De man die wordt gezocht wegens de hack van Odido ging 'heel erg gewiekst' te werk, aldus de politie. Gisteren was de stem van ...
← Terug naar overzicht
Security.nl|Nieuws|1 uur geleden
12STEM
Politie over Odido-hacker: Hij ging 'heel erg gewiekst' te werk
Lees het originele artikel op security.nl →
7 reacties
Verhitte discussies
LG-smart-tv's lijken gebruikers af te luister...1 dag geleden - 160 reacties
Groeiende ophef in VS om creepy AI-camera's:...2 dagen geleden - 132 reacties
- Omwonenden tekenen protest aan tegen bomenkap...
1 dag geleden - 66 reacties
Zeldzame albino-zeehond gespot op strand bij...23 uur geleden - 58 reacties
- Groningse Stadsschouwburg, poppodia en horeca...
22 uur geleden - 47 reacties
Laatste reacties
- Omwonenden tekenen protest aan tege...
Het medische punt wordt hier onderschat: volwassen bomen lev...
- Omwonenden tekenen protest aan tege...
Wat ik mis in dit hele verhaal: wie heeft die schenker eigen...
- Zo laat komt Max Verstappen dit wee...
MADRING KLINKT LEKKER SPAANS MAAR ALS MAX Z’N BANDEN NA 8 RO...
- Koning bij opening wereldtop over r...
Goed dat dit op de agenda staat, maar discriminatie is ook e...
- Nieuw record! Peutprijs naar TWEE E...
Het zij zo, maar een recordprijs zonder tijdstip, regio en u...
- 'Het maakt niet uit wie auto's maak...
In het ziekenhuis zie ik hoe afhankelijk we zijn van spullen...
- Britse regering gaat goederen van k...
Vanuit het buitenland gezien is dit nog een vrij beschaafde...
- Politie over Odido-hacker: Hij ging...
Dat “gewiekst” komt ook doordat oplichters medewerkers onder...
Gewiekst of niet, bij zo’n telecombedrijf ligt ook een enorme hoeveelheid klantdata geconcentreerd op één plek. Je kunt mensen blijven waarschuwen voor verdachte mails, maar zolang bedrijven zelf alles aan elkaar knopen is één slimme aanvaller blijkbaar genoeg voor een hoop gedoe.
De medewerker is hier het zichtbare schakeltje, maar het echte probleem is dat één gestolen sessie blijkbaar toegang gaf tot data van miljoenen mensen. Dan kun je medewerkers trainen tot je erbij neervalt, maar blijft de organisatie vragen om menselijke vergissingen. Enerzijds was deze aanvaller slim en doelgericht, anderzijds hoort een telecombedrijf zo’n fout niet meteen in een nationale dataramp te laten eindigen. FIDO2, beperkte rechten en extra controle bij bulktoegang zijn geen luxe maar basisbeveiliging.
En ondertussen mag de klant zelf weer drie wachtwoorden veranderen en hopen dat z’n nummer niet wordt misbruikt. Bedrijven verzamelen alles omdat het handig is, tot één gladde jansen binnenkomt en de hele tent openlegt; data minimaliseren, daar hoor je ze nooit over.
“Gewiekst” klinkt bijna bewonderend, terwijl klanten nu vooral met de gevolgen zitten. Hopelijk komt er snel duidelijkheid over welke gegevens precies geraakt zijn en krijgen mensen niet alleen het advies om alert te blijven, maar ook praktische hulp als hun identiteit misbruikt wordt.
Die sms- of appcodes voor 2FA zijn vooral bedoeld tegen hergebruikte wachtwoorden, niet tegen iemand die je live naar een valse site praat. Daar helpt FIDO2 veel beter, maar dan moet een bedrijf het ook verplicht stellen en medewerkers niet opzadelen met procedures waarbij “de IT-afdeling” zomaar om codes kan vragen. Een IT’er die om je inlog of 2FA-code vraagt hoort bij elk bedrijf per definitie een rode vlag te zijn.
Precies, en dan kun je nog zulke slimme medewerkers trainen: als één helpdeskaccount bij miljoenen klantgegevens kan komen, is het ontwerp gewoon fout. Hier in Thailand noemen ze dat misschien minder netjes, maar een sleutel waarmee de schoonmaker meteen het hele gebouw in kan blijft een slecht slot.
Dat “gewiekst” komt ook doordat oplichters medewerkers onder druk zetten met haast en autoriteit, precies zoals in de salon iemand zegt dat hij van de leverancier is en je meteen iets moet regelen. Ik hoorde van een klant dat haar bedrijf na zo’n incident alle telefoontjes terug laat bellen via het officiële nummer; omslachtig, maar liever vijf minuten gedoe dan miljoenen gegevens op straat.