Blokker meldt datalek bij Autoriteit Persoonsgegevens
Winkelketen Blokker is getroffen door een datalek en heeft dit gemeld bij de Autoriteit Persoonsgegevens, zo blijkt uit een e-mail die het bedrijf naar klanten stuurde. Volgens Blokker is er met een aantal e-mailadressen en wachtwoorden geprobeerd om op accounts van Blokker.nl in te loggen.
Daarbij is het de aanvallers gelukt om toegang tot de accounts van een onbekend aantal klanten te krijgen. Specifieke details over de aanval worden niet in de e-mail gegeven, behalve dat de e-mailadressen en wachtwoorden die de aanvallers gebruikten niet van Blokker afkomstig zijn. Het lijkt dan ook om een zogeheten "credential stuffing" aanval te gaan, waarbij aanvallers met gegevens die bij andere websites zijn gestolen op accounts proberen in te loggen.
Dergelijke aanvallen zijn succesvol wanneer gebruikers hun wachtwoord hergebruiken. Volgens Blokker hebben de aanvallers geen bestellingen via de gecompromitteerde accounts geplaatst. Alle getroffen accounts zijn geblokkeerd. Klanten kunnen die door Blokker te bellen laten deblokkeren. Het incident is bij de Autoriteit Persoonsgegevens gemeld.
Is dit dat een geval van geen addequate beveiliging?
TheYOSH
de informatie kan bereiken die bij dat account hoort (en niet die van andere accounts) is er gewoon op juiste en doelmatige
wijze gebruik gemaakt van het systeem. Je kunt dan hooguit stellen dat het gebruik van een wachtwoord als beveiliging
niet erg effectief is (en dat weten we nou wel, laat die riedeltjes over wat een sterk wachtwoord is gerust achterwege want
dat lost het helemaal niet op!)
Bedrijven kunnen zelf iets doen door hun software zo in te richten dat er geen gebruik wordt gemaakt van een e-mailadres
of iets anders voor de hand liggends als accountnaam, maar de accountnamen zelf te laten kiezen eventueel met hulp
van een faciliteit die voor de klant zelf een accountnaam genereert die uniek is en niet gemakkelijk af te leiden is uit andere
bekende informatie van mensen (zoals naam, adres, e-mail, telefoonnummer etc).
Verder wel mooi dat ze er een melding van maken.
Is dit dat een geval van geen addequate beveiliging?
TheYOSH
Wat maakt 2FA echt voor een verschil?
Zie je naar privacy beveiliging als een mate van inspanningverplichting en hoeveel en hoe degelijke maatregelen een organisatie treft, hoe inherent lek software de markt op wordt gezet en draait of zie jet als gewoon een absolute maatstaf?
Ik heb geen e-mail gekregen ondanks dat ik een blokker.nl account heb, mag ik dan aannemen dat mijn account niet gecompromitteerd is? Ik gebruik een wachtwoord manager en heb overal unieke sterke (gegenereerde) wachtwoorden.
Omdat ik voor werkelijk elke site een uniek wachtwoord heb en geen email van Blokker heb gekregen ga ik er vanuit dat mijn account niet misbruikt is als de gegevens niet van Blokker zelf gelekt zijn.
1: er is een formele definitie van de term 'datalek' en die dekt ook 'het ongeautoriseerd verkrijgen' van toegang tot een systeem.
2: altijd goed om dit te weten:
https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/2019_voorbeeldlijst_wel_niet_melden_datalek_def.pdf
3: op dit moment is de richtljn nog niet dat voor 'gewone persoonsgegevens' mfa toegang nodig is. dus is er geen sprake van overtreding van de avg.
dat lost het helemaal niet op!
Doe ik verder niks mee, en klik door naar het item van vandaag over de zoveelste password manager dat problemen heeft.
Een hardware key of software key of certificaat om enkel huishoudartikelen te kunnen bestellen?
Ik zie dan nog wel bestaansrecht voor de fysieke winkels van Blokker...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
