RDC: dichterbij oorzaak van datalek met gegevens Nederlandse autobezitters
It-bedrijf RDC, waar de gegevens van miljoenen Nederlandse autobezitters zijn gestolen, zegt dichterbij de daadwerkelijke oorzaak van het datalek te zijn gekomen. Hoe de gegevens konden worden buitgemaakt is echter nog niet bekend. Het forensisch onderzoek heeft nog geen aanwijzingen opgeleverd voor een inbraak op het systeem waar de gegevens stonden.
RDC verzorgt ict-diensten voor autobedrijven. Zo kunnen garages via het product CaRe-Mail hun klanten automatisch een e-mail sturen als het tijd is voor hun APK-keuring. De gestolen gegevens zijn afkomstig uit CaRe-Mail. RDC heeft een onderzoek naar het datalek ingesteld. Er zijn echter nog geen aanwijzingen gevonden dat er is ingebroken op de CaRe-Mail-omgeving.
"Daarnaast zijn er een aantal inzichten naar boven gekomen die ons dichterbij de daadwerkelijke oorzaak van dit datalek brengen. Helaas kunnen wij hangende het onderzoek nog niet aangeven wat dit concreet betekent", aldus RDC in een update over het incident. "Alles lijkt te wijzen op een eenmalig lek van data. De mogelijkheid om data op te vragen (exportfunctionaliteit in CaRe-Mail) waar nu de verdenking ligt, is afgesloten", stelde het bedrijf eerder op de eigen website.
Verder heeft RDC ook het antwoord iets aangepast op de vraag of autobedrijven verplicht zijn om al hun klanten over het datalek te informeren. In eerste instantie liet het bedrijf weten "Nee, dat is niet verplicht. Wij raden het wel aan". Dat is nu veranderd in "Wij raden dat dringend aan." Daarnaast is er meer informatie van de Autoriteit Persoonsgegevens toegevoegd wanneer een datalek moet worden gemeld.
Ze hadden maanden lopen zoeken naar hoe ze toegang hadden gekregen tot de systemen, bleek dat de backup server zo lek was als een mandje en omdat de backup op een andere locatie stond dus toegankelijk vanaf het internet.
Tevens kan het bijvoorbeeld een onderschepte backup tape zijn (die niet afdoende versleuteld was). Of net als bij de Coronatests, een medewerker die data heeft gelekt. (Bewust of onbewust, door data lokaal op zijn desktop of misschien zelfs thuiswerkplek, verloren laptop etc).
Tevens kan het bijvoorbeeld een onderschepte backup tape zijn (die niet afdoende versleuteld was). Of net als bij de Coronatests, een medewerker die data heeft gelekt. (Bewust of onbewust, door data lokaal op zijn desktop of misschien zelfs thuiswerkplek, verloren laptop etc).
Een printje dat is blijven liggen (op de printer of in de papierbak)
Een excelsheetje dat op een stickie stond.
Een backup of kopie van de data(base) die toegankelijk was voor onbevoegden (rondslingerende cd, tape of disk)
etc, etc, etc.
Als je lang genoeg zoekt is er altijd wel ergens een lekje te vinden.
Hoe goed je procedures ook zijn. (of niet)
Een printje dat is blijven liggen (op de printer of in de papierbak)
Hoe goed je procedures ook zijn. (of niet)
Dat is waar. Maar zoeken is ook niet zonder risico. Een goede beveiliging maakt het vinden van een kwetsbaarheid zo moeilijk en de detectiekans zo hoog dat de kans dat er van de kwetsbaarheid gebruik gemaakt kan worden te klein is.
Hoe goed je procedures ook zijn. (of niet)
Dat is waar. Maar zoeken is ook niet zonder risico. Een goede beveiliging maakt het vinden van een kwetsbaarheid zo moeilijk en de detectiekans zo hoog dat de kans dat er van de kwetsbaarheid gebruik gemaakt kan worden te klein is.
Dus als bedrijf gokken op obfuscatie?
Als je lang genoeg zoekt is er altijd wel ergens een lekje te vinden.
Hoe goed je procedures ook zijn. (of niet)
Blijven werken aan informatiebeveiligingsbewustzijn...
Screening 'aan de poort'...
Regelmatige evaluatie van risico's / maatregelen...
Vertrouwen is goed, controle is op sommige punten noodzakelijk...
Security is geen ICT-dingetje...
Inzichten zoals gebruik van onveilige wachtwoorden welkom123, admin admin of password?
Wat een geweldige en broodnodige service van de "garage" (Garage=een plaats waar je de auto neerzet??)
In Belgie, waar ik woon komt er geen "service" van de "garage" aan te pas. En ik heb ook geen "garage"! Er komt automatisch een bericht van de keuringsdienst in mijn brievenbus. Zo kan het ook, nietwaar! Zonder tussenkomst van allemogelijke "derden".
Groeten uit de Belgique.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.