DUO lekt gegevens van 60.000 mensen met studieschuld
DUO heeft e-mailadressen van zestigduizend mensen met een studieschuld gelekt. Ook e-mailadressen van scholen, gemeenten en DUO-personeel, waaronder het eigen Security Operations Center, zijn door de uitvoeringsinstantie via online enquêtes gelekt. Dat ontdekte een onderzoeker die BNR informeerde.
DUO laat online enquêtes uitvoeren via het bedrijf Survalyzer. De enquête die personen met een studieschuld ontvingen, en ging over hun financiële situatie, bevatte twee url's, waaronder één om zich af te melden. De beveiligingsonderzoeker was één van de personen die de enquête ontving. Via de url's in de e-mail ontdekte hij dat andere e-mailadressen gebruikt voor deze enquête, alsmede andere enquêtes, te bekijken waren. Technische details over de kwetsbaarheid zijn niet gegeven.
Veel van de e-mailadressen bevatten een naam, waardoor zichtbaar is wie de schuldenaren zijn, aldus BNR. De onderzoeker ontdekte het beveiligingsprobleem op 30 mei en informeerde vervolgens DUO. Het onderzoek en de gegevens zijn op 31 mei offline gehaald. De uitvoeringsinstantie heeft het datalek bij de Autoriteit Persoonsgegevens gemeld en stelt dat de e-mailadressen alleen door de onderzoeker zijn ingezien. Survalyzer laat onderzoek naar het datalek doen.
Reacties (18)
Wederom een externe partij ingehuurd en niet nagedacht over security kennelijk. Waarom zou je in hemelsnaam een als overheidsbedrijf een Zwitsers bedrijf nodig hebben voor zoiets als een enquête? Overigens jubelt t bedrijf over hun ISO 27001 en security maar dat stelt in de praktijk dus niet veel voor.
24-06-2024, 08:12 door
Anoniem
Door linuxpro: Wederom een externe partij ingehuurd en niet nagedacht over security kennelijk. Waarom zou je in hemelsnaam een als overheidsbedrijf een Zwitsers bedrijf nodig hebben voor zoiets als een enquête? Overigens jubelt t bedrijf over hun ISO 27001 en security maar dat stelt in de praktijk dus niet veel voor.
Zwitsers is niet goed voor jou? Ze volgen de EU wetgeving.
Het probleem tegenwoordig is dat men de eigen gemak en belang belangrijker vind dan privacy en tijd van de slachtoffers. Dus de vraag is waarom je ueberhaupt een enquete gaat doen en waarom je daar 60.000 mensen mee lastig valt. "dat hebt ik zo op school geleerd" is niet het goede antwoord.
24-06-2024, 08:17 door
Anoniem
Kan ik beroep nu maken dat ze laks gegaan zijn met bijv./o.a mijn persoonsgegevens en pleiten voor kwijtschelding of halvering?
24-06-2024, 08:38 door
Anoniem
Helemaal niet netjes, maar bij een dergelijke headline denk ik aan een volledige export beschikbaar op het darkweb... Beter om even kudos voor de beveiligingsonderzoeker (als hij dat wil). En ook voor duo leveranciers is een TP(S)RM nodig, en clausule right-to-audit/examine. Maar ja, nog steeds deels mensenwerk.
24-06-2024, 08:42 door
Anoniem
Altijd die klote marktonderzoek bedrijven. Niemand wil dat je daar gegegevns mee deelt maar ze doen het keer op keer. Ben hier ook de dans ontglipt door bezwaar te maken.
24-06-2024, 08:42 door
Anoniem
Advies, doe er mee wat u wilt:
Nooit meedoen aan enquêtes, ook niet vanwege zo een mooi hebbedingetje.
Waar je niet aan hebt en als je het tegen de muur gooit, ook nog kapot gaat.
Nooit meedoen aan enquêtes, ook niet vanwege zo een mooi hebbedingetje.
Waar je niet aan hebt en als je het tegen de muur gooit, ook nog kapot gaat.
24-06-2024, 08:52 door
Anoniem
Door linuxpro: Wederom een externe partij ingehuurd en niet nagedacht over security kennelijk. Waarom zou je in hemelsnaam een als overheidsbedrijf een Zwitsers bedrijf nodig hebben voor zoiets als een enquête? Overigens jubelt t bedrijf over hun ISO 27001 en security maar dat stelt in de praktijk dus niet veel voor.
Waarom niet? Er zal vast een redenen geweest zijn, die wij niet weten, waarom ze voor deze partij gekozen hebben.Bijzonder is wel, waarom deze fout er in zit, is dit niet een standaard oplossing geweest of is customization toegepast, waarin de fout gemaakt is.
Daarnaast zegt ISO 27001 en "security" ook weinig over een totaal plaatje.
24-06-2024, 08:54 door
Anoniem
Door linuxpro: Wederom een externe partij ingehuurd en niet nagedacht over security kennelijk. Waarom zou je in hemelsnaam een als overheidsbedrijf een Zwitsers bedrijf nodig hebben voor zoiets als een enquête? Overigens jubelt t bedrijf over hun ISO 27001 en security maar dat stelt in de praktijk dus niet veel voor.
Alsof het in NL beter geregeld is (hint: Nebu BV).
Dit is trouwens nog geen datalek, dit is een beveiligingsincident. Het wordt pas een datalek als na onderzoek blijkt dat meer mensen dan alleen de melder toegang hebben gehad tot de gegevens, als dat middels logs is uit te sluiten blijft het bij een beveiligingsincident.
Dit is eerder een geval van onvoldoende security by design en privacy by design.
24-06-2024, 08:55 door
Anoniem
Door linuxpro: Wederom een externe partij ingehuurd en niet nagedacht over security kennelijk. Waarom zou je in hemelsnaam een als overheidsbedrijf een Zwitsers bedrijf nodig hebben voor zoiets als een enquête? Overigens jubelt t bedrijf over hun ISO 27001 en security maar dat stelt in de praktijk dus niet veel voor.
Security specialisten hebben niet het laatste woord als het gaat om nieuwe diensten of leveranciers.
Wat ik mij vooral afvraag is of de kwetsbaarheid die hier misbruikt is niet structureel aanwezig is in het platform van Survalyzer. In dat geval kunnen er nog veel meer datalek meldingen volgen, afhankelijk van het incident response onderzoek waarbij hopelijk nog vastgesteld kan worden dat de kwetsbaarheid niet eerder misbruikt is. Goede logboeken zijn echter niet vanzelfsprekend.
24-06-2024, 09:33 door
Anoniem
Door Anoniem:
Alsof het in NL beter geregeld is (hint: Nebu BV).
Dit is trouwens nog geen datalek, dit is een beveiligingsincident. Het wordt pas een datalek als na onderzoek blijkt dat meer mensen dan alleen de melder toegang hebben gehad tot de gegevens, als dat middels logs is uit te sluiten blijft het bij een beveiligingsincident.
Dit is eerder een geval van onvoldoende security by design en privacy by design.
Door linuxpro: Wederom een externe partij ingehuurd en niet nagedacht over security kennelijk. Waarom zou je in hemelsnaam een als overheidsbedrijf een Zwitsers bedrijf nodig hebben voor zoiets als een enquête? Overigens jubelt t bedrijf over hun ISO 27001 en security maar dat stelt in de praktijk dus niet veel voor.
Alsof het in NL beter geregeld is (hint: Nebu BV).
Dit is trouwens nog geen datalek, dit is een beveiligingsincident. Het wordt pas een datalek als na onderzoek blijkt dat meer mensen dan alleen de melder toegang hebben gehad tot de gegevens, als dat middels logs is uit te sluiten blijft het bij een beveiligingsincident.
Dit is eerder een geval van onvoldoende security by design en privacy by design.
Dit is wel een datalek!
Volgens de Algemene verordening gegevensbescherming (AVG) moet de verwerkingsverantwoordelijke een datalek melden. De verwerkingsverantwoordelijke is een organisatie of persoon die het doel van en de middelen voor het gebruik van persoonsgegevens bepaalt.
https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/zo-meldt-u-een-datalek
24-06-2024, 11:28 door
Anoniem
Door Anoniem: Wat ik mij vooral afvraag is of de kwetsbaarheid die hier misbruikt is niet structureel aanwezig is in het platform van Survalyzer.
Ja, het "alsmede andere enquêtes" in het artikel maakt dat expliciet duidelijk. In dat geval kunnen er nog veel meer datalek meldingen volgen, afhankelijk van het incident response onderzoek waarbij hopelijk nog vastgesteld kan worden dat de kwetsbaarheid niet eerder misbruikt is. Goede logboeken zijn echter niet vanzelfsprekend.
Als het goed is kunnen ze aan hun software repository en change history precies zien van wanneer tot wanneer deze fout in hun systeem heeft gezeten. Als hun logs de toegang niet kunnen laten zien schieten ze in mijn ogen tekort, maar tegelijk moeten logs niet overdreven lang bewaard worden als ze zelf weer persoonlijke gegevens kunnen vrijgeven, dus de vraag is hoe die twee dingen zich tot elkaar verhouden. Hoe dan ook kan je wel stellen dat elke klant in de periode dat dit lek bestond potentiëel een datalek heeft gehad.Survalyzer laat onderzoek naar het datalek doen, ze zijn dus kennelijk zo verstandig om een onafhankelijke partij te laten beoordelen wat ze voor steken hebben laten vallen en wat de schade is. Ik denk dat die externe partij moet beoordelen of dit qua effect een drama is, kan zijn geweest, of gelukkig wel meevalt.
24-06-2024, 11:30 door
Anoniem
Door Anoniem:
Dit is wel een datalek!
Volgens de Algemene verordening gegevensbescherming (AVG) moet de verwerkingsverantwoordelijke een datalek melden. De verwerkingsverantwoordelijke is een organisatie of persoon die het doel van en de middelen voor het gebruik van persoonsgegevens bepaalt.
https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/zo-meldt-u-een-datalek
Door Anoniem:
Alsof het in NL beter geregeld is (hint: Nebu BV).
Dit is trouwens nog geen datalek, dit is een beveiligingsincident. Het wordt pas een datalek als na onderzoek blijkt dat meer mensen dan alleen de melder toegang hebben gehad tot de gegevens, als dat middels logs is uit te sluiten blijft het bij een beveiligingsincident.
Dit is eerder een geval van onvoldoende security by design en privacy by design.
Door linuxpro: Wederom een externe partij ingehuurd en niet nagedacht over security kennelijk. Waarom zou je in hemelsnaam een als overheidsbedrijf een Zwitsers bedrijf nodig hebben voor zoiets als een enquête? Overigens jubelt t bedrijf over hun ISO 27001 en security maar dat stelt in de praktijk dus niet veel voor.
Alsof het in NL beter geregeld is (hint: Nebu BV).
Dit is trouwens nog geen datalek, dit is een beveiligingsincident. Het wordt pas een datalek als na onderzoek blijkt dat meer mensen dan alleen de melder toegang hebben gehad tot de gegevens, als dat middels logs is uit te sluiten blijft het bij een beveiligingsincident.
Dit is eerder een geval van onvoldoende security by design en privacy by design.
Dit is wel een datalek!
Volgens de Algemene verordening gegevensbescherming (AVG) moet de verwerkingsverantwoordelijke een datalek melden. De verwerkingsverantwoordelijke is een organisatie of persoon die het doel van en de middelen voor het gebruik van persoonsgegevens bepaalt.
https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/zo-meldt-u-een-datalek
Je linkt naar het verkeerde artikel, je slaat de stap over om te bepalen of het een datalek is en of je die dan moet melden:
https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/datalek-wel-of-niet-melden
24-06-2024, 11:40 door
Anoniem
Nog ter aanvulling:
Wat is een datalek?
Bij een datalek gaat het om toegang tot persoonsgegevens zonder dat dit mag of zonder dat dit de bedoeling is. Waarbij de oorzaak een inbreuk op de beveiliging van deze gegevens is. Ook het ongewenst vernietigen, verliezen, wijzigen of verstrekken van persoonsgegevens door zo’n inbreuk valt onder een datalek.
https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/wat-is-een-datalek
Wat is een datalek?
Bij een datalek gaat het om toegang tot persoonsgegevens zonder dat dit mag of zonder dat dit de bedoeling is. Waarbij de oorzaak een inbreuk op de beveiliging van deze gegevens is. Ook het ongewenst vernietigen, verliezen, wijzigen of verstrekken van persoonsgegevens door zo’n inbreuk valt onder een datalek.
https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/wat-is-een-datalek
24-06-2024, 11:42 door
Anoniem
Hij heeft dus de numerieke key waarde in de URL aangepast. Zo kreeg hij de gegevens pre filled in HTML getoond
24-06-2024, 11:50 door
Anoniem
BNR meldt:
Door het cloud-gebeuren is kennelijk het bewustzijn aan het verdwijnen dat software door hardware wordt uitgevoerd, dat die ergens staat en dat wat daar gebeurt ertoe doet. Het was altijd al zo dat de meeste mensen weinig van IT begrepen, maar het lijkt wel of dat begrip steeds minder wordt naarmate we IT juist steeds intensiever gebruiken, en dat vind ik geen goede ontwikkeling.
¹ https://survalyzer.com/nl/
DUO maakte hierbij gebruik van software van het Zwitserse bedrijf Survalyzer, die slecht beveiligd bleek.
De website van Survalyzer geeft zelf aan¹ dat het SaaS is. Er werd dus niet alleen van de software gebruik gemaakt, die draaide op hardware van Survalyzer of van de provider waar die het weer heeft ondergebracht. Dat is het zo goed onderdeel van het beeld van wat er gebeurd is als dat die software van Survalyzer is. Software die op eigen hardware uitgevoerd wordt is een andere situatie.Door het cloud-gebeuren is kennelijk het bewustzijn aan het verdwijnen dat software door hardware wordt uitgevoerd, dat die ergens staat en dat wat daar gebeurt ertoe doet. Het was altijd al zo dat de meeste mensen weinig van IT begrepen, maar het lijkt wel of dat begrip steeds minder wordt naarmate we IT juist steeds intensiever gebruiken, en dat vind ik geen goede ontwikkeling.
¹ https://survalyzer.com/nl/
24-06-2024, 15:49 door
Anoniem
Door Anoniem: Advies, doe er mee wat u wilt:
Nooit meedoen aan enquêtes, ook niet vanwege zo een mooi hebbedingetje.
Waar je niet aan hebt en als je het tegen de muur gooit, ook nog kapot gaat.
Leuk advies maar voor dit artikel natuurlijk totaal irrelevant. Nooit meedoen aan enquêtes, ook niet vanwege zo een mooi hebbedingetje.
Waar je niet aan hebt en als je het tegen de muur gooit, ook nog kapot gaat.
Gezien de adressen van de genodigden gelekt werden, niet de adressen van de mensen die op de uitnodiging ingegaan zijn.
25-06-2024, 11:52 door
Anoniem
Door Anoniem: Advies, doe er mee wat u wilt:
Nooit meedoen aan enquêtes, ook niet vanwege zo een mooi hebbedingetje.
Waar je niet aan hebt en als je het tegen de muur gooit, ook nog kapot gaat.
Helpt niet als enquete bureau eerst de lijst krijgt....Nooit meedoen aan enquêtes, ook niet vanwege zo een mooi hebbedingetje.
Waar je niet aan hebt en als je het tegen de muur gooit, ook nog kapot gaat.
Opt-out is altijd te laat.
25-06-2024, 15:04 door
Anoniem
Door Anoniem: Advies, doe er mee wat u wilt:
Nooit meedoen aan enquêtes, ook niet vanwege zo een mooi hebbedingetje.
Waar je niet aan hebt en als je het tegen de muur gooit, ook nog kapot gaat.
Nooit meedoen aan enquêtes, ook niet vanwege zo een mooi hebbedingetje.
Waar je niet aan hebt en als je het tegen de muur gooit, ook nog kapot gaat.
Gooi het dan niet tegen de muur.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
