Onderzoeker steelt gevoelige data via AVG-inzageverzoeken
De Algemene verordening gegevensbescherming (AVG) geeft Europese burgers het recht op inzage, maar via deze inzageverzoeken is het ook mogelijk om gevoelige gegevens van anderen te stelen, zo heeft onderzoeker James Pavur van de Universiteit van Oxford tijdens de Black Hat-conferentie in Las Vegas laten zien.
Via het recht op inzage kunnen burgers vragen welke gegevens een organisatie over hen heeft verzameld. "Mijn onderzoek richtte zich op een praktische casestudy waarin ik via recht op inzageverzoeken zoveel mogelijk informatie als mogelijk over mijn verloofde probeerde te stelen (met haar toestemming)", aldus Pavur. Voor het onderzoek schreef hij meer dan 150 organisaties aan, zonder een identiteitsbewijs van zijn verloofde te overleggen. Om met de organisaties te communiceren maakte hij een e-mailadres aan dat de naam van zijn vriendin bevatte.
Bijna een kwart (24 procent) van de aangeschreven organisaties verstrekte uiteindelijk persoonsinformatie aan de onderzoeker. Over het gehele onderzoek genomen wist hij allerlei onbekende persoonsinformatie te verzamelen, zoals telefoonnummers, ip-adressen, reisgegevens en aankoopgeschiedenis. In vijftien procent van de gevallen ging het om gevoelige data zoals een social security nummer, creditcardgegevens en wachtwoorden uit datadumps.
Grote bedrijven doen het goed, aldus de onderzoeker. 39 procent van de aangeschreven organisaties vroeg voor het verstrekken van de gevraagde gegevens om een "sterk" identiteitsbewijs. Kleine bedrijven bleken het verzoek om inzage juist te negeren (13 procent). Het zijn voornamelijk middelgrote bedrijven die met de AVG bekend zijn, maar geen proces hebben om inzageverzoeken te behandelen, die de fout ingaan.
Pavur adviseert bedrijven om inzageverzoeken via een ingelogd account te laten verlopen wanneer dit mogelijk is. Verder wordt aangeraden om elektronische identiteitsverificatie via een externe partij te laten lopen als de organisatie dit zelf niet kan en als laatste om verdachte inzageverzoeken te weigeren.
En val s.v.p. al die bedrijven niet lastig met nutteloze verzoeken (150!). Deze wet is niet bedoeld voor om je ego te strelen, meneer de onderzoeker. Ga iets nuttigs doen.
En val s.v.p. al die bedrijven niet lastig met nutteloze verzoeken (150!). Deze wet is niet bedoeld voor om je ego te strelen, meneer de onderzoeker. Ga iets nuttigs doen.
Het lastigvallen is met de GDPR door privacy voorvechters een standaard aanpak.
De GDPR is daar niet voor bedoeld daar zijn we het over eens.
Dat de hack door het gebruik van die wet allerlei zaken van anderen kan openbaren door een gebrek aan bewijs van juiste identiteit is wel zeker een goede vraag. Wat dat betreft is het onderzoek nuttig en goed uitgevoerd.
Het is een misvatting dat de beveiliging enkel maar een technisch ICY vraagstuk is. De GDPR is er juist voor om die misvatting aan te kunnen pakken. De verwerkingsverantwoordelijke is het bestuur (C-level) en niet een medewerker of extern bedrijf.
Dus hoop ik voor deze organisaties, dat e.e.a. alleen op papier is beantwoord.
proffiteurs zullen profiteren en cry wulf doen als ze worden ontmakstert => mensen die nu al cry wulf doen hierboven en onderzoeker framen, zijn dat dan proffiteurs? dat zou een leuke onderzoeks hypothese zijn weer. nu falsifiseren jonges. deze mensen hierboven zouden immers ook last kunnen hebben van Dunning-Kruger (de minder competente variatie hiervan natuurlijk, aar dat mocht uit de context wel duidelijk zijn eigenlijk maarja Dunnig-Kruger dus zetten we het er maar weer bij :) al is het maar voor de std monty python ironie factor).
Al die internet bedrijven zijn niet bevoegd om mijn pas te eisen en middels email en zo al helemaal niet in staat om te controleren of ik het wel echt ben. Of de foto lijkt, bijvoorbeeld.
Omdat ik wel mijn rechten heb middels de AVG, lijkt het mij evident dat om me correct te te identificeren, ik niet helemaal naar al die belastingvrije hoofdkwartieren in Ierland hoef te reizen. Maar dat ze netjes naar mij komen. Aan de deur. Op een tijdstip dat mij uitkomt.
Of ze dan met een drone komen of lopend maakt mij niet uit.
Waar staat in dat paspoort dat niet iedereen een kopie zou mogen hebben?
Het is een hulpmiddel bij het bewijzen dat je de betreffende persoon echt bent. Alleen het origineel kan daarbij ingezet worden.
Een kopie zegt niets, enkel dat de ontvangende instantie een kopietje bemachtigd heeft.
Tja de faal van BZK RVIG en het AP is hardnekkig. Het enige wat er op zit is vasthouden aan de echte wettelijke verplichting (artikel 12 bij gebruik BSN)
Het is een hulpmiddel bij het bewijzen dat je de betreffende persoon echt bent. Alleen het origineel kan daarbij ingezet worden.
Een kopie zegt niets…
Een kopie kun je door de gemeente laten waarmerken. Je gaat dus met het originele paspoort naar de gemeente en zij controleren het echte document. Volgens mij bieden alle gemeenten deze service. Daarom snap ik nog steeds niet dat er bedrijven zijn die een kaal kopietje gebruiken om een identiteit vast te stellen.
Anderzijds is zo'n waarmerk vaak niet meer dan een stempel, die een beetje vervalser wel kan namaken. (Waar je in Amsterdam zo'n € 19.- voor betaalt)
Een kopie kun je door de gemeente laten waarmerken. Je gaat dus met het originele paspoort naar de gemeente en zij controleren het echte document. Volgens mij bieden alle gemeenten deze service. Daarom snap ik nog steeds niet dat er bedrijven zijn die een kaal kopietje gebruiken om een identiteit vast te stellen. ..
Het is wel veel beter dan het niets van BZK RVIG hier. en geldig paspoort wat je bezit en de werkende sleutels etc.
De bedrijven hier worden met het onmogelijke opgezadeld om te bewijzen dat ze hun best hebben gedaan om de identiteit vast te stellen. Dan komt het "bewaar maar een scan van de pas" als oplossing.
Wel jammer:
Het AP weet niets, kan niets over dat invullen van het noodzakelijke bewijs.
Ze ondergraven wel de doelstelling en werken daarmee privacy schendingen en fraude in de hand.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
