Vattenfall lekt persoonlijke gegevens van dertigduizend klanten
Energieleverancier Vattenfall heeft een datalek bij de Autoriteit Persoonsgegevens gemeld nadat een inhuurkracht toegang tot de persoonlijke gegevens van dertigduizend klanten kreeg en deze mogelijk aan fraudeurs doorspeelde. Ook getroffen klanten zijn inmiddels ingelicht. Eind vorig jaar waarschuwde Vattenfall klanten al voor een datalek nadat een medewerker hun gegevens fotografeerde en deelde met oplichters.
Nu blijkt er opnieuw een dergelijke situatie zich te hebben voorgedaan. Een inhuurkracht van een externe partij kon via het digitale archief dat wordt gebruikt om brieven op te slaan toegang tot de persoonsgegevens van zo'n dertigduizend klanten krijgen. "Hierdoor kunnen klantgegevens bij derden zijn beland, om misbruik van te maken", aldus de energieleverancier in een bericht met de titel "Fraude met klantdata".
De gestolen gegevens bestaan uit naam, e-mailadres, adresgegevens, telefoonnummer, en in verschillende gevallen deels afgeschermde bankrekeningnummers en geboortedatum. Volgens Vattenfall kunnen deze gegevens worden misbruikt voor bankhelpdeskfraude en phishing. Bij meerdere gevallen van bankhelpdeskfraude, waarbij slachtoffers voor tienduizenden euro's werden bestolen, bleek dat oplichters over lijsten met persoonsgegevens van slachtoffers beschikten.
Vattenfall zegt dat het met de niet nader genoemde betrokken externe partijen maatregelen heeft getroffen. Zo is onder andere inzage in het online archief aan banden gelegd en het proces van het aannemen van nieuwe medewerkers onder de loep genomen.
Het is toch jammer dat we al 4 jaar de AVG hebben, en nog steeds geen effect heeft. Je moet als consument zelf overal achter aan gaan. Dit zou toch zulke boetes voor Vattenfall moeten opleveren, dat ze echt hun beleid gaan aanpassen...
Want nu is het melding doen, en weer door met de waan van de dag. Dus er zal niets veranderen, en over 6 - 12 maanden is de volgende lek...
TheYOSH
Wat mij het meeste verbaasd is geboorte datum, dat heeft Vattenfall toch helemaal niet nodig?
verantwoordelijk voor. En wat leren we, zoals gewoonlijk helemaal niets.
Deze externe medewerker is/was werkzaam op de klantenservice dus had de toegang nodig voor zijn/haar werkzaamheden (bijvoorbeeld oude contract problemen oplossen). De persoon is gesnapt door een aangesterkte controle dus kwam waarschijnlijk naar boven in de access list na fors meer documenten te hebben bekeken vergeleken met andere collega's.
Staat niet hier in het artikel inderdaad, maar het artikel op Tweakers is wat uitgebreider.
Wat mij het meeste verbaasd is geboorte datum, dat heeft Vattenfall toch helemaal niet nodig?
Deze externe medewerker is/was werkzaam op de klantenservice dus had de toegang nodig voor zijn/haar werkzaamheden (bijvoorbeeld oude contract problemen oplossen). De persoon is gesnapt door een aangesterkte controle dus kwam waarschijnlijk naar boven in de access list na fors meer documenten te hebben bekeken vergeleken met andere collega's.
Staat niet hier in het artikel inderdaad, maar het artikel op Tweakers is wat uitgebreider.
Zelfs dat is absurd.. hoe kan een klantenservice medewerker een dump maken van x duizend klanten.
Een goed ontworpen systeem laat je van 1 tot maximaal X klanten tegelijk data opvragen en kan zelfs dan nog grote geanonimizeerd laten.
Heeft een helpdesk medewerker een dump nodig van klanten ? nee, dus die mogelijkheid zou niet moeten bestaan.
Tevens zal een goed ontworpen systeem loggen welke medewerker welke data opvraagt.
Met een aantal simpele tools zou dan een spike of andere afwijkingen hekend zijn.
Maatregelen zoals genoemd is 1, maar voorkomen door een degelijk ontworpen systeem is beter.
Wat nou als de inhuurkracht omwille van de functie bij de gegevens moest kunnen?
Wat nou als de inhuurkracht omwille van de functie bij de gegevens moest kunnen?
Net zoals hierboven al geschetst door anderen: dat hij bij een klantgegevens kan is op zich ok. Echter het extraheren van gegevens van een grote hoeveelheid klanten zou niet moeten kunnen. Iets 1 voor 1 extraheren is een heel ander verhaal dan 30.000 in 1 keer.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
