Videosysteem Defensie eenvoudig te hacken
Een standaard wachtwoord zorgde ervoor dat de videoconferentiesystemen van Defensie voor iedereen toegankelijk waren. Dat ontdekte beveiligingsblogger Rickey Gevers na een tip van Twitteraar Antisec. Daarnaast was het systeem ook niet tegen brute force-aanvallen beschermd. "In dit geval kunnen we stellen dat vrijwel alle routers in Nederland -dus ook die bij u thuis- beter beveiligd zijn. Want die is namelijk vrijwel altijd geheel niet toegankelijk via het internet", aldus Gevers.
Het IP-adres dat hij van Antisec kreeg doorgespeeld kwam uit op het videoconferentiesysteem van de directeur van het Marinebedrijf CDRT. Daar vandaan werden IP-adressen en telefoonnummers van verschillende andere Defensiesystemen ontdekt.
"Het is zo goed als uitgesloten dat iemand dit voor de lol in elkaar heeft geknutseld. 4 sites geven een login mogelijkheid, en ook deze sites hangen dus blijkbaar aan het internet. De sites geven daarbij keurig weer welke software er achter draait, en in alle gevallen was dit inderdaad videoconference software", stelt Gevers.
Onderhoudsbedrijf
Volgens een woordvoerder van Defensie worden de systemen zelden gebruikt. "Een onderhoudsbedrijf van Defensie heeft ooit zeven vtc-systemen aangeschaft voor zichzelf. Deze systemen draaien op het reguliere, publieke internet. De cyber-veiligheidsafdeling van Defensie waarschuwt tegen dergelijke systemen, omdat die makkelijk gehackt kunnen worden. En dat blijkt. Defensie betreurt het dat met dit voorval de schijn van onveiligheid kan zijn gewekt, maar we benadrukken dat het eigen netwerk nooit in gevaar is geweest."
Tja als je dan toch gehackt ben kun je beter met een goede smoes komen he ?
Ze hebben ingelogged met een default password.....
Dat is hetzelfde als je voordeur openen met de sleutel en zeggen dat je een inbreker bent.
Hier zal wel weer een onderzoek uit volgen en ik baseer mijn mening graag op feiten, in plaats van onderbuik gevoelens.
Als dit op deze manier door Defensie wordt afgedaan, hebben ze dus niet in de gaten wat dit voor impact zou kunnen hebben.
Tja, als je moet kiezen tussen persoonlijk je menselijkheid toegeven of je hele organisatie voor paal zetten en voor de lange termijn en in haar ambities (CYBER, CYBER....), is het eerste natuurlijk het minste van twee kwaden.
>> door Anoniem: Defensie betreurt het dat met dit voorval de schijn van onveiligheid kan zijn gewekt, maar we benadrukken dat het eigen netwerk nooit in gevaar is geweest.
Tja als je dan toch gehackt ben kun je beter met een goede smoes komen he ?
Het is heel goed mogelijk dat het bij defensie door middel van onafhankelijke onderdelen/bedrijven losse systemen worden aangeschaft zonder dat je aan het grote defensie netwerk wordt gehangen. maar aan "vuil internet" .
OT: default password gebruiken is geen hack; dat is gebruik maken van de klunzigheid van de beheerder.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.