Test: helft 100 populairste Belgische webwinkels is onveilig
De helft van de 100 populairste Belgische webwinkels bevat ernstige beveiligingsproblemen, aldus consumentenblad Test-Aankoop, dat vanwege de ernst de Privacycommissie heeft gevraagd om een aantal van de shops te sluiten. Er blijken verschillende dingen bij de winkels mis te zijn.
Een aantal van de webshops beheert wachtwoorden niet veilig. Ook komt het voor dat de webwinkels een gemakkelijke prooi voor phishing zijn, aldus het consumentenblad. "Bij 33 sites hebben we een lek gevonden waarmee hackers malafide software op de pc van klanten kunnen installeren of waarmee ze in staat zijn om hun shopsessies van op afstand over te nemen. Bij bepaalde sites hebben we zelfs een directe toegang tot de gegevens van de klanten gevonden."
Twee webwinkels, waaronder een online apotheek, waren kwetsbaar voor SQL-injection, waarmee een aanvaller toegang tot de database kan krijgen en bijvoorbeeld klantgegevens kan stelen. In het geval van de online apotheek ging het naast klantgegevens ook om het medisch dossier. Bij een andere webwinkel stonden in de code van de website de databasegegevens vermeld, zodat iedereen de database kon doorzoeken. Verder waren 33 websites kwetsbaar voor cross-site scripting.
Na te zijn ingelicht heeft een aantal webshops maatregelen getroffen. Bij vier online apotheken is dit nog niet gedaan. Test-Aankoop heeft daarom de Belgische Privacycommissie gevraagd om deze vier webshops direct te sluiten totdat alle veiligheidsproblemen zijn opgelost. "We eisen bovendien een striktere en concretere controle op de veiligheid van online winkels. De consument verdient een grotere bescherming wanneer hij zijn aankopen online doet."
Dan betekent dat dat de helft de ict zaakjes en data governance niet op orde heeft. Dat is schokkend als is het al wel bekend. Data vergaren is hip. Data security heeft het beeld van kostbaar en vervelend, komt als sluitstuk.
Wel raar dat er zo weinig op gereageerd wordt. Kennelijk leeft het idee dat alleen apparaten die je zelf kunt beetpakken relevant zijn voor je privacy. Als het in de cloud staat is het niet echt interessant meer.
Dan betekent dat dat de helft de ict zaakjes en data governance niet op orde heeft. Dat is schokkend als is het al wel bekend. Data vergaren is hip. Data security heeft het beeld van kostbaar en vervelend, komt als sluitstuk.
Zoals we allemaal weten lopen er ontzettend veel prutsers rond die een website maken met PHP of die gebruik maken
van kant en klare CMS systemen geschreven in PHP. Met het boekje "PHP for dummies" in de hand!
Het zijn er zoveel dat er al het beeld is ontstaan dat dit op de een of andere manier goed is en inzetbaar in een omgeving
waar eisen aan gesteld worden, maar helaas is de werkelijkheid dat het alleen up-to-par is voor een Personal Home Page.
(waar het voor ontworpen is!)
Zolang de functie mysql_query niet verwijderd wordt uit PHP zullen we hier tegenaan blijven lopen.
Voor dit verhaal heeft Onvio.nl een standaard Netsparker test losgelaten op 100 Belgische sites, zonder toestemming van de eigenaars.
Alhoewel er 3 sites inderdaad erg kwestbaar waren voor SQL injection of XSS, zijn volgens test-aankoop alle sites onveilig die eens opmerking van Netsparker hebben gekregen, zoals bijvoorbeeld geen HSTS header bij het gebruik van HTTPS communicatie...
De testen werden uitgevoerd in Augustus, maar de bedrijven werden nu pas gecontacteerd en kregen welgeteld 3 dagen tijd om alle problemen op te lossen onder bedreiging van publicatie. Veel van de nu pas gebubliceerde issues werden ook al in de tussentijd uit eigen beweging door de eigenaars opgelost.
Helemaal niet ethisch en eigenlijk een storm in een glas water...
http://www.nieuwsblad.be/cnt/dmf20151027_01940537?_section=62785575&utm_source=nieuwsblad&utm_medium=newsletter&utm_campaign=pm&M_BT=1553307997708&adh_i=a69822bc62ad00095019ef6e1a9d8036&imai=5986f1ae-8749-4350-8f18-0cabc5d12a5a
1b: Laten we geen moeite doen om na te gaan of het om een false positive gaat of niet.
2a: XSS kan IN BEPAALDE OMSTANDIGHEDEN gebruikt worden om een klantensessie over te nemen.
2b: Laten we in de media publiceren dat het mogelijk is om de klantensessies op de site van bedrijf A over te nemen.
...
4: Profit? In ieder geval gratis publiciteit!!!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
