Sunweb waarschuwt klanten na lekken van persoonsgegevens voor phishing
Sunweb heeft de persoonlijke gegevens van een onbekend aantal klanten gelekt, die vervolgens zijn gebruikt voor het uitvoeren van phishingaanvallen tegen deze klanten, zo heeft de reisorganisatie zelf bekendgemaakt. Bij de aanval op Sunweb wisten de aanvallers namen, e-mailadressen, telefoonnummers en boekingsinformatie, zoals reisdata en bestemmingen, te stelen.
Vervolgens hebben de aanvallers vanaf een gecompromitteerde mailserver van een niet nader genoemd ander bedrijf phishingmails naar getroffen klanten gestuurd. In de phishingmails werden klanten gevraagd om hun gegevens te bevestigen en een betaling te doen, anders zou hun vakantie worden geannuleerd. Hoe de aanvallers op het Sunweb-systeem konden inbreken is niet bekendgemaakt.
Sunweb zegt alle klanten met een actieve boeking op 1 oktober te hebben geïnformeerd. Verder ontvingen getroffen klanten op 3 oktober vervolgcommunicatie. Afsluitend stelt de reisorganisatie dat het getroffen systeem is afgesloten en er aanvullende beveiligingsmaatregelen zijn geïmplementeerd. Wat die zijn is niet bekendgemaakt. Tevens is het datalek bij de Autoriteit Persoonsgegevens gemeld.
Op de eigen website heeft Sunweb ook een waarschuwing voor klanten geplaatst. "We zijn op de hoogte van phishing-e-mails die zich voordoen als boekingsbevestigingen van ons. Let op: wij vragen je nooit om boekingen te bevestigen via links in e-mails. Wij versturen alleen e-mails vanaf ons domein @sunweb.nl, @sunweb.com of @sunwebgroup.com."
Ik ben vooral benieuwd of de AVG goed is opgevolgd, welke persoonlijke gegevens zijn het precies? Waren er teveel gegevens of te lang bewaarde gegevens?
Waarom wordt die andere partij niet nader genoemd? Waarom wordt niet bekend of deels bekend gemaakt welke beveiligingsmaatregelen dit dan zijn. Ik kan ook roepen dat ik alles super veilig heb opgeslagen en verwerk maar of dat daadwerkelijk zo is?
Dit gaat naar mijn idee zo enorm vaak fout omdat bedrijven gewoon voor een dubbeltje op de eerste rang willen zittten, zoveel mogelijk geld binnen harken in een zo kort mogelijke tijd en wat de risico's dan zijn boeit vaak niet totdat het mis gaat en zelfs dan boeit het ze vaak niet en komen ze er met een simpele sorry van af.
Tuurlijk is de grote schuldige in deze de kwaadwillende persoon die deze gegevens steelt en lekt maar waar is Sunweb allemaal nalatig in geweest? Worden er door een externe partij echt de juiste vragen gesteld of dit is gebeurt omdat er gewoon niet afdoende maatregelen zijn genomen in de hoop dat het gewoon goed zou gaan of konden zij er echt niets aan doen?
Aan dat laatste twijfel ik namelijk, zeker zodra een winstoogmerk in beeld komt wordt die afweging gewoon niet zo nauw genomen.
Ik ben vooral benieuwd of de AVG goed is opgevolgd, welke persoonlijke gegevens zijn het precies? Waren er teveel gegevens of te lang bewaarde gegevens?
Ik vraag me vooral af wat is de echte schade bij deze "dataleaks".
1. de meeste "leaks" zijn niet eens publiek , niet eens in trading forums en op kanalen of darkweb te kopen
2. de leaks die dat wel zijn bevatten wat NAW gegevens, soms een (te blokkeren) creditcard ; er zijn nog nooit doden door gevallen, mensen dakloos geworden, mensen in het ziekenhuis, economische schade
Overdrijven we niet met zijn allen?
Valt me trouwens op dat vooral de rijkere 'elite' laag van de middenklasse het bangst zijn , en met alle soorten angst is , dat het je pas wat kan doen als je het toelaat.
Ik ben vooral benieuwd of de AVG goed is opgevolgd, welke persoonlijke gegevens zijn het precies? Waren er teveel gegevens of te lang bewaarde gegevens?
Ik vraag me vooral af wat is de echte schade bij deze "dataleaks".
1. de meeste "leaks" zijn niet eens publiek , niet eens in trading forums en op kanalen of darkweb te kopen
2. de leaks die dat wel zijn bevatten wat NAW gegevens, soms een (te blokkeren) creditcard ; er zijn nog nooit doden door gevallen, mensen dakloos geworden, mensen in het ziekenhuis, economische schade
Overdrijven we niet met zijn allen?
Valt me trouwens op dat vooral de rijkere 'elite' laag van de middenklasse het bangst zijn , en met alle soorten angst is , dat het je pas wat kan doen als je het toelaat.
Het gevaar schuilt hem in de verzameling van data. Elk datalek brengt meer informatie met zich mee en wordt vakkundig gedocumenteerd om zo op een later moment de puzzel compleet te maken en een volledig profiel te hebben over een persoon. Dit maakt phishing effectiever wat dus ook exact hier gebeurt lijkt te zijn. Hoe completer het profiel, hoe overtuigender het is. Dan komt er zelfs een punt dat er identiteitsfraude plaatsvindt met alle gevolgen van dien.
Dat jij deze verhalen nooit gehoord hebt ligt aan jou. Maar er zijn tal van voorbeelden te vinden op internet en in een boeken over mensen die zichzelf van het leven hebben beroofd dankzij dit fenomeen.
Het feit dat mijn NAW gegevens lekken kan in potentie ernstige gevolgen hebben maar ik besef mij dat ik daarmee niet in de grote groep thuis hoor. Nee ik vind niet dat wij overdrijven en dat we juist hier op gewoon scherp moeten blijven.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
IT Security Officer
Utrecht heeft jou nodig! Als IT Security Officer heeft jouw werk impact op de informatie-beveiliging van onze inwoners, zoals het risico op blootstelling van gevoelige gegevens aan ongeautoriseerde toegang. Door jouw bijdrage maak je echt het verschil in het waarborgen van de veiligheid van onze gemeente. Solliciteer nu!
Information Security Officer
Als Information Security Officer weet jij beleid en praktijk met elkaar te verbinden. Je bent verantwoordelijk voor het opstellen, imple-menteren en bewaken van het informatie-beveiligingsbeleid, conform ISO 27001, het SURF Toetsingskader Informatiebeveiliging en de aankomende NIS2-richtlijn. Je adviseert het management over risico’s, passende maatregelen en de strategische impact van informatiebeveiliging, en je draagt bij aan of coördineert risicoanalyses en in-terne en externe audits.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?