25 miljoen paspoortnummers gestolen bij hack hotelketen Marriott
Bij de hack van hotelketen Marriott zijn ruim 25 miljoen paspoortnummers gestolen, waarvan er 5,25 miljoen onversleuteld waren. Dat schrijft het bedrijf in een update over het incident dat afgelopen november bekend werd gemaakt.
Het Marriott meldde toen dat aanvallers gedurende een periode van 4 jaar toegang hebben gehad tot een reserveringsdatabase van dochterbedrijf Starwood. Daarbij zijn klantgegevens buitgemaakt van de periode 2014 tot september 2018. In eerste instantie liet de hotelketen weten dat gegevens van 500 miljoen klanten waren gestolen. Dat aantal is nu naar beneden bijgesteld naar maximaal 383 miljoen.
Verder zijn er bij de aanval 25,5 miljoen paspoortnummers gestolen, waarvan er 5,25 miljoen onversleuteld waren. Volgens het Marriott zijn er geen aanwijzingen dat de aanvallers toegang hebben gekregen tot de decryptiesleutel om de versleutelde paspoortnummers te ontsleutelen. Het Marriott gaat het voor klanten mogelijk maken om te controleren of hun paspoortnummers tussen de gestolen onversleutelde paspoortnummers zitten.
Tevens zijn de versleutelde gegevens van 8,6 miljoen betaalkaarten buitgemaakt. Wederom stelt het Marriott dat er geen aanwijzingen zijn dat de aanvallers de vereiste decryptiesleutel in handen hebben om de gegevens te ontsleutelen. Afsluitend meldt de hotelketen dat het gebruik van de Starwood-reserveringsdatabase is uitgefaseerd en alles via het eigen Marriott-systeem loopt.
Probleem is: Het is nu eenmaal een fait accompli dat het toch op grote schaal gebeurt, en gewone burgers hebben er 0 invloed op. In geval van een fait accompli is het geen optie om de beveiliging tegen misbruik maar achterwege te laten omdat het niet zo zou moeten zijn, two wrongs tellen in dat geval niet op als een right.
Terwijl als ik niet lach op die foto, bijna niemand me herkent en ziet dat ik het echt ben. Ik lach altijd!
Ik begin dit jaar een civiel proces, omdat iets met privacy. De overhrid bzk wil niet helpen. Ik weet nog niet welke reden ik ga aandragen maar bij geen hulp wil ik ook geen zure gezichten.
Privacy is namelijk in het belang van velen.
Wel van belang denk ik.
Daarbij komt dat het geld waard is: de data kan worden verkocht of verschijnt misschien op het darkweb.
En er komt eens een tijd dat men een systeem hackt dat alle bijbehorende peroonsgegevens van een persoon laat zien
wanneer men slechts het paspoortnummer invoert. Kwestie van geduld hebben. Geen punt bij het karwei.
De data kan immers heel lang bewaard blijven met nauwelijks inspanning.
Daarbij komt dat het geld waard is: de data kan worden verkocht of verschijnt misschien op het darkweb.
En er komt eens een tijd dat men een systeem hackt dat alle bijbehorende peroonsgegevens van een persoon laat zien
wanneer men slechts het paspoortnummer invoert. Kwestie van geduld hebben. Geen punt bij het karwei.
De data kan immers heel lang bewaard blijven met nauwelijks inspanning.
Van oorsprong is het bsn sofi-nummer klantnummer bedoeld om administratieve fouten met de administraties te voorkomen. Dat is ook net waarvoor het geschikt is niet meer. https://www.rvig.nl/documenten/publicaties/2007/07/19/memorie-van-toelichting-voorstel-wet-burgerservicenummer of je nu het paspoortnummer gebruikt of bsn maakt weinig uit. Alleen dat naw en het kunnen veranderen van een paspoortnummer maakt de achterliggende administraties zo gevoelig op fouten.
Het gaat inderdaad sluipenderwijs:
- wij moeten het als verwerker controleren maar weten niet hoe, laten we het probleen (onwettelijk) afschuiven op de persoon.
- Als de administratie maar kloppend is dan hebben wij zogenaamd gen probleem, laat de klant persoon maar met de brokken zitten.
Daarmee krijgt de data waarde voor misbruik want het misbruik wordt onwettelijk gefaciliteerd.
- Als laatste gaan we zeggen dat de klant persoon zijn bsn mar geheim had moeten houden. Het is de omgekeerde wereld,
...
Ik begin dit jaar een civiel proces, omdat iets met privacy. De overhrid bzk wil niet helpen. Ik weet nog niet welke reden ik ga aandragen maar bij geen hulp wil ik ook geen zure gezichten.
...
Privacy is namelijk in het belang van velen.
Als je voor privacy zou zijn, dan zou je er naar toe werken dat een niets zeggend bsn nummer niet misbruikt kan worden ook al kan iedereen zo'n nummer zien..
Hoe kan het dat:
Er nog steeds vastgehouden wordt aan: dat een bsn weten gelijk staat aan het leveren van het bewijs van de juiste persoon
https://arxiv.org/pdf/1602.04182.pdf vol met leestekens met nog steeds niet te begrijpen voor de gewone man.
http://nowiknow.com/why-stealing-americas-nuclear-secrets-was-easy-as-pi/
"the security measures were called “laughable” and “always a headache.” (The sign pictured above, via here, was one such example.) For Feynman, though, they were a source of entertainment. As the book explains:
[Feynman] noticed a hole in the fence surrounding Los Alamos — so he walked through the main gate, waved to the guard, and then crawled back through the hole and walked out the main gate again. He repeated this several times. Feynman was almost arrested. His antics became part of Los Alamos lore."
- wij moeten het als verwerker controleren maar weten niet hoe, laten we het probleen (onwettelijk) afschuiven op de persoon.
- Als de administratie maar kloppend is dan hebben wij zogenaamd gen probleem, laat de klant persoon maar met de brokken zitten.
Daarmee krijgt de data waarde voor misbruik want het misbruik wordt onwettelijk gefaciliteerd.
Trouwens een (vals) paspoortnummer is al oldoende om gebruik te maken van een hotel.
Dat is nodig om te bewijzen dat jij daar geweest bent onder andere ivm touristenbelasting.
Maar stel een ID-vervalser maakt er een zootje van of pleegt een misdaad? Wie komen ze dan op het spoor? (niet de dader, want die blijkt in dat hotel nooit te zijn geweest volgens de ingezamelde paspoortnummers van het hotel)
Maar doorsnee mensen weten niet eens te bedenken hoe en waar alleen een paspoortnummer voor misbruikt zou kunnen worden. Om daarachter te komen zal men eerst eens moeten leren denken als een crimineel en dat valt ook mij niet mee. (net zoiets als: om je maximaal te kunnen beschermen op internet zul je moeten leren denken als een kwaadaardige hacker)
Maar dat bedoelde ik uiteraard niet.
Trouwens een (vals) paspoortnummer is al oldoende om gebruik te maken van een hotel.
Dat is nodig om te bewijzen dat jij daar geweest bent onder andere ivm touristenbelasting.
Maar stel een ID-vervalser maakt er een zootje van of pleegt een misdaad? Wie komen ze dan op het spoor? (niet de dader, want die blijkt in dat hotel nooit te zijn geweest volgens de ingezamelde paspoortnummers van het hotel)
Maar doorsnee mensen weten niet eens te bedenken hoe en waar alleen een paspoortnummer voor misbruikt zou kunnen worden. Om daarachter te komen zal men eerst eens moeten leren denken als een crimineel en dat valt ook mij niet mee. (net zoiets als: om je maximaal te kunnen beschermen op internet zul je moeten leren denken als een kwaadaardige hacker)
Met een vervalst ID (kan je bestellen in polen of china) kan je zo de administratie voor het hotel op orde krijgen.
Het bewijst echt weinig of die persoon er al of niet geweest is. Er was en is immers geen controle op. Dat de handhavers er wel vanuit gaan en zo onterechte schade berokkene, tja...… De computer zegt het syndrome. Foute administraties worden niet goed omdat ze met een computer uitgevoerd worden.
Dat denken als een crimineel, dat blijft lastig. Je kunt het beter in kleine stapjes doen. Wat zegt een stuk informatie met de wijze hoe het vastgelegd en bewaard is. Zitten daar aannames in, dan heb je meteen de zwakke plekken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.