Cybercrime04.09.2014

​5 Cyber security lessen van ondeugende Hollywood actrices


Feiten, slachtoffers, systemen en de oplossing

Afgelopen weekend ontstond er online, en daarna ook in andere media, ophef over het uitlekken van een collectie naaktfoto’s van tientallen Hollywood actrices. Een hacker op het online underground forum 4chan verklaarde foto’s en video’s verzameld te hebben, en om zijn claims kracht bij te zetten publiceerde hij direct een selectie van de bestanden. Hoewel bij enkele van deze foto’s over de echtheid wordt getwijfeld, heeft onder meer Jennifer Lawrence inmiddels in een reactie de echtheid bevestigd.

Binnen enkele uren werd dit lek gerapporteerd door vrijwel alle media, van
Perez Hilton tot CNN. Al snel ontstond daarbij het gerucht dat de bron van dit lek lag bij een eerder in de week gemelde zwakheid in Apple’s iCloud service. Wat kunnen we hier, als security professionals, voor lessen uit trekken?

Niemand geeft om de feiten

Wanneer er een smeuïg verhaal de ronde doet, geeft niemand om de feiten. De media maken gretig gebruik van speculatie die online de ronde doet.

In de eerste storm van berichten die direct uitbrak werd iCloud genoemd als de bron van de gelekte foto’s. Hoewel dat ook nu nog niet helemaal uitgesloten is, zijn er sterke aanwijzingen dat er meerdere bronnen zijn gebruikt voor de verzameling bestanden. Ook onder meer Dropbox wordt door onderzoekers aangewezen als bron.

Tegen de tijd dat Apple met een
officiële verklaring kwam, afgelopen woensdag, was de piek van de berichtgeving alweer voorbij. Apple ontkent dat er systemen gehackt zijn – er wordt gewezen op mogelijk misbruik van individuele accounts door middel van zwakke wachtwoorden of door zwakke vragen in het wachtwoord-reset systeem. Maar hoeveel mensen lezen deze verklaring nu nog?

Onze les: Naast dat het belangrijk is om hard te werken aan de beveiliging van systemen en het voorkomen van lekken, is het minstens zo belangrijk om bijna onmiddellijk te kunnen reageren. Effectieve incident response betekent ook dat er binnen enkele uren duidelijke, feitelijke informatie gedeeld kan worden.

Geef niet het slachtoffer de schuld

In verschillende reacties werden de actrices verweten dat het niet slim is om zulke pikante kiekjes te maken. Slachtoffers van een fysieke inbraak zouden we niet snel op deze manier de schuld geven. Het recht om privé gebruik te maken van aan internet verbonden apparaten – en ook privé foto’s te maken – zou verdedigd moeten worden. Zo vanzelfsprekend als eigendomsrecht en privacy zijn in de fysieke wereld, zou het ook zo bij cyber security moeten zijn. Daarnaast is het zinloos om het maken van pikante plaatjes af te raden – zowel in zakelijke situaties als privé zijn mensen veel sterker gemotiveerd door hun eigen drijfveren dan door extern opgelegde richtlijnen over veiligheid.

Onze les: Wanneer een organisatie er redelijkerwijs vanuit kan gaan dat systemen gevoelige data bevatten, is het noodzakelijk om hiervoor de nodige beveiligingsmaatregelen te nemen. Als security professionals hebben we de kennis en ervaring om dreigingsanalyse uit te voeren en de juiste beveiligingsmaatregelen in te bouwen.

Geef niet blind het vertrouwen in ‘het systeem’ op

De publieke opinie zoek al snel naar makkelijke antwoorden. Apple en iCloud zijn in dit geval het makkelijke doelwit. De complexe werkelijkheid, met meerdere bronnen en mogelijke oorzaken, past niet in onze korte publieke aandachtsspanne. Het is verdedigbaar om te stellen dat Apple iOS apparaten tot de veiligste plekken behoren waar je pikante plaatjes kan opslaan. Het platform heeft
uitgebreide security maatregelen (pdf), veel meer dan de meeste desktop operating systems bieden. iOS gebruikt standaard full-disk encryptie, applicatie sandboxing, voert automatisch OS- en App updates uit en alleen software uit de App Store kan worden geïnstalleerd. Er is nog altijd praktisch geen malware voor iOS.

iCloud is waarschijnlijk een van de meest veilige cloud diensten die je kan gebruiken. iCloud gebruikt inmiddels onder meer 2-factor authenticatie, toegangsbeperkingen tot vertrouwde apparaten en waarschuwingen per e-mail bij verdachte activiteit in het account.

Onze les: Dreigingsanalyse (threat-analysis) zou moeten worden gebaseerd op de werkelijke situatie – de security maatregelen in een systeem en hun zwakheden. Door incidenten zoals deze te bestuderen kunnen we als professionals dreigingen beter leren begrijpen.

Zwakke wachtwoorden zijn nog altijd een groot probleem

De eerder gemelde zwakheid in Apple’s iCloud was in feite niet meer dan de mogelijkheid tot het uitvoeren van online brute-force attacks tegen het wachtwoord van een gebruiker. Of deze zwakheid nu wel of niet heeft bijgedragen aan het lek, een sterk wachtwoord maakt een dergelijke aanval praktisch onmogelijk – zelfs zonder verdere maatregelen zoals 2-factor authenticatie. Het kraken van een sterk wachtwoord zou bijna oneindig lang duren. Dus zelfs als deze iCloud zwakheid een rol heeft gespeeld, was dat alleen mogelijk als er zwakke wachtwoorden zijn gebruikt.

Onze les: Zoals Deloitte collega’s al vaker hebben aangegeven,
zijn wachtwoorden geen goede oplossing. Iedere organisatie die informatiebeveiliging serieus neemt zou moeten overwegen om over te stappen naar twee factor authenticatie en additionele maatregelen nemen – zoals ook Apple dat doet. De grote namen in online business – zoals Dropbox, Facebook en Twitter – lopen hierin al voorop.

Iedereen kan gehackt worden – alleen hoor je dat niet altijd

Naaktfoto’s van honderd Hollywood sterren kunnen enkele dagen voorpagina nieuws zijn. Dagelijks voorkomende identiteitsfraude bij gewone mensen is dat helaas niet. Als security professionals horen we regelmatig schokkende verhalen van slachtoffers van identiteitsfraude, vaak na diefstal van digitale gegevens. Slachtoffers die ontdekken dat ze geen lening meer kunnen afsluiten en die jaren kwijt zijn om hun eigen onschuld te bewijzen. In deze strijd treffen ze organisaties en overheden die zich totaal nog geen raad weten met de digitale wereld.

Onze les: Hoewel deze sterren nu veel media-aandacht krijgen, is diefstal van digitale gegevens een veel breder probleem wat dagelijks mensen treft. We zouden er goed aan doen
de beschikbare data over identiteitsfraude (PDF) te bestuderen en te gebruiken bij het maken van security management keuzes.

Laten we hopen dat de media-aandacht rond dit incident het belang van cyber security opnieuw onderstreept. Door bewustzijn kunnen we de beveiliging van systemen verbeteren, inclusief de cloud en smartphones die inmiddels niet meer weg te denken zijn uit ons leven.

Deze blogpost is geschreven door Thomas Bosboom, bij Deloitte Risk Services is hij specialist in beveiliging van mobile devices (Smartphone, Tablet) bij het gebruik in bedrijven.

[Afbeelding via Fotolia]

Verder lezen over Hackers

Het allerbelangrijkste gereedschap van cybercriminelen is JOUW browser!

Het allerbelangrijkste gereedschap van cybercriminelen draait al gewoon op jouw desktop, laptop of notebook. Ik heb het natuurlijk over de browser software die jij gebruikt, zoals Microsoft Edge, Google Chrome, Mozilla Firefox, etc. In de meeste gevallen zijn het namelijk browsers die cybercriminelen toegang verschaffen tot persoonlijke data of bankrekeningen.

Cybercrime11.10.2024

Het allerbelangrijkste gereedschap van cybercriminelen is JOUW browser!

Gebruik daarom liever apps op tablets of smartphones voor de allergevoeligste gegevens
Unlock Digitale Weerbaarheid: leer online gevaren te herkennen

Jim Stolze is een campagne gestart om de digitale weerbaarheid van Nederlanders te vergroten. Samen met KPN, ING en Microsoft is het platform 'Unlock Digitale Weerbaarheid' opgezet, met gratis lessen die online en bij jou in de buurt gevolgd kunnen worden.

Cybercrime08.10.2024

Unlock Digitale Weerbaarheid: leer online gevaren te herkennen

De Gesprek Check is een extra controle-hulpmiddel van ABN AMRO

ABN AMRO introduceert een extra online hulpmiddel waarmee klanten kunnen controleren of ze echt een medewerker van de bank aan de lijn hebben. Het is een nieuwe functionaliteit die wordt toegevoegd aan de reeds bestaande hulpmiddelen, waarmee persoonlijke voorkeuren rondom bankieren en veiligheid zijn in te stellen.

Cybercrime30.09.2024

De Gesprek Check is een extra controle-hulpmiddel van ABN AMRO

heb je echt de bank aan de telefoon?
TeamViewer heeft een groot cybersecurity-probleem

Als je een kantoorbaan hebt, dan is de kans groot dat je TeamViewer wel kent. Het is een manier waarmee een IT-helpdesk je computer kan ‘overnemen’. Echter blijkt dat TeamViewer zelf is overgenomen, en niet op een positieve manier.

Cybercrime29.08.2024

TeamViewer heeft een groot cybersecurity-probleem

Financiële fraude met phishingmethode specifiek gericht op Android & iOS

Er is weer een ongewoon type phishing-campagne ontdekt volledig gericht op mobiele gebruikers, Eset Research analyseerde een ‘in the wild’ waargenomen geval gericht op klanten van een belangrijke Tsjechische bank. Deze techniek is opmerkelijk omdat het een phishingapp installeert vanaf een website van derden zonder dat de gebruiker de installatie van apps van derden hoeft toe te staan. Op Android kan dit resulteren in een stille installatie van een bijzonder soort APK, die zelfs vanuit de Google Play Store lijkt geïnstalleerd te zijn. De bedreiging was ook gericht op iPhone (iOS)-gebruikers.

Cybercrime26.08.2024

Financiële fraude met phishingmethode specifiek gericht op Android & iOS

Wielrenner, je racefiets kan gehackt worden

Het zijn geen e-bikes, maar toch kunnen racefietsen gehackt worden. Dit is hoe een hacker dat kan doen en waar het door komt.

Cybercrime16.08.2024

Wielrenner, je racefiets kan gehackt worden

Veel openbare WiFi netwerken in Parijs zijn onveilig

Experts van Kaspersky hebben bijna 25.000 gratis WiFi-spots in Parijs geanalyseerd voor de Olympische Zomerspelen en Paralympische Spelen. Uit hun analyse blijkt dat bijna 25 procent van deze netwerken zwakke of geen encryptie heeft, waardoor gebruikers kwetsbaar zijn voor diefstal van persoonlijke- en bankgegevens. Slechts zes procent van de netwerken maakt gebruik van het nieuwste beveiligingsprotocol WPA3.

Cybercrime29.07.2024

Veel openbare WiFi netwerken in Parijs zijn onveilig

Vigorish Viper: een Chinees cybercrimesyndicaat ontdekt door Infoblox

Infoblox heeft een belangrijke doorbraak geboekt in onderzoek naar cybercriminaliteit met de onthulling van een groep cybercriminelen, die de naam "Vigorish Viper" heeft gekregen. Dit is een Chinees georganiseerd misdaadsyndicaat dat gebruikmaakt van geavanceerde technologie om te profiteren van de wereldwijde illegale sportgokindustrie ter waarde van $1.700 miljard. Het syndicaat heeft ook banden met witwaspraktijken en mensenhandel operaties in heel Azië. Deze ontdekking van Infoblox betekent een belangrijke mijlpaal in de voortdurende strijd tegen wereldwijde cybercriminaliteit door middel van DNS-intelligentie.

Cybercrime25.07.2024

Vigorish Viper: een Chinees cybercrimesyndicaat ontdekt door Infoblox

banden met Europese voetbalsponsors, mensenhandel en illegale gokindustrie

Verder lezen over Privacy

Hoe bescherm je de data in je brein?

Het is niet ondenkbaar dat er straks ook mensen die geen lichamelijke beperkingen hebben met een breinchip rondlopen. Maar: hoe zorg je dat je breindata beschermd blijft?

Cybercrime30.09.2024

Hoe bescherm je de data in je brein?

Eenvoudige tips voor meer privacy tijdens het reizen met openbaar vervoer

Cybercrime16.09.2024

Eenvoudige tips voor meer privacy tijdens het reizen met openbaar vervoer

zorgen om privacy tijdens woon-werkverkeer
Telegram modereert privégesprekken toch niet

Het leek erop dat Telegram van plan was om ook privégesprekken te gaan modereren, maar stelt nu dat dat niet zo is.

Social Media09.09.2024

Telegram modereert privégesprekken toch niet

Dating-app Grindr aangeklaagd om delen HIV-status met anderen

Er zijn weinig gegevens gevoeliger dan informatie over je HIV-status of wanneer je voor het laatst bent getest. Grindr is daar echter niet zo voorzichtig mee omgegaan en wordt nu aangeklaagd.

Online24.04.2024

Dating-app Grindr aangeklaagd om delen HIV-status met anderen

Bescherm jij je online identiteit wel genoeg?

We kennen allemaal wel de verhalen van mensen wiens Instagram-foto’s worden gestolen om een catfish-account aan te maken, of mensen, bedrijven en merken bij wie hackers toegang hebben gekregen tot een van de social media accounts.

Cybercrime15.04.2024

Bescherm jij je online identiteit wel genoeg?

​Digitaal mijmeren: Zullen AI’s op het internet op enig moment ontwaken?

Schandalen als gevolg van ontsporende Artificial Intelligence (AI) zullen de aankomende jaren hoogstwaarschijnlijk een wereldwijd probleem gaan vormen. De uitrol en integratie van AI's binnen online toepassingen zullen n...

Online18.03.2024

​Digitaal mijmeren: Zullen AI’s op het internet op enig moment ontwaken?

Mogelijk ontwikkelen AI's een vorm van gedecentraliseerd interactiviteitsbewustzijn
Je ​AI-geliefde is onbetrouwbaar: onveilig en uit op geld

Met Valentijnsdag achter de rug kunnen we het veilig en wel bespreken: AI-chatbots die bedoeld zijn als een soort digitale geliefde zijn onbetrouwbaar. Volgens nieuw onderzoek van de Mozilla Foundation blijken AI-chatbot...

Online15.02.2024

Je ​AI-geliefde is onbetrouwbaar: onveilig en uit op geld

Doe het veilig
Consumenten bezuinigen op kosten, maar helaas ook op privacy en security

In heel Nederland, maar ook in de rest van Europa, zorgen de toenemende kosten van levensonderhoud en de inflatie voor sombere economische vooruitzichten voor het komende jaar. Met als logisch gevolg dat we wat meer gaan...

Cybercrime05.02.2024

Consumenten bezuinigen op kosten, maar helaas ook op privacy en security

Verder lezen over Security

Deze week meerdere waarschuwingscampagnes over phishing: waarom?

Pas op voor phishing! Je wordt er volop door gewaarschuwd door meerdere campagnes, is dat wel zo effectief?

Cybercrime09.10.2024

Deze week meerdere waarschuwingscampagnes over phishing: waarom?

Unlock Digitale Weerbaarheid: leer online gevaren te herkennen

Jim Stolze is een campagne gestart om de digitale weerbaarheid van Nederlanders te vergroten. Samen met KPN, ING en Microsoft is het platform 'Unlock Digitale Weerbaarheid' opgezet, met gratis lessen die online en bij jou in de buurt gevolgd kunnen worden.

Cybercrime08.10.2024

Unlock Digitale Weerbaarheid: leer online gevaren te herkennen

Nee, LEGO raadt je niet aan de LEGO Coin te kopen

In ieder geval doet LEGO geen uitspraken over hoe dit is gebeurd. Het zegt alleen: “Op 5 oktober 2024 verscheen er kort een ongeautoriseerde banner op LEGO.com.'

Cybercrime07.10.2024

Nee, LEGO raadt je niet aan de LEGO Coin te kopen

Ben jij online op te lichten? Doe de gratis cursus Digitale Weerbaarheid

De gratis cursus is bedoeld om je bewuster te maken van wat er allemaal alarmbellen moet doen rinkelen in de toekomst.

Cybercrime02.10.2024

Ben jij online op te lichten? Doe de gratis cursus Digitale Weerbaarheid

Hoe bescherm je de data in je brein?

Het is niet ondenkbaar dat er straks ook mensen die geen lichamelijke beperkingen hebben met een breinchip rondlopen. Maar: hoe zorg je dat je breindata beschermd blijft?

Cybercrime30.09.2024

Hoe bescherm je de data in je brein?

Eenvoudige tips voor meer privacy tijdens het reizen met openbaar vervoer

Cybercrime16.09.2024

Eenvoudige tips voor meer privacy tijdens het reizen met openbaar vervoer

zorgen om privacy tijdens woon-werkverkeer
TeamViewer heeft een groot cybersecurity-probleem

Als je een kantoorbaan hebt, dan is de kans groot dat je TeamViewer wel kent. Het is een manier waarmee een IT-helpdesk je computer kan ‘overnemen’. Echter blijkt dat TeamViewer zelf is overgenomen, en niet op een positieve manier.

Cybercrime29.08.2024

TeamViewer heeft een groot cybersecurity-probleem

Financiële fraude met phishingmethode specifiek gericht op Android & iOS

Er is weer een ongewoon type phishing-campagne ontdekt volledig gericht op mobiele gebruikers, Eset Research analyseerde een ‘in the wild’ waargenomen geval gericht op klanten van een belangrijke Tsjechische bank. Deze techniek is opmerkelijk omdat het een phishingapp installeert vanaf een website van derden zonder dat de gebruiker de installatie van apps van derden hoeft toe te staan. Op Android kan dit resulteren in een stille installatie van een bijzonder soort APK, die zelfs vanuit de Google Play Store lijkt geïnstalleerd te zijn. De bedreiging was ook gericht op iPhone (iOS)-gebruikers.

Cybercrime26.08.2024

Financiële fraude met phishingmethode specifiek gericht op Android & iOS