MediaMarkt weer de fout in met wachtwoorden dealerportaal
Een vestiging van de MediaMarkt had wachtwoorden die toegang tot de gegevens van Nederlandse telecomklanten gaven slecht beveiligd, zo ontdekte beveiligingsonderzoeker Sijmen Ruwhof, die eind 2015 hetzelfde probleem ook al aan de kaak stelde. Net als drie jaar geleden werd er binnen de MediaMarkt-vestiging nog steeds met een Excel-sheet gewerkt die inloggegevens voor de dealerportalen van verschillende telecomaanbieders bevatte.
De werknemer opent in het bijzijn van Ruwhof de Excel-sheet, die zo alle wachtwoorden kan zien en een foto hiervan maakt. Het Excel-bestand is via Google Docs opgeslagen en bevat allerlei zwakke wachtwoorden. Ook de gebruikersnaam en het wachtwoord voor het Google Docs-account zijn zichtbaar in de sheet. De onderzoeker is verbaasd, aangezien hetzelfde probleem zoals gezegd drie jaar geleden ook al speelde. Destijds besloot de MediaMarkt het wachtwoordbeleid aan te passen en wijzigde KPN het wachtwoord van het dealerportaal.
"Klaarblijkelijk vonden niet alle individuele winkeleigenaren van de MediaMarkt-franchise dat het belangrijk genoeg was om de telecomwachtwoordendatabase te beveiligen en hebben letterlijk niets gedaan. Niemand heeft gecontroleerd of alle winkels zich aan het nieuwe beveiligingsbeleid hielden", aldus de onderzoeker in een blogposting. Verder blijkt dat de winkelmedewerkers de computers die voor het inloggen op de dealerportalen worden gebruikt nooit vergrendelen.
Na te zijn ingelicht heeft MediaMarkt de wachtwoorden bij alle vestigingen aangepast en is het wachtwoordbeleid aangescherpt. Tevens zijn medewerkers opnieuw geïnformeerd dat klanten niet met wachtwoorden moeten kunnen meekijken. KPN heeft daarnaast besloten om tweefactorauthenticatie voor hun dealerportaal te implementeren.
Dit soort dingen gebeurt in elke organisatie waar werkdruk bestaat, werkdruk bestaat overal waar op kosten gelet moet worden, en dat is zo'n beetje overal.
Dit soort dingen gebeurt in elke organisatie waar werkdruk bestaat, werkdruk bestaat overal waar op kosten gelet moet worden, en dat is zo'n beetje overal.
Helemaal eens, maar dit praat nog niet goed dat Mediamarkt de zaken nog steeds niet onder controle heeft. Denk ook zeker niet dat de mensen op de werkvloer hiervoor verantwoordelijk zijn maar het hoger management zeker wel, het management had moeten borgen dat deze gegevens wel goed afgeschermd zijn en hiervoor zijn meerdere middelen te verzinnen (controleren beleid, technische oplossingen waarbij het scherm automatisch gelockt wordt, PC niet in een publieke ruimte zetten, ect). Snap dat dit geld kost maar hiervoor was het management niet bereid voor om in te investeren, een boete lijkt me dan ook zeker op zijn plaats.
Het lastigste hierbij is.... Je kan alles perfect bedenken en controleren. Maar als de werkvloer het niet doet, om wat voor redenen ook, kan is het verdomde lastige te voorkomen.
En juist wachtwoorden vallen daar onder. Diverse personen moeten deze uit hun hoofd weten, en als ze te moeilijk zijn.... Tja wat ga je dan doen...... Dan schrijf je het op.... Of je neemt een heel gemakkelijk wachtwoord dat iedereen kan onthouden.
Een betere methode zou zijn, client certifcaat based authenticatie icm een in code op de webportal, of een gekoppeld systeem aan het MM eigen systeem, zodat de communicatie met de backend plaats vind en niet bij de gebruikers.
intern even gaan onderzoeken.
Rudolf.
Het lastigste hierbij is.... Je kan alles perfect bedenken en controleren. Maar als de werkvloer het niet doet, om wat voor redenen ook, kan is het verdomde lastige te voorkomen.
Dit geeft ook wel een deelse oorzaak van het structurele probleem aan; bij grotere organisaties is de sociale/collegiale controle veel minder aanwezig. Het management raakt het overzicht makkelijker kwijt, met als gevolg dat dit soort problemen kunnen ontstaan.
Eigenlijk moet er een werkomgeving ontstaan, waar veiligheidsbewustzijn geen nagedachte is. Op zo'n manier dat de gewenste weg uitnodigend is voor de werknemers, of in ieder geval niet alleen maar extra moeite oplevert. Wellicht moeten ze dan een nieuwe POS omgeving in gebruik nemen, of een persoon op de werkvloer zetten die werknemers help dit soort zaken aan te leren.
Gewoon alle journalisten buiten de deur houden probleem opgelost. Is er in dit geval een probleem?
NEE er zijn geen persoonsgevens aan de orde. De journalist is het enkel niet eens met de ICT aanvulling. Dat is een keuze van mediamarkt met de auditor als controleur.
Waar je eerder echte problemen hebt zijn de schaduw-ict oplossingen waar een externe partij ineens via een RDP alle toegang tot het interne netwerk gegeven wordt. Minder zichtbaar maar veel gangbaarder en risicovoller.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
