Ambtenaar VS moet 80.000 dollar schade cyberaanval zelf vergoeden
Een ambtenaar van een Amerikaans county moet de 80.000 euro schade die door een cyberaanval ontstond zelf vergoeden, zo heeft een Amerikaanse rechter bepaald. Aanvallers wisten augustus vorig jaar het e-mailaccount van een financieel ambtenaar van een dorpje genaamd Bazetta Township te compromitteerden. Dit dorpje, dat zo'n zesduizend inwoners telt, is onderdeel van Trumbull County.
De aanvallers verstuurden vervolgens vanuit het gecompromitteerde e-mailaccount een verzoek naar de auditor van Trumbull County dat de belastinginkomsten van het dorpje naar een andere rekening moesten worden overgemaakt. De auditor ontdekte niet dat het om een frauduleus verzoek ging en maakte 80.000 dollar naar het opgegeven rekeningnummer over. Bazetta Township stapte daarop naar de rechter en verklaarde dat het recht op het geld heeft. De rechter is het daarmee eens en stelt dat de auditor vanuit haar taak verplicht is om belastinginkomsten te verdelen, ongeacht de fraude die plaatsvond.
Eerder verklaarde de auditor dat de betreffende financieel ambtenaar had gevraagd om multifactorauthenticatie (MFA) voor zijn Microsoft Office 365-account uit te schakelen. Als de ambtenaar dit niet had verzocht had het account ook niet gecompromitteerd kunnen worden, aldus de verklaring (pdf). Daarop reageerde het dorpje dat het uiteindelijk de auditor was die het geld heeft overgemaakt. De auditor laat in een reactie op het vonnis weten juridische mogelijkheden te verkennen.
Volgens het rechtbank verslag is er 160.000 dollar naar de frauduleuze rekening overgemaakt. De vordering is wel slechts 80.000 dollar, maar er staat nergens wat er met die andere helft gebeurd is. Of ze hebben dat inmiddels terug, of hier kunnen ze deze auditor niet voor verantwoordelijk stellen.
Oorzaak-gevolg klopt hier niet helemaal. Dat het gecompromitteerd raken van het account van de ambtenaar komt doordat de ambtenaar vroeg om het uitzetten van MFA is gewoon niet juist. Het gecompromitteerd raken van het account komt omdat het verzoek van uitschakelen van MFA goedgekeurd is door iemand en MFA ook daadwerkelijk uitgezet is.
Natuurlijk is het altijd goed om bij dit soort verzoeken telefonisch contact te zoeken met de afzender voor bevestiging, maar als dat niet het standaard protocol is dan kun je de auditor alleen gebrek aan due diligence verwijten. De ambtenaar die willens en wetens MFA niet heeft aangezet (WAAROM IS DAT BIJ EEN OVERHEIDSINSTELLING OPTIONEEL?) om zijn account te beschermen is wat mij betreft verantwoordelijk.
Het gaat hier om iemand die moet controleren of geld op de goede manier wordt uitgegeven. Zeg maar een penningmeester. Als die een verzoek krijgt tot een betaling is hij degene die moet kijken of het geld naar de juiste personen gaat.
https://accountend.com/understanding-auditors-roles-responsibilities-and-importance-explained/
Het gaat hier om iemand die moet controleren of geld op de goede manier wordt uitgegeven. Zeg maar een penningmeester. Als die een verzoek krijgt tot een betaling is hij degene die moet kijken of het geld naar de juiste personen gaat.
https://accountend.com/understanding-auditors-roles-responsibilities-and-importance-explained/
Normaal zou ik het vertalen met 'accountant' . Maar vreemd dat een auditor degene is die werkelijk de overboeking doet.
Normaal zou ik met die term (alleen) achteraf controles verwachten.
Je zou de linken kunnen lezen.
Niet volgens de procedure werken maakt je al best snel aansprakelijk voor schade .
Natuurlijk is het altijd goed om bij dit soort verzoeken telefonisch contact te zoeken met de afzender voor bevestiging, maar als dat niet het standaard protocol is dan kun je de auditor alleen gebrek aan due diligence verwijten.
Yup, je had moeten lezen. Het is daar blijkbaar protocol.
“The loss did not occur because of a lack of multifactor authentication but because Auditor Yoder’s office failed to verify the legitimacy of a bank change request received by email,” Hovis said.
De ambtenaar die willens en wetens MFA niet heeft aangezet (WAAROM IS DAT BIJ EEN OVERHEIDSINSTELLING OPTIONEEL?) om zijn account te beschermen is wat mij betreft verantwoordelijk.
"wat jou betreft" is MFA dus zodanig perfect dat een extra controle niet meer nodig is als de afzender een account-met-mfa gebruikt ?
MFA is een heel nuttige maatregel, maar ook weer niet ZO onfeilbaar.
https://accountend.com/understanding-auditors-roles-responsibilities-and-importance-explained/
Als ik de de eerste link in het artikel volg naar wat de rechter heeft bepaald zie ik dat het om "Trumbull County Auditor Martha Yoder" gaat. Een zoekopdracht naar precies die tekst leidt me naar een "Meet the Auditor"-pagina:
https://www.co.trumbull.oh.us/Auditor/About/Meet-the-auditor
Onderaan die pagina staat een link naar de County Auditors' Association of Ohio:
https://caao.org/
De inleidende tekst daar zegt dat auditors "keep the taxpayer's chechbook". Onder het kopje "Protecting your Interests" worden ze "billpayer-in-chief" genoemd. En toen ik daar de link naar uitgebreidere informatie volgde trof ik dit aan:
https://caao.org/protecting-your-interests/
Je had dus wel gelijk met "zeg maar een penningmeester". De "common misconception" die ze in de geciteerde tekst rechtzetten hebben ze in Ohio zo te zien zelf veroorzaakt door een misleidende naam aan de functie te geven.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
