Online onderzoek gemeente Schagen bevat risicovolle link
Een onderzoek dat uit naam van de Noord-Hollandse gemeente Schagen wordt uitgevoerd blijkt deelnemers naar een risicovolle website te sturen. De Erasmus Universiteit doet in opdracht van de gemeente onderzoek naar wat inwoners van zaken als woonomgeving, zorg en dienstverlening vinden.
Hiervoor besloot de universiteit 6.000 van de 46.000 inwoners te benaderen om via internet aan een online onderzoek mee te doen. De link naar het onderzoek wijst echter naar een risicovolle website, zo blijkt uit een waarschuwing die deelnemers kregen. De universiteit gaat nu al 6.000 een brief met excuses sturen. Ook wordt de vragenlijst per post naar de inwoners gestuurd, zo meldt de lokale radiozender SchagenFM.
Update
SchagenFM meldt dat de enquête van de gemeente ten onterechte een viruswaarschuwing heeft gegeven. Hoewel deelnemers aan het onderzoek de melding kunnen krijgen dat het om een risicovolle website gaat is dit volgens de gemeente niet het geval.
http://www.schagenfm.nl/nw-28464-7-3624334/nieuws/onjuiste_virusmelding_in_onderzoek_gemeente.html
Als de waarschuwing foutief is, dan is dat toch in de eerste plaats de verantwoordelijkheid van die applicatie en haar gebruikers? Het risico is voor de gemeente.
<speculatie-modus>
Ik kan mij voorstellen dat de link wordt afgevangen door de anti-virussoftware van de gebruiker, en gezien het feit dat de waarschuwing kennelijk onterecht is, liggen de schuld en de kosten in dat geval bij de maker van de anti-virussoftware.
't Kan natuurlijk ook zijn dat de waarschuwing (gedeeltelijk) terecht is, omdat de EUR zijn enquête-website host bij een dubieuze hoster.
</speculatie-modus>
Maar een beetje meer achtergrondinformatie bij dit bericht zou een hoop vragen en speculatie van de lezers wegnemen.
De gemeente zegt, dat de site niet risicovol is, wil niet zeggen, dat de melding van de anti-virus software onterecht is. Dat ligt nl. aan het criterium voor wat je veilig vind. Een website die scripts draait, kan voor een virusscanner onveilig zijn, maar omdat de scripts informatie vergaren voor de gemeente, denkt die daar anders over. Zolang dit soort informatie ontbreekt, kun je geen van beiden gelijk geven.
Als je nou even gedegen onderzoek doet alvoor iets te beweren, zijn genoeg aanleidingen dat heel gemakkelijk een MITM kan plaatsvinden... als er iets risicovol is...
De meest onbekwame jojo in je organisatie kan een willekeurige enquetetool op een wild websiteje gebruiken om vervolgens alle medewerkers aan te schrijven met een mail met een link erin naar een volstrekt onbetrouwbare tool (surveymonkey bv., waar je willekeurige enquetes in kan vullen van andere bedrijven door de URL iets aan te passen...).
Als beveiliger krijg je dan tien vragen of dat nou wel de bedoeling is en een heleboel hoofdpijn over of je daar beter maar eens beleid over kan maken, welk beleid dan, en hoe je dat vervolgens af gaat dwingen... en wij maar voorlichten over dat je niet op links in mail moet klikken etc.
Advies welkom ;-).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
