Door Anoniem: Wat ik niet helemaal snap is waarom de omgeving waar de "hacker" op heeft ingelogd bereikbaar was vanaf buiten de omgevingen waar deze in gebruikt wordt.

Door Anoniem:
Het was Salesforce en dat is een Amerikaans software bedrijf in de cloud.

Door Anoniem: Wat ik niet helemaal snap is waarom de omgeving waar de "hacker" op heeft ingelogd bereikbaar was vanaf buiten de omgevingen waar deze in gebruikt wordt.

Door Anoniem: Hoe gewiekst de aanvaller ook was, dit zie ik ook als fouten van Odido (en niet van die medewerker!) die goed te voorkomen waren geweest.

Door Anoniem: Meerdere dingen vallen me op aan het filmpje.

1. De verificatiecode die de medewerker invult wordt op een smartphone gegenereerd en op de nep-website van de aanvallers ingevuld. Dat is dus geen vorm van verificatie die voor een ander domein in de URL ook een andere code oplevert. Bij gebruik van een FIDO2-securitytoken dat de medewerker alleen maar had hoeven aanraken was deze aanval niet gelukt, bijvoorbeeld, dat voorziet daarin.

2. Een medewerker die daar zit om telkens een individuele klant te woord te staan heeft kennelijk rechten op het systeem waarmee een complete database met gegevens van miljoenen klanten benaderd kan worden. Hoort die medewerker niet alleen maar gegevens van individuele klanten stuk voor stuk op te mogen vragen? Hoort een callcenter-medewerker wel vanaf een andere plek dan het callcenter te kunnen inloggen? Het reconstructiefilmpje begint met de melding: "een medewerker van Odido heeft dienst op het callcenter". Dat suggereert dat die medewerker op andere momenten ook andere werkzaamheden heeft. Breng dat dan bijvoorbeeld onder in een afzonderlijke user.

3. Die medewerker vond het kennelijk heel normaal om zomaar rechtstreeks door een IT-medewerker benaderd te worden die instructies ging geven. Als dat inderdaad normaal is bij callcenter-diensten moet dat wellicht anders georganiseerd worden. Het helpt erg als mensen bij iets raars ook werkelijk opmerken dat het raar is. Maar dit kan ook eraan liggen dat iemand zo op behulpzaamheid is ingesteld dat dat de overhand heeft. Dat is een prima eigenschap voor een callcenter-medewerker of tijdens een callcenter-dienst, maar bescherm mensen dan tegen zich hun eigen sterke eigenschappen door te zorgen dat dingen waar die niet goed mee combineren domweg niet kunnen.

Hoe gewiekst de aanvaller ook was, dit zie ik ook als fouten van Odido (en niet van die medewerker!) die goed te voorkomen waren geweest.

Door Anoniem: Meerdere dingen vallen me op aan het filmpje.
Hoe gewiekst de aanvaller ook was, dit zie ik ook als fouten van Odido (en niet van die medewerker!) die goed te voorkomen waren geweest.

Hij doet het heel erg gewiekst

Door Anoniem:
Veel CallCenter medewerkers werken gewoon thuis. Dus ja het is niet vreemd dat er vanaf een willekeurige locatie ingelogd kan worden. Gezien de hoeveelheid informatie waar de medewerker bij kan is sowieso de vraag te stellen, is dat allemaal wel nodig? Hebben zij die informatie wel echt nodig voor de uitvoering van de dagelijkse taak?

Dan het stukje over de zogenaamde IT-medewerker.... Ik snap niet dat mensen niet gewoon bewust worden gemaakt op het feit dat een specialist echt jouw token niet nodig heeft om iets te kunnen oplossen. Zij hebben hun eigen credentials met veelal hogere rechten om hun ding te kunnen of om in te kunnen loggen als zijnde de andere gebruiker. Die code heeft hij echt niet nodig en zou je nooit aan iemand moeten geven.
Ik heb dit al eens eerder gezegd maar alles lijkt erop dat er gewoon van binnenuit bewust medewerking is verleend door omkoping bijvoorbeeld. Het gesprek wat je hoort is in dat geval gewoon een stukje acteerwerk om het te lijken alsof de medewerker hier geen weet van heeft gehad.

Dan als laatste, en ook dat heb ik al zo vaak geroepen. Wat is er gebeurt met alert instellingen in dit soort gevallen. Er wordt een ongebruikelijke hoeveelheid data vanaf een ongebruikelijke gebruiker gedownload. Dus netwerkactiviteit moet een piek hebben laten zien, waarom is er geen systeem of melding geweest waarop direct alarm heeft geslagen. Het is bijna ondenkbaar dat dit in deze tijdsgeest niet is geregeld bij een bedrijf als Odido. Zaten ook zij in dit complot? Is dit werkelijk niet ingericht of is er misschien sprake van monitoring fatigue?

Door Anoniem: Dat is om te verhullen dat de implementatie heel slecht was (boven al uitgelegd) omdat kosten bepalend waren?
Ik vind ook dat de directie een douw hoort te krijgen bij zo'n enorm lek.

Door Anoniem: Ik vind het trouwens niet naar een Nederlander klinken, ik hoor allochtone uitspraak hier en daar. Daarnaast kan hij ook gewoon een script oplezen en is het een junk die het doet voor een kratje bier.

Helemaal het 'even er iemand bijhalen'. Die had gewoon nadere instructie nodig toen de pagina niet wilde laden. Zo gewiekst! Duidelijk verstand van want: woorden! Volgens die logica ben ik onder meer chirug en paleontoloog

Door Anoniem:
Ik hoor in het sociolect van de dader, dat hij op zijn minst intensieve contacten met straattaalsprekers heeft. Ik herken er de sound van Kaapverdiaans of Antilliaans uit de Rotterdamse regio in. In het verleden trokken die groepen nogal naar elkaar toe. Opvallend dat politie geen uitspraak meer over mag doen over sociolecten in opsporingsprogramma voor rtv. Mogen ze alleen nog op het bureau, thuis en in de kroeg.

Jammer voor de opsporing, die shiny hunters zijn al wat langer bezig, en bestaat natuurlijk uit meer dan de beller die je hier hoort.

Door Anoniem: "Wij zijn some dudes van de ICT Idido service helpdesk, kunt u uw credentials invoeren op de website die wij u sturen, evenals uw 2FA codes?"
Sturen mensen daar hun wachtwoorden, adresgegevens of zelfs ID-kaarten en rijbewijzen naartoe?
Ik hoop dat de rechter hier korte metten mee maakt in plaats van deze propaganda van de politie die het goed probeert te praten.

Door Anoniem:
Of waarom elke medewerker toegang heeft tot complete klantdata van 6 miljoen mensen, ook al waren velen daarvan geen klant meer en betrof het ook gegevens die die medewerkers helemaal niet hoeven in te kunnen zien.

Er zijn altijd meerdere lines of defense. Je inlogprocedure is daar een van, maar ook dat als je eenmaal ingelogd bent je niet toegang hebt tot ALLE data van ALLE klanten.

De media is weer erg mild voor Odido, maar daar zijn echt grote en verwijtbare fouten gemaakt.

Door Anoniem: Wat slecht... en hoezo gewiekst en sluw te werk?

1. Urgentie scheppen: er staan tickets open die zo snel mogelijk opgelost moeten worden: Medewerker herkent urgentie patroon niet, awareness training 101.
2. Inloggen in een externe browser: Medewerker valideert domein niet. Awarenes training 101.
3. Visher is slecht voorbereid met zijn systeem, kwam onbekwaam en gehaast over.
4. sms MFA moet verboden worden en ik heb het idee dat het bericht niet volledig is, er hoort bij ongebruikelijke inlog iets heel anders te staan, namelijk een alert dat er buiten de omgeving wordt ingelogd.
5. Meerdere pogingen bij callcenter waarbij medewerkers een melding hebben gemaakt, waar was de waarschuwing vanuit IT dat er actief impersonatie pogingen worden gedaan?
6. Vanuit de meldingen van de pogingen, waar was de alert op data verkeer? Hoe kan het dat zij zelf geen abnormale data mutaties hebben gezien en er pas na bericht van ShinyHunters achter zijn gekomen? Had Odido überhaupt een SOC?

1 & 2 is al dikke fail op Odido's awarenes training...
4 fail op MFA beheersmaatregel beleid.
5 fail op meldingen beleid en escalatie protocol.
6 fail op SOC en least privlidge beleid.

Hoe was Odido compliant en hoe krijgen ze hier geen boete voor!?

Door Anoniem: Klopt, het zijn ongetwijfelt de scriptkiddie-katvangers van Sh@ttyhunters, ingehuurt door een stel Russen.

Door Anoniem: Tamelijk simpele truck.

Ik hoor duidelijk een buitenlands accent (het lijkt een marrokaans accent en dat is niet om te stigmatiseren) en zo'n website is zo na te bouwen.
Ik heb dat ook wel eens gedaan om intern personeel te betrappen op hacken.

(Eke website houdt een logfile bij van ip adressen). Heb je nu niks aan natuurlijk. Maar die link kan wel geanalyseerd worden op data, datums en wellicht andere gegevens.

En zo keurig Nederlands spreekt die niet.

Daarnaast is een goede security awareness training wel nodig en neem het op in de gedragpolicy vh bedrijf en zorg dat elke medewerker dit krijgt.

Een gemiddelde gebruiker is niet bestand tegen social engineering dus je zal een aantal gedragsregels moeten opstellen.

Gooi die stemopname door een "AI" stemanalyzer.

En zeker niet die ene medewerker straffen.

Door Anoniem: Sorry maar heel professioneel vind ik dit belletje van de "hacker" niet. En dan zeggen ze, Hij gebruikte interne termen. Ja gek he. Hij heeft al meerdere keren gebeld. Dan verzamel je toch ook kennis tijdens de mislukte pogingen. Dit is puur geluk hebben en heeft niet zo zeer met super goede social engineering skills te maken.

Door Anoniem: Ik vind het trouwens niet naar een Nederlander klinken, ik hoor allochtone uitspraak hier en daar.

Daarnaast kan hij ook gewoon een script oplezen en is het een junk die het doet voor een kratje bier.

Helemaal het 'even er iemand bijhalen'. Die had gewoon nadere instructie nodig toen de pagina niet wilde laden.

Zo gewiekst! Duidelijk verstand van want: woorden! Volgens die logica ben ik onder meer chirug en paleontoloog

Door Anoniem: Ik denk dat je bij bijvoorbeeld een derde generatie Marokkaan nog steeds meestal wel een accent hoort. Toch zijn dat geboren en getogen Nederlanders. Andersom ben ik in de loop van de jaren al meerdere keren tegengekomen dat een duidelijk allochtone Hollander, zelfs een keer met blond haar en blauwe ogen, een uitgesproken Marokkaans accent had.

Wat voegt het toe voor het politieonderzoek? Het gaat er niet om dat er een etnische groep wordt herkend, want die hebben niet met hun allen samen dit misdrijf gepleegd, het doel is dat er een specifieke persoon wordt herkend.

Die oplichter reageert wel degelijk op waar de medewerker mee komt. Dat is wat minder star dan een script oplezen.

De medewerker had net de nep-website in de browser geladen, de aanvaller ging naar de echte website zodat de medewerker een code naar de telefoon gestuurd kreeg. Het was een smoes die de tijd creëerde om zelf een aantal handelingen uit te kunnen voeren.

Gefeliciteerd. Is het je ook gelukt om iemand daar werkelijk in te laten trappen, zoals het deze oplichter is gelukt er een medewerker in te laten trappen?

Door Anoniem:
jij lijkt een boel niet te begrijpen. De vrouw had problemen met de site te laden (volgens de video), daar had hij iemand bij nodig. het oplezen van een script bedoel ik niet dat hij alles aan het oplezen was, of letterlijk 1 op 1 overnam. En ze hebben tig keer getracht in te breken dus als ik van de 10 pogingen een keer een operatiekamer in kan lopen als chirug ben ik ook geslaagd. Begrijpend lezen, voortaan.