Categorie op Datalekken

Tientallen bedrijven en organisaties, waaronder musea, theaters, dierentuinen, evenementenbureaus en circussen, hebben een datalek bij Ticketcounter niet aan de Autoriteit Persoonsgegevens gemeld, terwijl dit wel verplicht was. Ook klanten en bezoekers werden niet gewaarschuwd dat hun gegevens op straat lagen. Voor het niet melden van een datalek kan de privacytoezichthouder hoge boetes opleggen.

Ticketcounter verzorgt online kaartverkoop voor allerlei evenementen, musea, pretparken en dierentuinen. Een back-up van het bedrijf was door een fout voor iedereen op internet toegankelijk en werd in februari gedownload. De data uit de back-up werd in maart openbaar gemaakt. Het ging om bankrekeningnummers, geboortedata, e-mailadressen, geslacht, ip-adressen, namen, betaalgeschiedenis, telefoonnummers en adresgegevens. De back-up bevatte in totaal 1,9 miljoen unieke e-mailadressen.

Dierentuinen Apenheul, Blijdorp en Dierenpark Amersfoort waarschuwden hun bezoekers voor het datalek, maar tientallen organisaties hebben dat niet gedaan, zo laat de Autoriteit Persoonsgegevens aan NU.nl weten. De organisaties waren door Ticketcounter gewaarschuwd dat ze het datalek bij de AP moesten melden, maar hebben dit niet gedaan. De toezichthouder heeft nu naar 46 organisaties uit met name de cultuur- en entertainmentsector een brief gestuurd. Om welke bedrijven het gaat wil de AP niet zeggen.

In maart kreeg Booking.com een boete van 475.000 euro opgelegd wegens het te laat melden van een datalek aan de Autoriteit Persoonsgegevens.

Lees hier verder. © Security.nl

Bedrijven die getroffen zijn door datalekken waarbij persoonsgegevens zijn gestolen of publiekelijk bekend zijn gemaakt, moeten vaak hogere rentes op leningen betalen van hun bank.

Problemen voor het imago van een bedrijf dat getroffen is door een datalek lijken snel vergeten. De waarde van de aandelen is vaak na een maand alweer op het oude niveau. Banken blijken dat echter anders te zien. Zij rekenen klanten die hiermee te maken gehad hebben gemiddeld 0,4 procentpunt hogere rentes bij leningen, zo blijkt uit onderzoek in opdracht van de American Accounting Association.

Dat doen banken omdat ze minder zekerheid hebben over de toekomst van een bedrijf na een datalek. De directe en indirecte kosten die voortvloeien uit het lek zijn niet duidelijk. Zo kunnen grote klanten opstappen of de wetgever kan maatregelen nemen. Die onzekerheid moet voor de bank gecompenseerd worden met een hogere rente.

Het onderzoek is uitgevoerd door de Yeshiva Universiteit in New York en de Hong Kong Polytechnic University. Daarbij werden de leningen die bijna 1100 beursgenoteerde bedrijven hadden gekregen bij banken in de periode 2003 tot 2016 vergeleken. De helft van de bedrijven had te maken gehad met een datalek en de andere helft niet. Daarbij werden vergelijkbare bedrijven naast elkaar gezet, om de impact van het datalek goed duidelijk te krijgen.

Nog hogere rente

De rente steeg voor vrijwel alle organisaties na een datalek, maar de stijging was sterker naarmate er data van meer mensen bij waren betrokken en als het lek een gevolg was van criminele hackers. Als het door een fout van het bedrijf zelf was veroorzaakt, was de rentestijging milder. Voor bedrijven die voor het lek een heel goede reputatie hadden op het gebied van IT-kwaliteit waren de gevolgen ook groter omdat banken grotere aanpassingen moesten doen aan de beoordeling van de beveiliging van het bedrijf. Zij krijgen over het algemeen namelijk gunstigere voorwaarden voor leningen als ze een goede reputatie hebben op het gebied van IT-beveiliging.

De banken rekenen niet alleen een hogere rente na een datalek, maar eisen ook meer garanties van bedrijven die hiermee te maken hebben gehad. Wel kunnen zij hun positie bij de bank verbeteren door de beveiliging sterk te verbeteren en de impact van het lek te verkleinen waar mogelijk. Een van die maatregelen is meer investeren in databeveiliging.

© AG Connect

New York Pizza waarschuwt klanten dat het is getroffen door een datalek. Het bedrijf meldt dat er onder andere e-mailadressen, telefoonnummers en bezorgadressen zijn buitgemaakt na een hack van de systemen van ‘een van de leveranciers’ van het bedrijf.

New York Pizza meldt op zijn website dat het bedrijf in de nacht van zondag op maandag ‘enkele mails’ heeft ontvangen van een hacker, die meldde dat hij of zij gegevens van New York Pizza-klanten heeft buitgemaakt en dreigde deze gegevens te publiceren of verkopen. De kwetsbaarheid is inmiddels opgelost.

New York Pizza constateert naar eigen zeggen dat er onder andere namen, mailadressen, telefoonnummers, bezorgadressen, en gegevens over welke pizza’s klanten hebben besteld zijn uitgelekt. Van gebruikers die een account bij de pizzaketen hebben, zijn salted en gehashte wachtwoorden buitgemaakt. Het bedrijf raadt gebruikers met een account verder aan om hun wachtwoord te wijzigen. Indien het wachtwoord in kwestie ook bij andere diensten of websites wordt gebruikt, is het aan te raden om het wachtwoord ook daar aan te passen.

Betaalgegevens zoals IBAN-nummers of creditcardgegevens worden volgens het bedrijf niet opgeslagen in de databases van New York Pizza; dergelijke data is dus niet uitgelekt. Het bedrijf waarschuwt verder voor mogelijke pogingen tot phishing en roept gebruikers op om bij twijfel niet te reageren op mails en niet te klikken op vreemde links.

New York Pizza heeft melding van de hack gemaakt bij de Autoriteit Persoonsgegevens en zal ook aangifte doen. Het bedrijf geeft aan momenteel nog onderzoek te doen naar de hack. New York Pizza heeft naar eigen zeggen ook ‘diverse andere maatregelen genomen ter bescherming van onze klantgegevens’. Verder bevestigt het bedrijf dat de hack geen invloed heeft op het bestelproces van het bedrijf; filialen van de pizzaketen blijven open.

Lees hier verder. © Tweakers.net

Datalekken vinden steeds regelmatiger plaats. Het onderwerp van cybersecurity beperkt zich niet langer tot grootbedrijven en de ICT. Hoewel ook de dagkranten bol staan van het nieuws over gegevensverlies en cybercriminaliteit, blijft het makkelijk om te relativeren en te bedenken dat het jou of jouw bedrijf niet overkomt. Een verklaarbare houding, want mkb-ondernemingen zijn zelden het doelwit van gerichte aanvallen. Toch hebben juist mkb-ondernemingen de grootste kans om slachtoffer te worden.

Eén klik op een verkeerde link kan leiden tot een dagen- of wekenlange staking van werkzaamheden. Zelfs de diefstal van het kleinste klantenbestand loopt al gauw uit tot imagoschade en gezichtsverlies.

De oplossing, cyberveiligheid, begint bij erkenning. Een lastige stap, want de slachtoffers waarmee we het vaakste worden geconfronteerd, hebben weinig met onszelf of onze bedrijven in gemeen.

Grootschalige datalekken bereiken het nieuws; kleinere voorvallen gaan aan de radar voorbij. Listig, want ook kleinere datalekken kunnen leed veroorzaken.

Tussen juni 2019 en juni 2020 werd één op de vijf mkb-ondernemingen slachtoffer (bron: SIDN). Getroffen ondernemers die zich uitspreken zijn zeldzaam. Voorvallen gaan met het verlies van tien- of honderdduizenden euro’s, schaamte en angst gepaard.

Je hoeft geen doelwit te zijn om schade op te lopen. Elk bedrijf verwerkt de gegevens van personeel, partners en klanten. De meeste bedrijven zijn kwetsbaar. Vallen gegevens in verkeerde handen, dan zijn de consequenties vaak groot. We werpen een licht op twee risicocategorieën:
 

• Voorletters, geboortedata, mailadressen en andere veelvoorkomende persoonsgegevens kunnen worden ingezet om identiteitsfraude te plegen. Een cybercrimineel doet zich voor als een vertrouwde klant om facturen betaald te krijgen en rekeningnummers te laten wijzigen.
   
• In andere gevallen worden de gegevens gebruikt om toegang tot de systemen van bedrijven te krijgen. Gelekte wachtwoorden en gebruikersnamen – of voldoende persoonsgegevens om dergelijke informatie op te halen – stellen een crimineel in staat om van buitenaf aan te vallen.

Ben je onvoldoende beschermd en worden de gegevens van jouw bedrijf door een klant, opdrachtnemer of medewerker opgeslagen, dan kan een lek bij hen voor jou gevolgen hebben. Dit werkt uiteraard twee kanten op: leidt een phishing-aanval tot het verlies van de gegevens die jouw bedrijf verwerkt, dan worden alle verwante bedrijven en personen kwetsbaar.

Drie aanvalsoppervlakken

Het goede nieuws is dat cybercriminelen afweerbaar zijn. De juiste voorzorg is drieledig. Elk bedrijf heeft ingangen, doorgangen en uitgangen. Pas wanneer je je bewust bent van de kwetsbaarheden die in dit drietal voorkomen, ben je in staat om de veiligheid van jouw bedrijf te indiceren.

Lees hier verder. © WinMagPro

Meer dan een jaar na het begin van de pandemie merken banken, verzekeraars en andere financiële instellingen hoe hun huidige databescherming tekortschiet tegen cloudgebaseerde aanvallen en netwerkstoringen. Zo kosten cloudgebaseerde dreigingen financiële dienstverleners naar schatting 3,4 miljoen euro. Phishing, kwetsbaarheden in de cloud en DNS/DDoS aanvallen worden gezien als meest zorgwekkende bedreigingen voor de toekomst. Datalekken kosten daarnaast steeds meer geld.

Dit blijkt uit onderzoek van Infoblox, gespecialiseerd in cloud-managed netwerkdiensten, onder meer dan 800 IT-professionals uit de financiële dienstverlening wereldwijd. Datalekken vormen een steeds grotere kostenpost voor de sector. 44% van de ondervraagde Europese instellingen noemt datalekken als meest voorkomende aanval. De financiële instellingen die te maken kregen met een datalek rapporteerden een geschat gemiddeld verlies van ongeveer 3,5 miljoen euro per aanval.

Ook netwerkstoringen drijven de kosten op

Netwerkstoringen kostten Europese instellingen gemiddeld 2,6 miljoen euro. De netwerkstoringen hadden in 65% van de gevallen financiële verliezen tot gevolg.

De sector blijft een populair doelwit voor cloudgebaseerde aanvallen. meer dan de helft van alle ondervraagde organisaties (54%) heeft in de afgelopen 12 maanden te maken gehad met een datalek en 49% werd ook nog eens geteisterd door een malware-aanval in de cloud.

Cloud- en netwerkgebaseerde aanvallen

Cloud- en netwerkgebaseerde aanvallen blijven een belangrijke bedreigingsfactor. 1 op de 4 Europese respondenten verwacht de komende 12 maanden te maken te krijgen met een combinatie van phishing, kwetsbaarheden in de cloud (waaronder misconfiguraties) en DNS/DDoS aanvallen.

Netwerkzichtbaarheid zorgt voor verbeterde security-hygiëne. Wereldwijd worden netwerkmonitoring (76%), threat intelligence (64%) en threat hunting (57%) beschouwd als de meest effectieve bestrijdingstactieken tegen deze bedreigingen.

‘Nieuwe zwakke plekken’

“De financiële dienstverleningssector is al lang een doelwit voor kwaadwillende actoren die het spoor van cybergeld naar de cloud volgen”, zegt Anthony James, VP Product Marketing bij Infoblox. “Terwijl de pandemie ervoor zorgde dat IT-infrastructuren steeds meer moesten vertrouwen op thuiswerken, creëerden cloudgebaseerde technologieën, die digitale transformatie mogelijk maakten, ook zwakke plekken voor cybercriminelen om uit te buiten.”

“Dit rapport laat ons zien dat cloudcompromittering het grootste cyberbeveiligingsprobleem is geworden voor financiële instellingen en de investeringen die zij doen om zich te beschermen”, vervolgt James. “Opvallend is dat respondenten DNS beginnen te gebruiken om netwerkbedreigingen vroegtijdig te ondervangen. Dit wordt weerspiegeld in de toename van het aantal klanten dat we zien voor ons BloxOne Threat Defense-platform, dat DNS gebruikt om de beveiliging uit te breiden naar cloud-first-infrastructuur. Dit lost bedreigingen sneller op door detectie- en herstelhulpmiddelen uit de bestaande security stack te orkestreren.”

Het onderzoeksrapport is hier beschikbaar.

© Dutch IT Channel