Fortis lekt gegevens rijke klanten op internet
Fortis heeft gevoelige gegevens van zeer vermogende, particuliere klanten onbeveiligd op het internet gezet. De informatie is afkomstig uit een interne presentatie van Fortis MeesPierson, de tak waar de bank zijn rijkste klanten in Nederland onderbrengt. Via Google kon iedereen de uit 2006 afkomstig zijnde presentatie vinden. Dit was mogelijk door een beveiligingslek bij The Customer Connection, een netwerkbureau waarvan onder meer financiële dienstverleners MeesPierson Private Banking, ABN Amro, Aegon, SNS Bank en Robeco Direct lid zijn, maar ook energiebedrijf Essent, de Algemene Onderwijsbond en Gemeente Zoetermeer.
Uit de presentatie blijkt dat Fortis klanten aanmerkt als "ster", "melkkoe" of "hond". Het door de Boston Consulting Group ontwikkelde analysemodel wordt gebruikt om klanten naar verdienpotentieel in te delen. De informatie was "per abuis" op het web verschenen en stond sinds maandag waarschijnlijk online. Het bureau heeft de beveiliging inmiddels verscherpt.
inmiddels verscherpt. " Ze wss hebben de data verwijderd &
mss een directorietje van rechten aangepast. Beveiliging
vraagt een voorstudie, decisions, coordinatie,
implementatie test; testing & implentatie productie.(wss nog
wel ergens een stapje vergeten).
Bottomline: Dit vraagt tijd.
Waarom hebben die mensen het moeilijk eerlijk te zijn. Zeg
gewoon dat je een fix hebt uitgevoerd om het probleem nu op
te lossen(korte termijn) & dat er moet onderzocht worden
waar verbeteringen mogelijk zijn & de economische
haalbaarheid daarvan. // Mij kan het niet schelen dat ze aan
slechte security doen, maar dan moet management het risico
aanvaarden
Rome is niet gebouwd op één dag.
als burger en als klant willen we er niks van weten. Rare
spagaat.
en dat worden dus dikke excuus brieven sturen naar de klanten..
als "ster", "melkkoe" of "hond".
Bedrijfskunde", niet echt schokkend.
Ik noem mensen ook gebruikers. Zie jij iedereen op een werkvloer drugs
gebruiken?
particuliere klanten onbeveiligd op het internet gezet."
Volgens mij heeft Fortis niks verkeerd gedaan toch? Het was
"he Customer Connection" welke de informatie lekt....
Dat weten ze, maar vinden 't veel te 'handig' voor beheer, om er iets aan te
willen doen.
rapport."
En waarschijnlijk is het interne rapport nog jarenlang via Google Cache (en
evt. via de Internet Archive) op te vragen. Typerend dat men dat bij het
lekken van gegevens praktisch altijd over het hoofd ziet.
De Fortis SWIFT servers zijn toegankelijk met een open guest
account..
Dat weten ze, maar vinden 't veel te 'handig' voor beheer,
om er iets aan te
willen doen.
ver gaan om zo naar buiten te brengen.... Ik praat uiteraard
niet goed wat ze kennelijk bij Fortis uitvreten, maar dat is
nog geen reden om zelf zo weinig subtiel dit publiek kenbaar
te maken. Ik zou zeggen, neem contact op met de redactie als
je het echt aan de grote klok wil hangen.
Nu ben ik pro-disclosure. Maar zelfs dit vind ik nog veel te
ver gaan om zo naar buiten te brengen.... Ik praat uiteraard
niet goed wat ze kennelijk bij Fortis uitvreten, maar dat is
nog geen reden om zelf zo weinig subtiel dit publiek kenbaar
te maken. Ik zou zeggen, neem contact op met de redactie als
je het echt aan de grote klok wil hangen.
Zeg lievert,
Je gaat er zo maar van uit dat het nieuws is.
Het is al lang een publiek geheim, waar de verantwoordelijke
instaties hun vingers niet aan willen branden.
Onze vriend Jean-Paul zit in een aardig vetpotje waar veel
mensen uit snoepen, mag jij raden wie ;-)
*Tante Anna
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
