Groep claimt diefstal logins bij Belgische EPD-ontwikkelaar
Een groep aanvallers zegt op internet dat het heeft ingebroken op de servers van het Belgische Xperthis en daarbij de inloggegevens en e-mails van meer dan 800 zorgverleners uit Europa heeft bemachtigd. Xperthis speelt een hoofdrol bij de ontwikkeling van het Belgische Elektronische Patiëntendossier (EPD).
Ook ontwikkelt het bedrijf applicaties voor ziekenhuizen en zorgprofessionals. "Deze applicaties worden voornamelijk gebruikt om patiëntgegevens te beheren en op te slaan. Je zou daarom verwachten dat Xperthis de beveiliging van de eigen servers nauwlettend in de gaten zou houden, maar dat was niet het geval", aldus de groep, die zich Rex Mundi noemt.
De groep dreigt de gegevens binnen twee dagen openbaar te maken als er niet betaald wordt. Om wat voor bedrag het gaat is onbekend, maar Xperthis zou niet op de berichten van Rex Mundi hebben gereageerd. Wel is de website van het softwarebedrijf wegens onderhoud uit de lucht gehaald. "Er zijn op dit ogenblik onderhoudswerken gaande op deze website. Bedankt voor uw geduld.", zo laat de tekst op de site weten.
Vaker
Het is niet de eerste keer dat Rex Mundi bij bedrijven inbreekt en ze vervolgens afperst. Eerder wisten de criminelen bij het Nederlandse uitzendbureau Accord, het Belgische financiële bedrijf Elantis, het Belgische uitzendbureau AGO Interim, de Franse kredietverstrekker Credipret, het Belgische kredietbureau Buy Way, de Italiaanse hostingprovider Websolutions, de Belgische internetprovider Numericable, het Belgische uitzendbureau Habeas en de Belgische hostingprovider AlfaHosting in te breken.
"Werkt dat og een beetje, dat afpersen? Ik lees steeds na zo'n bericht dat er niet betaald wordt en dat de gegevens dan op straat belanden, bedrijven worden in zo'n geval toch amper aangepakt dus dat lijkt de goedkoopste optie te zijn."
Denk je dat bedrijven, indien zij wel betalen om imagoschade te voorkomen, dit openlijk zullen toegeven ? En denk je dat de criminelen de publiciteit zullen zoeken indien je aan hun eisen voldoet ? Dat je niet leest over betalingen wil niet zeggen dat deze niet plaatsvinden.
"Misschien dat dan eens serieus nagedacht wordt over beveiliging van onze gegevens bij deze bedrijven."
Die bedrijven moeten doen wat ze zelf willen. Maar de overheid moet selectiever zijn met partners voor dit soort gevoelige projecten, en veel hardere eisen stellen m.b.t. audits / pentests.
Ik maak mij vooral zorgen om de onkunde bij de overheid, die onze gegevens op straat laten komen door in zee te gaan met amateuristische clubs. Om vervolgens iedere kritiek weg te wuiven, zoals politici wel vaker doen.
Overigens hoop ik dat justitie eindelijk deze ''Rex Mundi'' hackers eens in het vizier krijgt, zodat deze opgepakt kunnen worden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
