T-Mobile VS: aanvaller die klantgegevens stal kwam binnen via testomgeving
De aanvaller die op systemen van T-Mobile wist in te breken en toegang tot de persoonlijke gegevens van miljoenen Amerikaanse klanten kreeg kwam binnen via de testomgeving, dat heeft ceo Mike Sievert laten weten. "De aanvaller gebruikte zijn kennis van technische systemen, alsmede gespecialiseerde tools en mogelijkheden om toegang tot onze testomgeving te krijgen", aldus de topman.
Vervolgens maakte de aanvaller gebruik van bruteforce-aanvallen en andere methodes om toegang tot de servers te krijgen waarop de klantgegevens stonden. Verdere details worden niet gegeven, behalve dat de toegangspunten nu zijn gesloten. De ceo erkent verder dat het bedrijf gefaald heeft in het beschermen van klantgegevens en maakt hiervoor excuses.
Een man die zegt voor de aanval verantwoordelijk te zijn liet eerder tegenover The Wall Street Journal weten dat de beveiliging van T-Mobile verschrikkelijk is en hij via onbeveiligde routers wist binnen te komen.
Gescheiden netwerken, andere vlans. Security 101.
Gescheiden netwerken, andere vlans. Security 101.
De kans is groter dat er een database met 'live' data is gebruikt in de testomgeving. Dat lijkt mij waarschijnlijker dan dat de testomgeving bij productie kan los van bijv. een stepping-stone ofzo
jaja en ik weet wat er staat.
IMAGO SCHADE
De 1 na de ander lijdt er aan. Totdat het een gemeen goed is en iedereen eraan went want we worden allemaal gehackt.
En dit is toch wel heel droevig...wat een puinhoop.
Gescheiden netwerken, andere vlans. Security 101.
Denk niet dat in een groot netwerk als dat van T-Mobile alle netwerken gescheiden zijn. Tuurlijk, VLANs. En dan routeert de router netjes alles tussen T en P. Denk niet dat al die duizenden hosts en duizenden applicaties op het netwerk allemaal netjes gescheiden zijn, zero trust hebben afgedwongen of dat alle firewall regels 100% volgens de eisen zijn geconfigureerd en gedocumenteerd zonder achterstallig onderhoud.
Laat staan dat accounts slechts op een enkele omgeving in kunnen loggen (welke omgevingen hebben over alle applicaties heen aparte accounts voor D, T, A, P, beheeractiviteiten, cloudactiviteiten etc?). En ga zo maar verder. Dit is geen netwerk met 10 hosts en 1 beheerder, dat wordt wel eens vergeten. Theorie in een leslokaal <> praktijk.
IMAGO SCHADE
De 1 na de ander lijdt er aan. Totdat het een gemeen goed is en iedereen eraan went want we worden allemaal gehackt.
En dit is toch wel heel droevig...wat een puinhoop.
Het is al gemeengoed geworden. Je kunt je de vraag stellen: hoe groot is de imagoschade? Dat ligt voor een groot deel aan de manier waarop T-Mobile omgaat met deze hack. Als dat goed gebeurt, het bedrijf open kaart speelt en zaken niet doelbewust besodemietert, dan valt het wel mee. Tuurlijk, we hebben weer een leuke casus voor onze beveiligingscursussen, maar ik vraag me af in hoeverre een jaar van nu de beurskoers dit incident nog reflecteert. Sterker nog: over 6 maanden is iedereen dit hoogstwaarschijnlijk weer vergeten. Kijk naar Facebook. Begin dit jaar (april): 533 miljoen records op straat. Wie heeft het er nu nog over? Het is verbazingwekkend stil. Het geheugen van de meeste mensen gaat niet verder dan de eerstvolgende Facebookpost. Dat zal ook de reden zijn waarom politici zich pas 3 weken voor de verkiezingen zorgen gaan maken over blunders. In het stemhokje herinnert slechts een fractie van de kiezers zich de blunders en huichelarij van 3.5 jaar geleden.
Het is weer een schoolvoorbeeld van hoe (operationele) managers in de praktijk gewoon totaal niet weten waar ze mee bezig zijn als het op beveiliging aan komt. Men schuift beveiligingsaspecten terzijde en kloot maar wat aan.
Interessant inkijkje in de motieven van de dader en de sucrity bij T-Mobile
Net als hardware kent ook software toleranties.. het is maar net waar je staat.
En zo werkt het met alles...alles werkt met toleranties.
Niks is perfect. En maar goed ook.
Controle is een illusie!
Het Orakel
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
