DUO lekt gegevens van 60.000 mensen met studieschuld
DUO heeft e-mailadressen van zestigduizend mensen met een studieschuld gelekt. Ook e-mailadressen van scholen, gemeenten en DUO-personeel, waaronder het eigen Security Operations Center, zijn door de uitvoeringsinstantie via online enquêtes gelekt. Dat ontdekte een onderzoeker die BNR informeerde.
DUO laat online enquêtes uitvoeren via het bedrijf Survalyzer. De enquête die personen met een studieschuld ontvingen, en ging over hun financiële situatie, bevatte twee url's, waaronder één om zich af te melden. De beveiligingsonderzoeker was één van de personen die de enquête ontving. Via de url's in de e-mail ontdekte hij dat andere e-mailadressen gebruikt voor deze enquête, alsmede andere enquêtes, te bekijken waren. Technische details over de kwetsbaarheid zijn niet gegeven.
Veel van de e-mailadressen bevatten een naam, waardoor zichtbaar is wie de schuldenaren zijn, aldus BNR. De onderzoeker ontdekte het beveiligingsprobleem op 30 mei en informeerde vervolgens DUO. Het onderzoek en de gegevens zijn op 31 mei offline gehaald. De uitvoeringsinstantie heeft het datalek bij de Autoriteit Persoonsgegevens gemeld en stelt dat de e-mailadressen alleen door de onderzoeker zijn ingezien. Survalyzer laat onderzoek naar het datalek doen.
Zwitsers is niet goed voor jou? Ze volgen de EU wetgeving.
Het probleem tegenwoordig is dat men de eigen gemak en belang belangrijker vind dan privacy en tijd van de slachtoffers. Dus de vraag is waarom je ueberhaupt een enquete gaat doen en waarom je daar 60.000 mensen mee lastig valt. "dat hebt ik zo op school geleerd" is niet het goede antwoord.
Nooit meedoen aan enquêtes, ook niet vanwege zo een mooi hebbedingetje.
Waar je niet aan hebt en als je het tegen de muur gooit, ook nog kapot gaat.
Bijzonder is wel, waarom deze fout er in zit, is dit niet een standaard oplossing geweest of is customization toegepast, waarin de fout gemaakt is.
Daarnaast zegt ISO 27001 en "security" ook weinig over een totaal plaatje.
Alsof het in NL beter geregeld is (hint: Nebu BV).
Dit is trouwens nog geen datalek, dit is een beveiligingsincident. Het wordt pas een datalek als na onderzoek blijkt dat meer mensen dan alleen de melder toegang hebben gehad tot de gegevens, als dat middels logs is uit te sluiten blijft het bij een beveiligingsincident.
Dit is eerder een geval van onvoldoende security by design en privacy by design.
Security specialisten hebben niet het laatste woord als het gaat om nieuwe diensten of leveranciers.
Wat ik mij vooral afvraag is of de kwetsbaarheid die hier misbruikt is niet structureel aanwezig is in het platform van Survalyzer. In dat geval kunnen er nog veel meer datalek meldingen volgen, afhankelijk van het incident response onderzoek waarbij hopelijk nog vastgesteld kan worden dat de kwetsbaarheid niet eerder misbruikt is. Goede logboeken zijn echter niet vanzelfsprekend.
Alsof het in NL beter geregeld is (hint: Nebu BV).
Dit is trouwens nog geen datalek, dit is een beveiligingsincident. Het wordt pas een datalek als na onderzoek blijkt dat meer mensen dan alleen de melder toegang hebben gehad tot de gegevens, als dat middels logs is uit te sluiten blijft het bij een beveiligingsincident.
Dit is eerder een geval van onvoldoende security by design en privacy by design.
Dit is wel een datalek!
Volgens de Algemene verordening gegevensbescherming (AVG) moet de verwerkingsverantwoordelijke een datalek melden. De verwerkingsverantwoordelijke is een organisatie of persoon die het doel van en de middelen voor het gebruik van persoonsgegevens bepaalt.
https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/zo-meldt-u-een-datalek
Survalyzer laat onderzoek naar het datalek doen, ze zijn dus kennelijk zo verstandig om een onafhankelijke partij te laten beoordelen wat ze voor steken hebben laten vallen en wat de schade is. Ik denk dat die externe partij moet beoordelen of dit qua effect een drama is, kan zijn geweest, of gelukkig wel meevalt.
Alsof het in NL beter geregeld is (hint: Nebu BV).
Dit is trouwens nog geen datalek, dit is een beveiligingsincident. Het wordt pas een datalek als na onderzoek blijkt dat meer mensen dan alleen de melder toegang hebben gehad tot de gegevens, als dat middels logs is uit te sluiten blijft het bij een beveiligingsincident.
Dit is eerder een geval van onvoldoende security by design en privacy by design.
Dit is wel een datalek!
Volgens de Algemene verordening gegevensbescherming (AVG) moet de verwerkingsverantwoordelijke een datalek melden. De verwerkingsverantwoordelijke is een organisatie of persoon die het doel van en de middelen voor het gebruik van persoonsgegevens bepaalt.
https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/zo-meldt-u-een-datalek
Je linkt naar het verkeerde artikel, je slaat de stap over om te bepalen of het een datalek is en of je die dan moet melden:
https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/datalek-wel-of-niet-melden
Wat is een datalek?
Bij een datalek gaat het om toegang tot persoonsgegevens zonder dat dit mag of zonder dat dit de bedoeling is. Waarbij de oorzaak een inbreuk op de beveiliging van deze gegevens is. Ook het ongewenst vernietigen, verliezen, wijzigen of verstrekken van persoonsgegevens door zo’n inbreuk valt onder een datalek.
https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/wat-is-een-datalek
Door het cloud-gebeuren is kennelijk het bewustzijn aan het verdwijnen dat software door hardware wordt uitgevoerd, dat die ergens staat en dat wat daar gebeurt ertoe doet. Het was altijd al zo dat de meeste mensen weinig van IT begrepen, maar het lijkt wel of dat begrip steeds minder wordt naarmate we IT juist steeds intensiever gebruiken, en dat vind ik geen goede ontwikkeling.
¹ https://survalyzer.com/nl/
Nooit meedoen aan enquêtes, ook niet vanwege zo een mooi hebbedingetje.
Waar je niet aan hebt en als je het tegen de muur gooit, ook nog kapot gaat.
Gezien de adressen van de genodigden gelekt werden, niet de adressen van de mensen die op de uitnodiging ingegaan zijn.
Nooit meedoen aan enquêtes, ook niet vanwege zo een mooi hebbedingetje.
Waar je niet aan hebt en als je het tegen de muur gooit, ook nog kapot gaat.
Opt-out is altijd te laat.
Nooit meedoen aan enquêtes, ook niet vanwege zo een mooi hebbedingetje.
Waar je niet aan hebt en als je het tegen de muur gooit, ook nog kapot gaat.
Gooi het dan niet tegen de muur.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Security Specialist Malware
NCSC
Zit cybersecurity diep in je DNA? Heb jij het in je om op het moment dat het er echt toe doet samen met je collega’s tot de juiste (technische) oplossing te komen? Als security specialist malware bij het Nationaal Cyber Security Centrum (NCSC) doe jij er alles aan om de impact van digitale dreigingen te verminderen en incidenten tegen te gaan.
Information Security Officer
Grijp deze unieke kans voor carrière-ontwikkeling in informatiebeveiliging! Bij Esri bouw je vertrouwensrelaties op en help je zowel ons als onze klanten veiligere technologie te gebruiken. Ben jij de ervaren Security Officer die energie krijgt van werken in 'twee werelden'? Solliciteer dan nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!