Estse politie deelt 655.000 e-mailadressen met Have I Been Pwned
De politie van Estland heeft een dataset van 655.000 e-mailadressen met de website Have I Been Pwned gedeeld, zodat die de eigenaren kan waarschuwen. Have I Been Pwned is een zoekmachine waarmee gebruikers in meer dan 5 miljard gestolen records kunnen kijken of hun data ooit bij een website is gestolen.
De gegevens in de database van Have I Been Pwned zijn uit allerlei datalekken afkomstig. Gebruikers kunnen zich opgeven om te worden gewaarschuwd wanneer hun e-mailadres in een datalek voorkomt. De website wordt beheerd door beveiligingsonderzoeker Troy Hunt. De Estse politie zocht zijn hulp bij het waarschuwen van personen die het slachtoffer van verschillende datalekken waren geworden.
De politie van Estland vermoedt dat gegevens uit deze datalekken zijn gebruikt om toegang tot mailaccounts en accounts van cryptobeurzen en clouddiensten te krijgen. Het onderzoek naar deze inbraken loopt, maar de Estse politie heeft sterke vermoedens dat de accounts zijn gehackt via wachtwoorden die op andere plekken zijn gestolen. De aanvallers hadden het waarschijnlijk op wallets voor cryptovaluta voorzien.
"De Estse politie heeft ervoor gekozen om de data via Have I Been Pwned beschikbaar te maken, aangezien ze er niet langer van zeker zijn dat de rechtmatige eigenaren toegang tot de getroffen e-mailaccounts hebben. Ze willen ook geen precedent scheppen door e-mails van deze aard naar burgers te versturen, aangezien ze zeer waarschijnlijk in phishingaanvallen worden nagebootst", aldus Hunt.
Wat de Estse politie wel gaat doen is mensen oproepen om via de website Have I Been Pwned te controleren of hun accounts gecompromitteerd zijn. 41 procent van de e-mailadressen uit de dataset van de Estse politie kwam al voor in een ander datalek dat door de website was geïndexeerd.
De Ests politie had de persoonsgegevens nooit mogen doorgeven aan Hunt. Dat de persoonsgegevens toch al gelekt zouden zijn doet er niet toe. Dat Hunt ook goede bedoelingen met die persoonsgegevens heeft doet er ook niet toe.
De Este politie had contact moeten opnemen met de contactpersonen van de domeinen. Die hadden dan de eigenaren van de mailadressen kunnen inlichten of de accounts preventief kunnen blokkeren. Dat was al normaal voordat Hunt de media op zocht en is nog steeds de enige juiste weg. Wel een weg die veel tijd kost. Een goede domeineigenaar zal die berichten goed aanpakken.
Een andere mogelijkheid is het aanschrijven. Het is fout om aan te nemen dat dat als phishing zal worden gezien. De politie hoeft geen urls in de mail te plaatsen en ook niet om informatie te vragen. Waar de politie waarschijnlijk bang voor is zijn de klachten dat ontvangers ongewenst mail ontvangen en de politie de schuld geven. Wat juridisch voor problemen gaat zorgen. Of dat de politie heel veel vragen terug krijgt waar ze op moeten antwoorden, waar ze geen tijd of geen zin in hebben.
Nu heet een Amerikaan onbevoegd nog meer persoonsgegevens ontvangen en legt de Estse politie het probleem bij de personen van wie de gegevens gelekt zijn. Dit is geen oplossing maar een te makkelijke en onzorgvuldige werkwijze van de Estse politie.
....
Het is een Australier. Wel even wat anders.
Voldoet troy hunt aan de gdpr? Is er een dpo?
Indien dat geverifieerd is door ... dan mag het.
Heeft de este tegenhanger van het ap de zaken onderzocht?
Heb je als nl er een probleem met deze estse zaak (jouw email zit er bij) dan mag je het hier bij het ap als klacht indienen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
