Bedrijven verzwijgen cyberfraude uit angst voor reputatie

Volgens de BBC is het in de UK erger gesteld met de online veiligheid dan menig bedrijf doet denken. Maar liefst twee-derde van de instanties maakt geen melding van aanvallen op hun computersystemen. Het gaat hier bijvoorbeeld om het defacen van de bedrijfswebsite of om het hacken van de computerdatabase. Het probleem ligt vooral bij de netwerk- en systeembeheerders die bij de bedrijven in dienst zijn; zij 'vergeten' nogal eens cyberaanvallen en veiligheidslekken te rapporteren, waardoor hun meerderen vaak niet goed op de hoogte zijn van de veiligheid binnen het eigen bedrijf. Wel worden steeds meer managers stricter in het beleid omtrent e-mailen en websurfen voor privédoeleinden:

A separate survey, conducted by Amstrad, showed that bosses are becoming stricter when it comes to policies on e-mailing within the office. A quarter of those surveyed claimed to have installed e-mail at home because their bosses were snooping on their messages at the office.

About a third said that their employers read their e-mails and 39% said that they had been told not to surf the internet outside of their lunch hour. Despite disapproval from bosses, most employees are finding it hard to crack the habit of surfing at work. The survey found that people on average spent over two hours a day e-mailing and surfing the internet from their desks.

Reacties (33)

Bij ons wordt ook lang niet altijd een melding gedaan naar CERT nederland.
Mede omdat ze dan apparatuur in beslag willen nemen om zo bewijzen te verzamelen t.o.v. de hacker.

En als er dan bewijzen zijn, komt er eerst een heel proces met advocaten e.d. op gang die je kapitalen kost terwijl je je server ook al moet missen.

We houden zelf een lijst met irratante (externe) ip-adressen bij en gaan deze op de router blokkeren.
Na een aantal maanden zetten we het ip-adres weer open.
Dit is voor ons een stuk goedkoper en krijg je ook niet al die rare publiciteit en kosten die je niet wilt.

Als je het verhaal lees en naast de optie van Bast75 legt dan zijn is er wellicht niet goed gekeken naar de oorzaak.

Is het omdat de systeembeheerder zijn gebrek aan kennis niet wil melden / bang is dat een hack zo zal worden geinterpreteerd?

Of is het (ook in de UK) zo dat het melden van een hack veel meer overlast oplevert dan het voorkomen van herhaling van een poging vanaf hetzelfde IP / van dezelfde hacker? (in hoeverre is het afschermen van IP uberhaupt garantie voor geen herhaling).

open deur...
In ieder geval laat de tweede mogelijkheid natuurlijk de hacker rustig zijn gang gaan bij de volgende machine en aldus rustig zo zijn ervaring opbouwen totdat hij "volgroeit" is en wellicht veel meer schade aanricht dan alleen een de-face van een webpagina...

Misschien is het aldus meer zaak dat het CERT en vergelijkbare organisaties elders hun beleid verbeteren / samenwerking met bedrijven en justititie veranderen (tweaken? )

Ik kan me goed voorstellen dat je er als bedrijf niet mee te koop gaat lopen als je gehacked bent. Slecht voor het consumentenvertrouwen en zodoende... Bad for Business..!

En als "netwerkexpert" ga je natuurlijk ook niet zo snel naar je baas met de melding dat de bedrijfssystemengehacked zijn. Dat betekent (in de ogen van je baas i.i.g.) dat jij je werk niet goed hebt gedaan

Als jij kennis hebt van een geval van hacken, en dit geval valt onder computercriminaliteit, en jij meldt dit niet bij justitie, dan ben jijzelf ook strafbaar!

Maar eigenlijk is dit oud nieuws.

Nee hoor, volgens artikel 161 van het Wetboek van Strafvordering heeft eenieder het recht om aangifte te doen, enkel wanneer het misdrijven betreft gericht tegen het koningshuis, of wanneer deze de veiligheid van mensen en goederen opzettelijk in gevaar brengen voor zover daar levensgevaar is veroorzaakt (! let op de cursivering) is men verplicht aangifte te doen.

Er is geen enkele wettelijke verplichting aangifte te doen van een geval van computerinbraak, of andere vormen van computercriminaliteit zolang hierdoor geen direkte mensenlevens in gevaar zijn.

Als een en ander echt zo primitief gaat als Bast zegt dan kan ik me goed voorstellen dat geen bedrijf zich hier (vaker dan de eerste keer) aan waagt.

CERT, justitie, leg me dit eens uit:
-> Waarom apparatuur in beslag nemen? Een voor dit doel gemaakte kopie van de server's data op een backup tape bevat toch alle informatie?

-> Hoezo proceskosten? Vervolgen van criminelen is toch een taak van justitie; sinds wanneer draait de gedupeerde daar zelf voor op?

Het reputatie-verhaal kan ik maar ten dele volgen. Ik denk dat als bedrijven het idee krijgen dat aangifte doen zin heeft (ipv alleen extra werk is) ze dit best wel zullen doen.
Actie nemen tegen aanvallers door ook aangifte te doen lijkt me - voor de grotere bedrijven althans - een taak die gewoon bij de IT taken hoort. Daar hoeven baas en buitenwereld (reputatie) verder niet bij betrokken te worden, tenzij er echt gevoeldige gegevens gecompromitteerd zijn.

Mja, weeral het typische Big-Brother gevoel.
Ik vraag me af of die management types er niet even bij stilstaan dat, indien ze het sociaal karakter op de werkvloer verhogen, door mail/surf/chat toe te laten, de mensen meer geneigd gaan zijn om langer te werken.
Vooral bij IT mensen is het zo dat van het ogenblik dat ze thuiskomen ze toch weer achter hun pc kruipen om dit te doen. Dus waarom het niet toelaten op het werk zelf.
Voordeel voor de werknemer: bandbreedte wat sparen.
Voordeel voor de werkgever: werknemers zijn langer beschikbaar.

Ik vraag me af of die management types er niet even bij stilstaan dat, indien ze het sociaal karakter op de werkvloer verhogen, door mail/surf/chat toe te laten, de mensen meer geneigd gaan zijn om langer te werken.

Komt het door de werkgever (die het surfen/chatten verbied) dat de mensen minder geneigd zijn om langer te werken? Ik denk het niet. Ik denk dat het voornamelijk komt door geen ruggegraat. Met al die sociale wetten heeft niemand meer het idee dat hij iets verliest als hij ontslagen wordt. En de werkgever maar betalen...

Bij grote bedrijven is dit niet zo evident, maar kleine bedrijfjes gaan kapot aan deze situatie. Werknemers die niet hard werken omdat als ze ontslagen worden ze toch hun huis en dergelijke kunnen blijven doorbetalen, en werkgevers die failliet gaan omdat niemand meer hard werkt en de werkgever dat dus nog eens dubbel moet betalen ook (de werknemer levert te weinig op en de premies gaan alleen maar omhoog).

Maar goed, ik ben het wel met je vooroordeel eens dat er vaak 1/3 meer mensen in het management zitten dan nodig is.

Maar wat hebben werknemers nou nog voor motivatie om keihard voor hun bedrijf aan de slag te gaan?

[verschrikkelijk offtopic]

1) Ik denk dat het voornamelijk komt door geen ruggegraat.
2) Met al die sociale wetten heeft niemand meer het idee dat hij iets verliest als hij ontslagen wordt.

Als mensen wél ruggegraat hadden zouden sociale verzieningen geen verleiding zijn.

Of denk jij dat je door het verminderen van 'al die sociale wetten' mensen kan dwingen tot het hebben van 'ruggegraat'?

leuk en aardig wel dat werknemers langer blijven maar als ze de hele dag zitten te chatten, emailen en surfen dan heb je niks aan zo'n werknemer en kun je daar beter iemand voor inhuren die iets doet.!

ik ben het er wel mee eens dat het te gek voor woorden is dat als je iemand aanklaagt ze gelijk je hele server als bewijs mee moeten nemen. zou alleen geen alternertief weten.....

Tjah, als je werknemers de ganse dag chatten/mailen/surfen krijgen ze hun werk niet gedaan en kieper je ze gewoon daarvoor buiten.
Er zijn veel mensen die wel goed met hun verantwoordelijkheden omspringen en ervoor zorgen dat hun werk op tijd klaar is.

Deze opmerking werd geschreven tussen 2 bugfixes door

Zou een kopie van je schijf/schijven niet voldoen?
Of b.v. een image?

Ik neem aan dat ze de hardware niet echt nodig hebben, tenzij ze een lek vermoeden in de software van de hardware zelf. ( firmware foutjes of instellingen van bv hardware firewall).

Toch denk ik gewoon dat het niet de schuld van de Systeembeheerders is, ze zijn dan wel vergeten te upgraden etc. maar dat hoeft de schuld niet direct hij hun neer te leggen, want als ik lekker lig te in me bed, er komt een enorme 'exploit' uit en ik wordt wakker en me hele netwerk ligt lam, is het dan mijn schuld dat ik niet uit me bed kwam?

Je kan wel zeggen:

"JA DAN BEN JE DOM, HAD JE EEN FIREWALL MOETEN INSTALLEREN!"

Sorry hoor, is bijvoorbeeld Apache, ik ga niet even poort 80 dichtdoen zodat ze niet meer kunnen surfen!

"ZE KOMEN ER IN VIA EEN SHELL DIE EEN POORT OPENT!"

Ehm, ja, duh, (ik ben hacker/geweest) dan kill ik Apache wel en open ik daar een telnet en dan gewoonweg die firewall aanpassen en dan start ik de gepatchde versie van Apache wel weer...

Enfin, ik denk dat we verder komen als er een programma wordt ontwikkeld die gewoon 24/7 blijft patchen, van alles wat nieuw uitkomt, ja, er zal zeker nog wel gehackt worden maarjah... En dan krijg je Microsoft die er veel geld voor gaat vragen etc. etc.

Enfin, ik ga maar weer eens wat scannen

OK 24/7 is het niet, maar je kunt toch zeker op een eenvoudige manier je programma's laten patchen/updaten als je een Debian systeem hebt draaien.
Gewoon even een apt-get update en upgrade in je crontab gooien.. en voíla, alle packages worden 1x per uur geupdate/gepatched.

Automatisch updaten is geen geweldig idee.
als je zo'n debian fan bent, zie dan de opmerkingen bij het 'cron-apt' pakketje (dat doet wat jij doet).

uit de install info:
Observe that this tool is a security risk, so you should not set it to do more than necessary (automatic upgrade of all packages is NOT recommended).

Je moet er inderdaad wel wijs mee omspringen. De versie waar je mee werkt (stable/testing/unstable) maakt al een groot verschil.
Daarnaast heb ik natuurlijk wel een scrippie in elkaar gedraait wat automatisch logt wat er ge-upgrade wordt en wordt er voordat er een upgrade gedraait wordt, altijd eerst een backup gedraait (1x in de week volledig, verder icremental) naar mijn eigen XP-bak.

btw. ik laat em ook niet ieder uur upgraden, 1x 's nachts vind ik voldoende

Ja, dat klopt, maar dan hebben we Microsoft nog, die heeft wel 'n auto-update, maar, reboooooot...

Enfin, ik denk dat we verder komen als er een programma wordt ontwikkeld die gewoon 24/7 blijft patchen

Ja, graag! Dan kan ik mijn backdoors tenminste automatisch laten installeren .

Weten mensen nog dat ID Software in Quake 3 Arena zoiets had zitten? En dat ze het er uit hebben moeten slopen omdat het te makkelijk was om te misbruiken?

Hmm controle op surfgedrag en mail. Stom.

Als ik je goed begrijp vind jij dat men niet via software de werknemers in de gaten mag houden maar wel met een verrekijker vanaf de balie mag kijken naar welke site's jij kijkt?
In de praktijk is het echter vaak zo dat er altijd een groep werknemers is die veel verder gaan als surfen en hartenjagen in de baas zijn tijd zoals bijv: Downloaden van bestanden , Mail met grappige bijlagen etc.
Ik heb zelfs gezien dat werknemers de restricties proberen te omzeilen via zijn workstation,die van een collega en zelfs via de servers.
Natuurlijk doen de meeste dit niet maar het is en blijft vaak de bottleneck binnen de meeste bedrijven.

Surfen in de baas z'n tijd? O guttegut... laat em eerst maar eens zorgen voor een verlaging van de werkdruk...

Helemaal mee eens kerel maar jammer genoeg gezien de huidige economische omstandigheden zal dat eerder toenemen dan afnemen.

Nee dat bedoel ik dus niet. Lees eens verder en lees het woord sociale controle. Als jij een lekkere pornosite zit te kijken in je afgesloten kantoortje, dan zal niemand dat zo snel zien. Als een manager dit allemaal wil controleren heeft ie een dagtaak (dus wordt het weinig gedaan, of gewoon te laks). Zet je iemand die naar non-business sites surft daarentegen op de gang, dan zul je het privé gebruik zien dalen omdat ie liever laat zien dat ie aan het werk is en het anders zo'n zooi op de gang geeft Punt is dat je dan een graad van sociale controle hebt bereikt waardoor privé gebruik binnen de perken wordt gehouden en echt ranzige sites niet snel binnen het oogbereik van de mensen zullen komen op de gang.
Als het bedrijfsbeleid daarbij klein privé gebruik gedoogd, dan heb je niet zo veel gezeur meer. Van 2 kanten niet.

Met die uitleg ben ik het helemaal met je eens wat dat betreft maar het blijft een feit dat zonder hele strenge restricties en de controlle daarop(niet alleen ranzige site's) een netwerk heel kwetsbaar blijft.
Een netwerk binnen een bedrijf is nu eenmaal niet bestemd voor prive gebruik omdat dit veels te veel schade kan opleveren of we dit nu leuk vinden of niet.
Tel er nog eens bij op dat de meeste beveiligingen(software en Hardware) meestal pas als antwoord komen na een beveilingslek en niet ervoor!

Waar ging de maintopic ook al weer over

Bij mij op de zaak is er van de 60 gebruikers 3 die ong 70% van het aantal berichten genereert.

Deze gebruikers gebruiken in hun subject ook nog valse subjects zoals factuur/betaling e.d. en die vallen wel op als er over een week of 2 zo'n 150 berichten zijn met deze subjects van hetzelfde persoon.

mvg Blikkie

Ik vraag me af of die management types er niet even bij stilstaan dat, indien ze het sociaal karakter op de werkvloer verhogen, door mail/surf/chat toe te laten, de mensen meer geneigd gaan zijn om langer te werken.

Hmm, je hebt hier zeker een punt maar het kan ook tegen je gaan werken.

Voorbeeld.
We hebben een helpdeskvloer met 10 medewerkers
Allemaal hard aan het werk..en af en toe een www.tweakers.net en een outlookje tussendoor.

Maar toen kwam die nieuwe....Randstad *zucht*
De hele dag..en dan ook de heeeele dag 1 of ander vaag internet stratigy game.

Calltijden gingen omhoog aantal keer uhhhh per minuut was misschien wel 20 UPM

En das dus niet de bedoeling.

Dan kun je niet alleen tegen die nieuwe zeggen dat deze niet mag internetten...??
Dan mag niemand meer internetten.

Tja...rechtvaardig of onrechtvaardig..
maar het helpt wel
helaas.

Het was maar een tijdelijke aktie natuurlijk
na een week verslapt het toch

Je kan toch ook gewoon zeggen: "Hallo nieuwe, je bent hier net en dus zeggen we het even, het is de bedoeling dat je met mate van internet voor privedoeleinden gebruik maakt. Dus bijvoorbeeld niet de hele dag een of andere vage strategy game spelen."

Het is toch niet zo moeilijk? Waarom zou je alles voor iedereen gaan verbieden?

Treurig. . Dat het voorkomt is natuurlijk (bijna) niet te verhinderen, maar je kunt wel gepast maatregelen nemen. Zoals bv. de systeembeheerder eruit gooien en een nieuwe aannemen. En bovendien moet je vooral eerlijk zijn tegen je klanten. Niets is erger dan een bedrijf dat claimt sercure te zijn, maar in werkelijkheid constand gehackt word.

Tja wat moet je tegen je werkgever zeggen als systeembeheerder? Ik heb mijn werk niet goed gedaan en vergeten de laatste patches te installeren. Je zet hiermee wel je baan op het spel. En dan is het helemaal niet zo gek dat er zoveel in de doofpot beland.

De persoonsgegevens van gebruikers van www.lifeandcooking.nl lagen tot gisteren ook zo goed als op straat. Zie: www.security.nl Het is al bijna een wonder als dit door de grotere media nog wordt opgepikt. Laat staan dat zo'n populair bedrijf zelf dit soort incidenten aan de grote klok gaat hangen.

<edit>
kaml maar dit lijkt mij een praktijk voorbeeld hoe het eraan toe gaat en een bevestiging van het verhaal uit het bovenstaande nieuwsbericht. kan ik persoonlijk niet overbodig noemen.
</edit>

Dit is een gigantisch goede site met erg leuke reacties op dit soort nieuwsberichten maar dan opeens gaan me de haren echt helemaal overeind staan van een aantal reacties waarin men zegt dat de systeembeheerders die hackers niet buiten kunnen houden maar ontslag moeten krijgen , Terwijl iedereen hier weet dat je jezelf tegen Echte Hackers niet volledig kunt beveiligen, niet mee eens?,kijk dan maar eens naar de Overheid van de USA waar de echte Hotshots van ons vak werken en ook vaak de klappen van de hackers op hun harses krijgen!
Dan de reactie van RetepV over de inzet van vandaag de dag ,Sorry kerel ik vind dat echt zo'n typische oud Hollandse opmerking zoals "De jeugd van Tegenwoordig" , over het surfen / chatten gedeelte ben ik het 100% met je eens!