat ze ingediend kunnen worden. Natuurlijk zijn het tot dat moment geen toegekende patenten, maar ze worden toch intern aangeduid als patenten als er over gesproken wordt tussen patent advocaten en bedenkers.

Zodra ze ingediend zijn worden ze aangeduid als patentaanvragen en bij acceptatie worden het officieel patenten.

[...]
Dat is niet alleen tegenwoordig, maar altijd zo geweest, daarom wordt er naast een datum ook een tijd genoteerd bij het indienen.

Nee, voor 2013 was dat bij het patentenbureau van de VS niet het geval, daar werd "First to Invent" gehanteerd.

Dat systeem vereiste diepgaand onderzoek naar wie het eerst een invention gedaan had als er twee identieke patent aanvragen ingediend werden.

Aangezien dat nogal omslachtig was, liep het patentenbureau van de VS dan ook vele patentaanvragen achter. Daarom zijn ze overgestapt op "First to File" zoals de rest van de wereld.

Trouwens Canada en de Filipijnen hanteerden eerst ook "First to Invent" maar zijn al in 1989 en 1998 naar "First to File" overgestapt.

[Aldy]

Nee, voor 2013 was dat bij het patentenbureau van de VS niet het geval, daar werd "First to Invent" gehanteerd.

Het gaat hier over Japan en dus niet VS. Hier in Nederland werden de aanvragen met datum en tijd geregistreerd bij de aanvraag.

Trouwens Canada en de Filipijnen hanteerden eerst ook "First to Invent" maar zijn al in 1989 en 1998 naar "First to File" overgestapt.

Over pedant gesproken.

[Globefrotter]

'Vroeger' lagen patenten in de kluis. Nu worden ze kennelijk bewaard op een plaats die makkelijk van buiten af te bereiken is. Ik snap dit niet: waarom worden dergelijke stukken niet geparkeerd op plaatsen die niet verbonden zijn met internet?

[Marcel Br]

Die liggen op dezelfde plaats waar het contante geld voor je volgende loonzakje ligt.

[Globefrotter]

Ik geef alleen maar aan dat er slordig met gevoelige info wordt omgesprongen. Uw vergelijking is derhalve wat flauw.

[dengregg]

patenten stelen is niet echt mogelijk. Een patent wordt namelijk automatisch na indiening publiekelijk beschikbaar.

[Vyo]

Ik was zelf even vergeten dat ze niet alleen horloges en rekenmachines maken. Zelfs als muzikant duurde het even voor ik de Casio keyboardjes herinnerde, terwijl deze toch behoorlijk wijdverspreid zijn

Voor de mensen die zich ook afvragen "wat doet Casio dan aan research en patenten?", blijkbaar van alles; Als ik even rondkijk zie ik o.a. random "kantoor" dingen, horloge gerelateerde dingetjes, iets met printer-kop tech, een industriële productie methode, iets over health tech, muziek tech en apparatuur, etc. etc.

[Guru Evi]

Ik vind het vreemd dat de criminelen patenten gestolen hebben, een patent is een publiek document dat duidelijk beschrijft hoe een product werkt en die daardoor voor een beperkte periode beschermd is, anders is het geen patent maar een bedrijfsgeheim, dat niet beschermd is maar ook (per definitie) niet publiek bekend.

Patent: uitvinding van de gloeilamp, radio, telefoon, GSM (na n jaren mag iedereen die bouwen)
Bedrijfsgeheim: recept van coca-cola (na 100+ jaren weet nog steeds niemand het exact)

[Reactie gewijzigd door Guru Evi op 11 oktober 2024 16:55]

[Skit3000]

Als het om nog niet aangevraagde of toegekende uitvindingen gaat is het wel een zure appel; zodra "het publiek" kennis heeft kunnen nemen van een uitvinding voordat het patent is goedgekeurd, kan deze niet meer toegekend worden. Als er dan jaren aan research vooraf is gegaan die nu niks oplevert (lees, anderen kunnen hier gratis gebruik van maken) kan dat miljoenen kosten.

[Guru Evi]

Ja, dat zijn bedrijfsgeheimen en documenten, geen patenten maar op zijn best patentaanvragen.

[jeffreytigch]

De bende zegt over ruim 200GB aan bedrijfsgegevens van Casio te beschikken, waaronder persoonsgegevens van werknemers, patenten en andere 'vertrouwelijke informatie'. De claims van de bende zijn vooralsnog niet geverifieerd.

De gegevens zijn reeds gepubliceerd door de bende. Ik ben niet van plan om de gegevens op te halen, de dirlist zag er wel slecht uit. Het was een mix van cloud opslag en lokale opslag.

[Heroic_Nonsense]

Bij Casio... nou dan kun je er wel op rekenen dat je weet hoe laat het is....

[ShadLink]

Je kan er haast een muziekje op schrijven

[skillet]

Door dit bericht moet ik denken aan
nieuws: Japanse overheid stopt met gebruik van floppy's