Vodafone Nederland krijgt miljoenenboete wegens onveilig aftapsysteem

De Nederlandse Rijksinspectie Digitale Infrastructuur heeft telecombedrijf Vodafone een boete opgelegd van 2,25 miljoen euro. Uit onderzoek van de RDI blijkt dat het aftapsysteem van de provider onvoldoende was beveiligd.

Het aftapsysteem, dat wordt gebruikt voor het onderscheppen van communicatie in opdracht van justitie en inlichtingendiensten, bleek op meerdere fronten kwetsbaar. Zo schoot de fysieke en logische beveiliging van het systeem zelf volgens de RDI tekort. Dat zou het systeem kwetsbaar hebben gemaakt voor 'ongeautoriseerde toegang'. De overheidsinstantie benadrukt echter dat er geen aanwijzingen zijn dat onbevoegden toegang hebben gehad tot gegevens.

Verder ontbraken bij veel medewerkers met toegang tot het systeem cruciale documenten, zoals een Verklaring Omtrent het Gedrag en geheimhoudingsverklaringen, zo stelt de RDI. Ook voldeed het wettelijk verplichte beveiligingsplan niet aan de gestelde eisen. Gezien de gevoelige aard van de data gelden er strenge beveiligingsvoorschriften. Het systeem kan namelijk staatsgeheime en strafrechtelijke informatie bevatten, zo schrijft de RDI.

Vodafone heeft 'actie ondernomen' om de beveiliging op orde te krijgen, schrijft de RDI. Daarmee moeten de risico's van ongeoorloofde toegang tot aftapgegevens 'inmiddels zijn weggenomen'.

Reacties (75)

[CPV]

Dit is ongeveer hetzelfde bericht als op NU.nl. (Wij van DPG...)
Op NOS.nl staat nog een extra paragraaf:

Vodafone maakt bezwaar
Vodafone is het niet eens met de boete. Het bedrijf stelt dat er voor zover bekend geen incidenten zijn geweest waarbij onbevoegden toegang kregen tot de data. Daarnaast noemt Vodafone de hoogte van de boete buitensporig en wijst het erop dat KPN eerder een lagere boete van 450.000 euro kreeg voor vergelijkbare overtredingen.

[Reactie gewijzigd door CPV op 22 oktober 2024 13:39]

[Houtenklaas]

Het boetebesluit KPN is hier te vinden. Als ik het zo doorlees ook niet heel tof, maar wel van een ander kaliber dan van Vodafone. Zowel tijdsduur als inhoudelijk.

[SunnieNL]

Het feit dat er geen incidenten hebben plaatsgevonden ondanks dat de security niet in orde was, is niet echt van toepassing. Het probleem is dat die security niet in orde is en daar krijgen ze de boete voor. Ze krijgen geen boete omdat er incidenten hebben plaatsgevonden.

Daarnaast, hoe weet vodafone dat er geen incidenten zijn geweest als hun logging en toezicht gaten bevat?

[CPV]

Mee eens.
Waar het mij om ging was de info op NOS.nl, die hier niet te zien was.

[EdwinHamers]

Uit de tekst lijkt het 'niet zo erg' te zijn. Een plan dat mist en screening van medewerkers. Maar het is veel erger

a) Er kon eenvoudig toegang door onbevoegden tot de fysieke ruimte waarin LI-gegevens aanwezig waren worden verkregen;
b. Toegang tot die fysieke ruimte was niet uitsluitend toegestaan voor geautoriseerde personen voor zover dit voor hun functie noodzakelijk was;

c. Tijdens het onderzoek is gebleken dat er voor onderhoud door nietgeautoriseerde personen geen begeleiding was van een geautoriseerd persoon;

d. Er was geen gecontroleerde en achteraf herleidbare toegang op individueel niveau;

e. Er was geen detectie van toegang tot de fysieke ruimte en ook ontbrak de mogelijkheid tot het tijdig interveniëren.

Blijkbaar heeft iemand goed liggen slapen bij Vodafone

Linkje naar besluit
https://www.rdi.nl/binari...Bbgt+besluit+Vodafone.pdf

[Reactie gewijzigd door EdwinHamers op 22 oktober 2024 13:41]

[n4m3l355]

Bijzonder dat een bedrijf zo nalatig is en zo laks met de toegang tot miljoenen gebruikers data er vanaf komt met een strafje van 2 miljoen euro. Kan aan mij liggen maar wordt het niet hoogtijd dat individuen die zo omgaan met data persoonlijk worden vervolgd?

[Mirx_NL]

Maar welke kop moet er dan rollen?

Hoe bepaal je welke individuen cruciaal zijn geweest in besluitvorming en implementatie?

Of de commerciële afweging dat de boete van kpn niet opweegt tegen het goed inregelen?

[Reactie gewijzigd door Mirx_NL op 22 oktober 2024 14:00]

[asing]

Als er een kop moet rollen is het de persoon die de eindbaas is voor security. Oftewel de CISO.

Dan kan het zijn dat de CISO is overruled door bijvoorbeeld de CEO. Dan heb je binnen de groep Security Officers een zogenaamd Risk Register. Het Risk Register beschrijft alle gevonden risico's en de reden om er niets aan te doen. Degene die de implementatie tegenhield staat dan ook genoemd en dat wordt dan de kop van Jut.

[SunnieNL]

De CISO is niet de eindbaas. Dat is de CEO.
Zelfs al zou de CISO in het management zitten (wat in NL vrijwel nooit het geval is, hier valt die meestal als 'adviseur' onder de CIO), dan nog is de CEO degene die de eindbeslissingen maakt. Als de CISO vraagt om meer geld en de CFO zegt nee, dan is de CEO degene die het eindbesluit maakt. Als ze onder de CIO vallen is het nog erger, want de CIO zou ook nog kunnen kiezen een deel van het budget niet aan security uit te besteden maar aan wat anders.

Hier zie je waarom de NIS2 zo nodig is. Security moet naar management.
En de NIS2 geeft ook mandaat om het management (in het uiterste geval) buitenspel te zetten.

[Reactie gewijzigd door SunnieNL op 22 oktober 2024 16:10]

[asing]

Ik heb in het verleden de CISO cursus gedaan. Geen examen of wat dan ook, alleen de cursus.

In theorie hoort de CISO op C-Level bij de rest van C-Level te zitten. Zet je de CISO onder de CIO dan doe je het niet goed. Ik weet een bedrijf wat dat zo deed, en de CISO daar is vertrokken omdat hij alleen maar bezig was met het schrijven van voorstellen maar dat strandde allemaal.

De vraag van @Mirx_NL was : "wiens kop gaat rollen?". Is dat de CEO van Vodafone, of wordt de schuld in de schoenen van de CISO geschoven? Nu kan het zijn dat de CISO zijn/haar werk niet goed gedaan heeft. De implementatie van maatregelen is niet goed gegaan.

Het kan ook zijn dat het voorstel wel gedaan is, maar teruggefloten door bijvoorbeeld de CFO. Daar heb je dan weer een risk register voor waar dan in staat dat het risico bekend en aanvaard is, met een reden. Dan is het niet de CISO die verantwoordelijk is, maar een ander C-Level persoon.

[FdG]

Als de CISO eindbaas is voor security heb je de zaken niet goed op orde. De CISO is ondersteunend, de CEO (of in sommige gevallen CFO, COO of CTO) zijn eindverantwoordelijk. Waarbij ook een rol ligt bij de dataeigenaren, proceseigenaren etc.

[LooneyTunes]

Maar welke kop moet er dan rollen?

Die van de directie. Die zijn immers eindverantwoordelijk gezien hun verantwoordelijkheid (en bijbehorende maandelijkse vergoeding).

[Bergen]

Op papier kan de directie eindverantwoordelijk zijn, maar de directie kent de details helemaal niet van de beveiliging van alle informatie, en wie waar toegang tot heeft. Dat is de verantwoordelijkheid van de security-afdeling. Het zou toch onlogisch zijn als de directeur nu opstapt, en dat het hoofd van security gewoon blijft zitten, terwijl diegene de besluitvorming bepaalt omtrent securitydetails? Ik zou het veel logischer vinden dat iemand bij security straf krijgt.

[SunnieNL]

Laten we dan de stagiare maar de schuld geven... daar was de politie ook goed in.

Misschien is de security wel niet ingericht omdat management geen geld gaf en andere zaken belangrijker vond? Moet dan de security afdeling de schuld krijgen?

[Remzi1993]

Op papier kan de directie eindverantwoordelijk zijn, maar de directie kent de details helemaal niet

Dat is hij probleem, ze zijn nog steeds eindverantwoordelijke. Dan moet of de informatie stroom beter en communicatie binnen het bedrijf of mensen doen hun werk dus niet goed. Het bestuur hoor van alles te weten en vooral zulke cruciale dingen of ieder geval globaal (niet de details).

[LooneyTunes]

Op papier kan de directie eindverantwoordelijk zijn,

Raar, volgens hun functieomschrijving (en bijbehorende salarisstrook) zijn ze dat ook.
Dat is ook het verweer dat ze geven waarom ze 50 keer het salaris krijgen van de onderknuppels. "ik/wij dragen de verantwoording hè, dus verdienen we ook zoveel"

Het zou toch onlogisch zijn als de directeur nu opstapt, en dat het hoofd van security gewoon blijft zitten, terwijl diegene de besluitvorming bepaalt omtrent securitydetails?

De directeur hoeft niet weg, maar gewoon een flinke boete, desnoods gevangenisstraf (een bedrijf (stapeltje papieren bij de KvK) zet je niet makkelijk achter tralies).

[Reactie gewijzigd door LooneyTunes op 22 oktober 2024 20:08]

[Remzi1993]

Het bestuur, allemaal aftreden en persoonlijke boetes en alle leidinggevenden daaronder die er mee te maken hadden ook kleinere boetes.

[rboerdijk]

Als gek idee, ik zou zeggen de top laag van het management, die altijd luid verklaren dat ze zo goed betaald krijgen vanwege de hoge verantwoordelijkheid die bij hun positie hoort.

[Remzi1993]

Volledig me eens, blijkbaar is de handhaving die er nu is niet genoeg om de bedrijven tot orde te roepen. De boetes moeten percentages worden van de omzet van NL of zelfs wereldwijd om echt af te schrikken en/of mensen moeten persoonlijk aansprakelijk gesteld kunnen worden. Anders ben ik bang dat bedrijven niet gaan veranderen.

[Reactie gewijzigd door Remzi1993 op 22 oktober 2024 19:15]

[iew]

Dat gaan ze ook niet, de boetes wegen niet op tegen de verdiensten dus ze gaan gewoon door.
De 'politiek/overheden' verkopen naar mijn mening, onder het mom van boetes gewoon al onze data.
Mooi verdienmodel voor beiden.

Over 50 of 100 jaar ? is alle data van iedereen wereldwijd gedeeld als dit zo door gaat.
Wat voor wereld openbaart zich dan...?!

Ik vind de Naïviteit hier echt stuitend.

[Remzi1993]

Inderdaad, symboolpolitiek typisch Nederland.

[Guru Evi]

Is het uiteindelijk niet de bevoegdheid van de overheid die zulke systemen wilt installeren?

Dit is voor het gebruik van geheim electronisch afluisteren van burgers, de overheid weet al lang in welke condities deze systemen geinstalleerd worden. Als er zoveel taps moeten staan dat ze een permanente verbinding nodig hebben, zouden ze die zelf moeten aanleveren, niet de kosten aan iemand anders doorgeven.

Als ik naar een datacenter stap voor een colo en ik zie dat er water op mijn server aan het druppen is, is het mijn verantwoordelijkheid om ofwel mijn contract per direct op te zeggen of mijn systemen daar niet te zetten en een aantekening te maken richting het bedrijf dat ze dit snel moeten repareren.

[Reactie gewijzigd door Guru Evi op 22 oktober 2024 17:53]

[kodak]

Dat lijkt me helaas niet het enige probleem. De overheid heeft niet voor niets de taak te zorgen dat een bedrijf veilig helpt bij de handhaving. De problemen blijken van een paar jaar tot tot minstens 12 jaar te hebben kunnen bestaan. Dan mag ook wel een uitleg verwacht worden hoe vaak de overheid de inspecties doet. Want zelfs als het nog maar een paar jaar bestond lijkt er dan weinig tot slechte controle te zijn geweest op de naleving van de eisen. Terwijl valt te verwachten dat bedrijven meer belang hechten aan besparen en winst maken dan de klanten aantoonbaar goede service te leveren.

[Lisadr]

Ik hoor al jaren van auditors dat het heel slecht is qua beveiliging bij Vodafone Nederland. Dit is nog maar het topje van de ijsberg.

[locke960]

Dat is wel bizar slecht... Dan ga ik me toch echt afvragen hoe het zit met de security cultuur in het algemeen bij Vodafone.

edit: ook een leuke: waar komen inbrekers het vaakst binnen? Via de achterdeur. Dit is natuurlijk niet helemaal hetzelfde, maar irrelevant zou ik het ook niet willen noemen. Daar zit toch een les in.

[Reactie gewijzigd door locke960 op 22 oktober 2024 15:14]

[Marc H]

Iets zegt mij dat de jaarlijkse inflatie correctie komend jaar bij Vodafone hoog zal uitvallen.....

[slijkie]

2,25 miljoen euro voor een bedrijf als Vodafone is absoluut kleingeld. Wellicht dat ze die inflatie correctie dan 0,01 procent hoger maken.

[Fermion]

Nee hoor, 2,25M is ook voor Vodafone een smak geld.

[Termin8r]

Het is ook voor Vodafone - met in 2023 een jaaromzet van >1 miljard - een smak geld, maar een boete moet ook hoog genoeg zijn om pijn te doen. De wet aan je laars lappen moet niet de moeite waard zijn.

[lenwar]

Dat is kwartaalomzet.

nieuws: Aantal Vodafone-abonnees nam in 2023 met 144.900 toe

Vodafone had in 2023 een jaaromzet van ongeveer 4 miljard en een nettoverlies van 470 miljoen.

[LooneyTunes]

maar een boete moet ook hoog genoeg zijn om pijn te doen.

En een stapeltje papieren weet wat pijn is?
Gewoon de directie beboeten. De directie neemt toch ook alle verantwoordelijkheden? (tenminste, dat geven ze als antwoord op de vraag waarom ze zoveel meer verdienen dan het 'voetvolk'.)
Dan hoeven die boetes ook niet zo hoog te zijn .
Laten ze het dààr maar voelen waar het ècht pijn doet.

[Termin8r]

Gewoon de directie beboeten.

Die bevoegdheid heeft een toezichthouder als de RDI bij mijn weten niet.

Bovendien: hoe ga je de boete daadwerkelijk bij de persoon neerleggen? Hoe voorkom je dat uiteindelijk niet toch gewoon de rechtspersoon de kosten draagt, in opdracht van de directie?

[LooneyTunes]

Bovendien: hoe ga je de boete daadwerkelijk bij de persoon neerleggen? Hoe voorkom je dat uiteindelijk niet toch gewoon de rechtspersoon de kosten draagt, in opdracht van de directie?

Betaal eens geen belasting.
Dan krijg je binnen de kortste tijd een briefje dat je salaris wordt ingehouden en eventueel iets later het gevang in.
Het CJIB heeft zo zijn manieren

[BRAINLESS01]

Ze hadden vorig jaar een omzet van meer dan €1 miljard (omzet, niet winst). Ik denk dat ze niet heel lang wakker liggen van €2 miljoen (0,2% van de omzet). Het probleem met dit soort boetes is dat je ze ook niet kapot wil maken en de boete toch doorberekend wordt aan de klant. Het is vooral belangrijk dat de overheid dit bedrijf nu extra gaat controleren, zodat ze het vanaf nu wel goed gaan doen.

[Lisadr]

Helemaal niet. Vodafone Nederland heeft 4,2 miljard omzet en Vodafone group heeft 46 miljard omzet.

[gamerbladers]

Deze maand October is er al inflatie correctie bij gekomen

[CPV]

Dan moet het van de bonussen van de top ingehouden worden. Toch??

[arjan1995]

Nee, die moeten natuurlijk wel hun dikke BMW, Maserati of Jaguar kunnen blijven betalen. /s

[DoctorBazinga]

[Marchel]

Best bijzonder dat medewerkers die toegang hebben tot dit "systeem" geen VOG hoefde aan te leveren. Het vreemde is dat dit bedrijf van mijn werkgever wel verwacht dat alle medewerkers dit bezitten, maar zelf, op plekken waar staatsgeheimen samenkomen vonden ze dit toch niet nodig.

Volledig terecht dus.

[downtime]

Het zijn vaak simpele denkfouten. Bijvoorbeeld wel van de afdeling die met de data werkt een VOG vragen maar dan vergeten dat (bijvoorbeeld) het schoonmaakbedrijf, de technische dienst en de BHV'ers allemaal fysieke toegang tot de serverruimte hebben. En aan fysieke toegang dacht niemand want de legitieme gebruikers van de data doen dat uitsluitend remote.

[Marchel]

Ja ik snap wat je bedoelt, maar we hebben het hier wel over een Enterprise en niet een MKB'er. Daar zitten genoeg mensen die weten hoe ze dit moeten aanpakken, zou je denken.

[HenkEisDS]

Relevante podcast: The Athens Shadow Games
https://darknetdiaries.com/episode/64/

Vodafone Griekenland had na een voor het publiek heimelijke tap voor de olypische spelen door de NSA niet in de gaten dat de NSA hun tap is blijven gebruiken om de Griekse overheid te bespieden. Je zou hopen dat Vodafone dit incident, ook al is het 20 jaar later, nog wel in het geheugen had toen ze access-control tot dit tapsysteem inrichtte.

[YGDRASSIL]

Een bedrijf als Vodafone heeft in 20 jaar bijna al zijn werknemers gerouleerd. Ik zie bedrijven elk jaar dezelfde fout maken, laat staan dat een hele nieuwe generatie leert van een enkel event van 20 jaar geleden. Dat kennen ze misschien anecdotisch.

[andreetje]

Het is wat dubbel dat de instantie die afdwingt dat gesprekken afgeluisterd moeten kunnen worden (wat op zichzelf een groot risico is) nu degene beboet die dat mogelijk maakt.
Ik vind het ook zorgelijk dat Nederland zo'n uitstekende infrastructuur heeft om alles en iedereen af te luisteren en te bespieden, zoveel mogelijk financiële gegevens over ons verzamelt etc. Wij leven niet in een totalitaire staat, maar we hebben er wel de infrastructuur voor ingericht.

[ArnoldSmit]

Dat die voorzieningen er zijn betekend niet dat ze blind op iedereen worden ingezet.
Vind het logisch dat we aftap voorzieningen klaar hebben staan.
Alleen niet logisch dat dergelijke voorzieningen niet adequaat zijn beveiligd.

Het is net alsof je een concierge heb van een hotel die als het moet overall bij zou moeten kunnen, maar zijn loper laat slingeren.
Voor de rest doet de man integer zijn werk naar waarschijnlijkheid en gaat die niet zomaar de kamers van gasten doorzoeken, maar anderen onbevoegden kunnen dankzij zijn roekeloosheid wel de kamers van gasten betreden.

[andreetje]

Dat die voorzieningen er zijn betekend niet dat ze blind op iedereen worden ingezet.

Dat zeg ik ook. Maar het is net alsof je op het marktplein een guillotine neerzet en zegt: "er is niks aan de hand". Het verzamelen van gegevens lijkt onderhand meer dan een onschuldig middel te zijn.

[arbraxas]

Ach, alu hoedjes toch? Of complotdenkers.

Ik denk in elk geval met weemoed terug aan de tijd dat we ons druk maakten om Google die "per ongeluk" alle SSID opsloeg met hun streetview auto`s.

[andreetje]

Noem het wat je wilt. We zien het allemaal voor onze ogen gebeuren. De sleepwet is voorlopig het dieptepunt van privacyschending, maar Den Haag en Brussel zijn nog lang niet klaar met ons. Zo heeft Brussel plannen om alle bezittingen van EU-bewoners te registreren en wil Den Haag van werkgevers weten hoe hun werknemers naar het werk komen.

[DoctorBazinga]

Met andere woorden de Vodafone klanten zijn weer de pineut en mogen een hogere ‘inflatiecorrectie’ van de prijzen de komende jaren verwachten.

[Cameradrian]

Maar ze zullen voor de prijsverhoging wel extra service regelen!

[BlaDeKke]

De extra service: vanaf nu word je privacy enkel nog geschonden door een bevoegd persoon.

[Alex3]

Als de prijzen te veel gaan verschillen lopen de klanten weg en zo worden ze alsnog gestraft.

[DoctorBazinga]

Daar lopen toch al langer klanten weg. Dn uiteindelijk zullen wij als klanten weer meer moeten betalen om hun kosten te dekken respectievelijk hun winst op peil te houden.

[Jeffrey87]

Vallen de vaste diensten van Ziggo hier ook onder, of spreken we hier uitsluitend over het mobiele netwerk van Vodafone?

Deze twee diensten delen in de core toch dezelfde infrastructuur?

[Reactie gewijzigd door Jeffrey87 op 22 oktober 2024 13:46]

[Lievense]

Deze apparatuur heb ik in het verleden ontwikkeld en in bedrijf gesteld.

Elke telco heeft verplicht een security office, waar eventuele tapverzoeken binnenkomen.

Tapverzoeken moeten worden verwerkt door medewerkers welke gescreend zijn, de dossier moeten daarna gelijk in een kluis opgeslagen worden.

Bij een Nederlandse Telco, UPC (bestaat als zodanig niet meer) werden regels ook aan de laars gelapt. Dossiers lagen open en bloot op bureaus, waar iedereen inzicht kon hebben.

Redden voor mij toen om daar geen projecten te doen. Criminelen weten dit namelijk.

[bzuidgeest]

Aftap systemen zijn bij definitie onveilig. Daar gaat een boete hoe dan ook niets aan veranderen.

[jeroen79]

Waarom zijn ze bij definitie onveilig?

[bzuidgeest]

Omdat ze bedoelt zijn om onzichtbaar in te kunnen breken op conversatie. Om beveiligingsmaatregelen te omzeilen en ga zo maar door.

Je kan wel zeggen er mag alleen maar iemand met toestemming bij, maar hoe ga je dat controleren? En wat als er dus een provider is zoals ziggo die zelfs de beveiliging van het beveiliging omzeilende ding niet op orde heeft?

Het is wat mij betreft net iets als ingebouwde verborgen wachtwoorden in routers e.d. Ze lekken altijd ergens uit en dan zit je met de gevolgen. Het komt te dicht bij security by obscurity,

[jeroen79]

Ze zijn hoogstens onveilig voor het doel van de tap.
Voor de tapper kunnen ze veilig zijn in de zin dat alleen de tapper er controle over heeft.

Dat willen ze bereiken door een goede controle op wie toegang krijgt, bijvoorbeeld fysieke toegang tot de apparatuur, VOGs van medewerkers en een degelijk beveiligingsplan.

Dat is niet vergelijkbaar met een ingebakken standaard wachtwoord.
Als je denkt dat een medewerker niet meer te vertrouwen is dan trek je zijn toegang in.

[bzuidgeest]

Dat willen ze bereiken door een goede controle op wie toegang krijgt, bijvoorbeeld fysieke toegang tot de apparatuur, VOGs van medewerkers en een degelijk beveiligingsplan.

En zoals je zie is dit de tweede waar die beveiliging te kort schiet. Ze denken niet dat er misbruik is geweest, maar ze weten dat nooit 100% zeker. Zeker niet als je leest wat er allemaal ontbrak. Het is een permanente opening op een systeem dat geen opening zou moeten hebben. Als het misgaat is het goed mis want de getapte persoon merkt het niet en de overheid komt er altijd te laat achter.
En wie is dan een het slachtoffer? De burger natuurlijk.
Die taps zijn met versleutelde communicatie ook nog eens nagenoeg nutteloos. Het is een risico voor de veiligheid van de communicatie zonder duidelijk voordeel wat mij betreft.

[jeroen79]

Hier zouden ze dus onveilig zijn omdat er geen goede beveiliging is geregeld of gehandhaafd.
Niet omdat ze dat bij definitie niet zouden zijn en niet omdat het afhankelijk is van het geheim houden van iets dat niet veranderd kan worden.

[bzuidgeest]

We gaan het hier niet over eens worden. Er is altijd de kans dat de beveiliging op taps te kort schiet. Er is geen tot weinig reden om de mogelijkheid tot tappen te hebben. Dus is het hebben van een tap-kamer alleen maar een risico. Hoe dat risico ontstaat vind ik niet relevant. Het risico bestaat. dat is genoeg, En het is een onnodig risico.