Click here or click 'CHOOSE LANGUAGE' and then choose your language using Google's translation bar at the top of this page ↑

In de afgelopen week zijn er verschillende cyberaanvallen uitgevoerd, die zowel overheidsinstanties als bedrijven in Europa hebben getroffen. Zo werd de gemeente Herselt in België het slachtoffer van een cyberaanval, terwijl Nederlandse organisaties werden geraakt door een 3CX supplychain-aanval. Ondertussen hebben cybercriminelen van de groep TA473 zich gericht op Europese militaire en diplomatieke organisaties. Daarnaast was MSI het doelwit van een cyberaanval, waarbij de broncode werd gestolen door een ransomwaregroep. Tot slot hebben cyberaanvallen meer dan de helft van de Duitse overheidswebsites getroffen. Hieronder vindt u het volledige overzicht van de cyberaanvallen van de afgelopen week.

Laatste wijziging op 10-april-2023

Week overzicht slachtoffers

Slachtoffers Belgie en Nederland

In samenwerking met DarkTracer

Cyberaanvallen nieuws

Apple dicht zerodaylekken in iOS en macOS na aanvallen door cybercriminelen

Twee actief aangevallen zerodaylekken in iOS en macOS maken het mogelijk voor aanvallers om systemen volledig over te nemen, waarbij alleen het bezoeken van een malafide of gecompromitteerde website of het te zien krijgen van een besmette advertentie voldoende is. Apple heeft beveiligingsupdates uitgebracht om de kwetsbaarheden te verhelpen. De beveiligingslekken bevinden zich in IOSurfaceAccelerator (CVE-2023-28206) en WebKit (CVE-2023-28205), de door Apple ontwikkelde browser-engine. Alle browsers op iOS en iPadOS zijn verplicht om van WebKit gebruik te maken. Via de kwetsbaarheid in WebKit kan een aanvaller door middel van een drive-by download, waarbij zoals gezegd het verwerken van malafide webcontent voldoende is en er geen verdere interactie van de gebruiker is vereist, willekeurige code op toestellen uitvoeren. Het beveiligingslek in IOSurfaceAccelerator maakt het mogelijk voor een malafide app om willekeurige code met kernelrechten uit te voeren. Zo kan er volledige controle over het apparaat worden verkregen. De beveiligingslekken zijn zeer vermoedelijk in tandem gebruikt, waarbij een aanvaller eerst via het lek in WebKit toegang krijgt en vervolgens via de kwetsbaarheid in IOSurfaceAccelerator zijn rechten verhoogt. Beide beveiligingslekken werden gevonden en gerapporteerd door onderzoekers van Amnesty International en Googles Threat Analysis Group. Deze groep houdt zich bezig met het bestrijden van door overheden gesponsorde en uitgevoerde aanvallen tegen Google en diens gebruikers. Onlangs kwamen zowel Amnesty als Google met een rapport over het gebruik van zerodaylekken om Android- en iOS-gebruikers met spyware te infecteren. Apple heeft beide kwetsbaarheden verholpen in iOS 16.4.1, iPadOS 16.4.1 en macOS Ventura 13.3.1. Voor gebruikers van macOS Big Sur en macOS Monterey is Safari 16.4.1 verschenen, waarin alleen de WebKit-kwetsbaarheid is opgelost.

MSI getroffen door cyberaanval en broncode gestolen door ransomwaregroep

MSI heeft recentelijk bevestigd dat het slachtoffer is geworden van een cyberaanval en dat de dagelijkse werkzaamheden inmiddels weer zijn hervat. Het bedrijf heeft niet bekendgemaakt of er gegevens zijn gestolen. Een ransomwaregroep beweert dat ze MSI hebben aangevallen en broncode hebben gestolen. Nadat de aanval werd ontdekt, heeft het bedrijf naar eigen zeggen "relevante beveiligingsmechanismen en herstelmaatregelen" in werking gesteld. De aanval is ook gemeld bij politiediensten en cybersecurity-groepen. MSI heeft geen informatie verstrekt over het type aanval of de daders. Het bedrijf beweert dat de aanval geen significante invloed heeft gehad op haar financiële zaken en dat de systemen geleidelijk weer in gebruik worden genomen. MSI adviseert klanten uitdrukkelijk om alleen firmware- en BIOS-updates te installeren via haar officiële website. Het is niet duidelijk of MSI dit doet omdat er mogelijk code gestolen is bij de aanval of als algemene veiligheidsmaatregel. Volgens Bleeping Computer heeft de ransomwaregroep Money Message onlangs beweerd MSI te hebben gehackt, waarbij zij onder andere broncode, privésleutels en BIOS-firmware hebben gestolen. Daarnaast zouden ze toegang hebben gekregen tot bedrijfsdatabases. Money Message beweert 1,5 terabyte aan gegevens te hebben gestolen en eist vier miljoen dollar losgeld. De groep beweert dat ze met de gestolen gegevens BIOS-updates kunnen ontwikkelen en deze met behulp van de privésleutels kunnen installeren. Het is niet duidelijk of MSI daadwerkelijk door Money Message is gehackt of door een andere partij.

Cybercriminelen zorgen voor vijf dagen offline van My Cloud-opslagdienst bij Western Digital

Western Digital kampt met een storing die er al vijf dagen voor zorgt dat de My Cloud-opslagdienst offline is. De harde schijffabrikant heeft niet bekendgemaakt wat er precies aan de hand is, maar afgelopen maandag meldde het bedrijf dat het getroffen was door een security-incident waarbij gegevens zijn buitgemaakt. Als gevolg hiervan heeft Western Digital meerdere diensten en systemen offline gehaald. Klanten kunnen op dit moment geen gebruik maken van My Cloud, My Cloud Home, My Cloud Home Duo, My Cloud OS 5, SanDisk ibi en de SanDisk Ixpand Wireless Charger service. My Cloud is het besturingssysteem dat draait op de NAS-systemen en netwerkschijven van WD en dat ervoor zorgt dat gebruikers hun thuis opgeslagen data vanaf het internet kunnen benaderen. Western Digital heeft aangegeven dat er momenteel onderzoek loopt naar de aard en omvang van de gestolen data. Tot op heden heeft het bedrijf echter geen verdere informatie verstrekt. Het herstel van de getroffen clouddiensten is nog gaande.

Gemeente Herselt (B) slachtoffer van cyberaanval

De gemeente Herselt in België is slachtoffer geworden van een cyberaanval waarbij het nog onduidelijk is wie er achter zit. Vorige week vrijdag kwam de aanval aan het licht en verschillende gemeentediensten blijven tot minstens dinsdag gesloten als gevolg van de aanval. De ICT-diensten van de gemeente Herselt hebben onmiddellijk actie ondernomen toen zij vorige week vrijdag een mogelijke cyberaanval detecteerden. De firewall-leverancier heeft deze week alle internetverbindingen afgesloten en onderzoekt momenteel welke gegevens zijn gelekt en naar waar. De burgemeester van Herselt, Peter Keymeulen (N-VA), heeft aangegeven dat de hackers hebben geprobeerd om data op de gemeentelijke servers te krijgen. Hoewel het nog niet duidelijk is of er gevoelige informatie is gelekt en welke dat dan zou zijn, verzekert de burgemeester dat eventuele lekken beperkt zouden zijn. Voorlopig heeft de gemeente ook nog geen vraag om losgeld ontvangen. Ondertussen onderzoeken experts de servers van de gemeente, waarbij voor de meest drastische maatregel is gekozen: alles afsluiten. Functies worden geleidelijk aan weer vrijgegeven wanneer alles in orde is. De cyberaanval heeft grote hinder veroorzaakt voor verschillende gemeentediensten, waaronder het gemeentehuis, de bibliotheek en het OCMW. Medewerkers konden tot vandaag zelfs geen mails sturen of ontvangen. Daarom werd dinsdag ook besloten om deze diensten te sluiten en kunnen inwoners momenteel geen documenten aanvragen of indienen. Ook het reservatiesysteem van het vrijetijdscentrum Mixx ligt plat. De gemeente Herselt streeft ernaar om alles tegen volgende week dinsdag weer volledig operationeel te hebben.

Cybercriminelen dreigen gegevens van patiënten openbaar te maken na ransomware-aanval op ziekenhuis Clínic in Barcelona

Op zondag 5 maart werd het Hospital Clínic in Barcelona getroffen door een ransomware-aanval, waarbij de systemen werden versleuteld. De groep hackers achter deze aanval vraagt om geld in ruil voor de bescherming van de gegevens. Als tegenprestatie voor een bedrag van 4,5 miljoen dollar in moeilijk te traceren cryptocurrency, beloven de hackers de systemen vrij te geven en geen privacygevoelige informatie te verspreiden. Het eerste gevolg van deze aanval was de annulering van de hulpdiensten, het laboratorium en de apotheek van het ziekenhuis. Het regiobestuur heeft verklaard geen losgeld te zullen betalen. Nu, weken later, dreigen de cyberaanvallers van het Hospital Clínic met het openbaar maken van gegevens over patiënten met infectieziekten en het gebruik van experimentele medicijnen voor ouderen. Ze beschuldigen ook de directie van het ziekenhuis van het verwaarlozen van persoonlijke gegevens. Ransom House, de organisatie waartoe de hackers behoren, heeft dit bekendgemaakt in een verklaring aan enkele media. De hackers reageren hiermee op het blokkeren van de toegang tot gegevens door de Mossos d'Esquadra van de cyberaanval die op het deep web is gepubliceerd.

Cybercriminelen maken gebruik van verouderde WordPress-websites en kwetsbare plug-ins om malware te verspreiden

De helft van de besmette WordPress-websites die securitybedrijf Sucuri vorig jaar opschoonde draaide een verouderde versie. Het bedrijf verwijderde bij bijna 42.000 gecompromitteerde WordPress-sites malware. Hoewel vijftig procent hoog lijkt, is dit bij andere platformen die Sucuri onderzocht, zoals Drupal, vBulletin en Magento, nog veel hoger. Het zijn dan ook vaak niet kwetsbaarheden in WordPress zelf waardoor een website van malware wordt voorzien. Zo draaide 36 procent van de gecompromitteerde websites een kwetsbare plug-in. Ook zijn zwakke wachtwoorden een oorzaak van een besmette WordPress-site. Het onderzoek laat verder zien dat aanvallers bij één op de drie gecompromitteerde WordPress-sites een malafide beheerdersaccount toevoegden. "De data van 2022 laat zien hoe belangrijk het up-to-date houden van cms-applicaties, plug-ins en themes is in het voorkomen van infecties. Het hoge percentage verouderde cms-applicaties en kwetsbare plug-ins of themes aanwezig in gecompromitteerde websites suggereert dat er nog werk te doen is als het gaat om het patchen en essentiële security practices in het voorkomen van besmettingen", aldus Sucuri.

Cyberaanval treft meer dan de helft van Duitse overheidswebsites

Meer dan de helft van de Duitse deelstaten werd woensdag getroffen door cyberaanvallen op overheidswebsites. Hierdoor waren officiële staatswebsites, politiewebsites en sites van het ministerie van Binnenlandse Zaken tijdelijk onbereikbaar, zo meldden diverse deelstaatautoriteiten. Dinsdag waren er ook al aanvallen op websites in Mecklenburg-Voor-Pommeren, Saksen-Anhalt en Nedersaksen. "We vermoeden dat de aanvallen in de verschillende deelstaten gecoördineerd zijn", zei Lydia Hüskens, minister van Digitale Zaken van Saksen-Anhalt. Het is voor het eerst dat er zo'n grootschalige cyberaanval op websites van de Berlijnse deelstaatsadministratie plaatsvindt, volgens Ralf Kleindiek, staatssecretaris voor Digitale Zaken bij het ministerie van Binnenlandse Zaken. Hij verzekerde echter dat er geen gegevens zijn gelekt of gestolen. In Nedersaksen onderzoeken autoriteiten een verdachte wegens beschuldigingen van hacken. Een woordvoerder van het Openbaar Ministerie verklaarde dat alle motieven worden onderzocht, maar er zijn aanwijzingen voor een pro-Russische achtergrond. Dinsdag waren hackers ook al gericht op een website van het ministerie van Ontwikkeling voor de wederopbouw van Oekraïne. De autoriteiten onderzoeken of de aanvallen met elkaar in verband staan. Uit onderzoek van cybercrimeinfo blijkt dat de pro-Russische cybercriminelen NOName057 verantwoordelijk zijn voor de talrijke DDoS-aanvallen.

Cybercriminelen raken Nederlands bedrijfsleven snoeihard: 139 organisaties doen melding

De grootschalige cyberaanval op softwareleverancier Nebu uit Wormerveer blijkt mogelijk nog ingrijpender gevolgen te hebben dan eerder werd aangenomen. In de afgelopen dagen hebben minstens 139 bedrijven en organisaties zich gemeld met zorgen over de veiligheid van hun klantgegevens. Dit alles naar aanleiding van de aanval op Nebu, die resulteerde in een potentieel datalek. De Autoriteit Persoonsgegevens (AP) heeft deze informatie naar buiten gebracht op basis van een recent uitgevoerde inventarisatie. De cyberaanval heeft niet alleen directe gevolgen voor Nebu en haar klanten, maar ook voor talloze andere bedrijven die gebruikmaken van de software en diensten van het Wormerveerse bedrijf. Als gevolg van het datalek kunnen persoonsgegevens van klanten, zoals namen, adressen, telefoonnummers en e-mailadressen, in handen zijn gekomen van onbevoegden. Dit roept grote zorgen op over de privacy van de betrokkenen en de mogelijke gevolgen van identiteitsfraude en andere vormen van cybercriminaliteit. De Autoriteit Persoonsgegevens is inmiddels een onderzoek gestart naar de omvang en impact van het datalek. Hierbij werkt de AP nauw samen met andere betrokken instanties, zoals het Nationaal Cyber Security Centrum (NCSC) en de politie. Het doel van het onderzoek is om de bron van het lek te achterhalen, evenals de omvang van de schade en de te nemen maatregelen om verdere incidenten te voorkomen. In de tussentijd wordt bedrijven en organisaties die getroffen zijn door het datalek geadviseerd om extra waakzaam te zijn. Zij kunnen bijvoorbeeld hun klanten informeren over het incident en hen waarschuwen voor mogelijke phishing-pogingen of andere vormen van cybercriminaliteit die kunnen voortvloeien uit het lek. Daarnaast is het belangrijk om de beveiliging van systemen en netwerken te herzien en waar nodig te verbeteren om toekomstige aanvallen af te weren. Deze cyberaanval op Nebu onderstreept nog maar eens het belang van robuuste digitale beveiliging voor bedrijven en organisaties. In een tijdperk waarin cybercriminaliteit steeds geavanceerder wordt, is het essentieel om te investeren in de bescherming van gevoelige informatie en het waarborgen van de privacy van klanten en gebruikers.

Datalek bij HvA: Cybercriminelen stelen gegevens van studenten en medewerkers via gehackte softwareleverancier Nebu

De Hogeschool van Amsterdam (HvA) heeft studenten en personeel die aan een online onderzoek deelnamen gewaarschuwd voor een datalek. Voor het onderzoek, waarbij studenten en medewerkers via een online tool kunnen reflecteren op de ontwikkeling van hun competenties, maakt de HvA gebruik van marktonderzoeksbureau Etil. Dat maakt voor het onderzoek weer gebruik van de software van leverancier Nebu. "Nebu is vervolgens gehackt door cybercriminelen. Daarbij is veel data gestolen van voornamelijk onderzoeks- en marketingbureaus in Nederland', aldus de HvA. Mogelijk zijn ook gegevens van studenten en medewerkers buitgemaakt. Het gaat dan om persoonsgegevens zoals naam, e-mailadres, het wachtwoord van de online tool en antwoorden op de vragenlijsten. Die antwoorden betreffen onder andere de nationaliteit, die van ouders, en de internationale en interculturele competenties. Het datalek zou mogelijk 167 personen raken. Studenten hebben nu van de HvA het advies gekregen om de online tool niet meer te gebruiken totdat er zekerheid is over de veiligheid. In sommige gevallen is het mogelijk dat het datalek gevolgen heeft voor meer mensen dan alleen studenten en medewerkers. Studenten konden online feedback vragen aan maximaal drie mensen van buiten de HvA. Van hen kunnen ook de naam en het e-mailadres zijn gestolen.

Cybercriminelen slaan toe bij KNVB en treffen Eredivisie en Keuken Kampioen Divisie

Eerder werd al gemeld door Cybercrimeinfo dat de KNVB slachtoffer was geworden van een cyberaanval. Nu blijkt echter dat ook de Eredivisie CV (ECV) en de Coöperatie Eerste Divisie (CED) getroffen zijn. Beide organisaties maken gebruik van dezelfde servers als de KNVB en zijn gevestigd op het KNVB-complex in Zeist. De aanval vond plaats op het ICT-netwerk van het hoofdkantoor van de KNVB afgelopen zaterdag. De KNVB heeft bevestigd dat de cybercriminelen persoonlijke gegevens van medewerkers hebben verkregen. De bedrijfsvoering en het voetbal worden echter niet verstoord.

Ontdekking van nieuwe ransomware Rorschach gebruikt door cybercriminelen bij aanval op Amerikaans bedrijf

Check Point Research en het bijbehorende Incident Response Team (CPIRT) hebben een nieuwe vorm van ransomware ontdekt genaamd Rorschach. Het werd gebruikt bij een aanval op een bedrijf in de Verenigde Staten en versleutelt gegevens bijna twee keer zo snel als de LockBit-ransomware. CPIRT heeft vastgesteld dat de malware werd ingezet met behulp van dll-sideloading van de Palo Alto Networks Cortex XDR Dump Service Tool, een commercieel beveiligingsproduct. Palo Alto Networks is inmiddels op de hoogte van de kwetsbaarheid. Uit de analyse blijkt dat Rorschach een van de snelste ransomware-stammen is die ooit is waargenomen qua snelheid van codering. Bovendien is de malware deels autonoom en verspreidt deze zichzelf automatisch wanneer het wordt uitgevoerd op een domeincontroller, terwijl het de logboeken van getroffen systemen wist. Rorschach maakt gebruik van directe syscalls, wat zeldzaam is bij ransomware. De malware blijkt ook uiterst flexibel te zijn, met verschillende optionele argumenten ter beschikking om zijn gedrag aan te passen aan de behoeften van de operator. De losgeldbrief die naar het slachtoffer werd gestuurd, was op dezelfde manier geformatteerd als bij de Yanluowang-ransomware, terwijl andere varianten deden denken aan de DarkSide-ransomware. Elke onderzoeker die Rorschach bestudeerde, zag als het ware iets anders, waardoor de malware zijn naam kreeg van de beroemde psychologische test.

Cybercriminelen gebruiken kwetsbare Veritas Backup Exec-servers als toegangspoort tot bedrijfsnetwerken

Bij veel ransomware-aanvallen is de back-upserver een doelwit voor de aanvallers om te versleutelen, maar één groep gebruikt back-upservers juist als toegang tot het bedrijfsnetwerk, zo meldt securitybedrijf Mandiant. De aanvallers hebben het specifiek voorzien op kwetsbare Veritas Backup Exec-servers. Drie kwetsbaarheden maken het mogelijk om op afstand toegang tot de back-upservers te krijgen en daarvandaan het bedrijfsnetwerk aan te vallen. In maart 2021 kwam Veritas met beveiligingsupdates voor de kwetsbaarheden. Vorig jaar september verscheen er een module voor Metasploit die misbruik van de beveiligingslekken maakt. Metasploit is een opensourceframework voor het testen van de beveiliging van systemen en netwerken en is erg geliefd bij penetratietesters en securityprofessionals. Het bevat allerlei modules en exploits voor het uitvoeren van aanvallen. Volgens Mandiant zijn er meer dan 8500 Veritas-servers vanaf het internet toegankelijk en zal een aantal daarvan mogelijk nog kwetsbaar zijn. De aanvallen die het securitybedrijf waarnam zouden het werk zijn van een partner van de ALPHV-ransomware, ook bekend als BlackCat-ransomware. Deze partner maakt gebruik van de eerder verschenen Metasploit-module voor het uitvoeren van de aanval, waarna er verschillende andere tools worden gebruikt om zich door het netwerk van de getroffen organisatie te bewegen.

Cybercriminelen maken gebruik van Zimbra-webmail lek om inloggegevens te stelen

De Amerikaanse overheid waarschuwt federale overheidsinstanties voor een actief aangevallen cross-site scripting (XSS) lek in Zimbra-webmail, waarmee aanvallers inloggegevens van gebruikers stelen en vervolgens toegang tot de mailbox krijgen. Een beveiligingsupdate voor het probleem is al sinds vorig jaar maart beschikbaar. Toch rapporteerde securitybedrijf Proofpoint vorige week dat het begin dit jaar aanvallen had waargenomen die misbruik van de kwetsbaarheid maakten. Zimbra is een collaborative software suite die onder andere mailserversoftware en een webmailclient bevat. De software zou door meer dan 200.000 organisaties wereldwijd worden gebruikt. Het beveiligingslek in de software, aangeduid als CVE-2022-27926, maakt reflected cross-site scripting mogelijk. Bij de nu waargenomen aanvallen zoeken de aanvallers eerst naar kwetsbare Zimbra-installaties. Vervolgens sturen ze een doelwit een e-mail met een malafide link. Zodra het slachtoffer de link in de Zimbra-webmail opent, wordt er JavaScript in de browser van het slachtoffer uitgevoerd. De JavaScript voert vervolgens een volgende JavaScript payload uit, die cross-site request forgery (CSRF) uitvoert om gebruikersnamen, wachtwoorden en CSRF-tokens van de gebruiker te stelen. Op deze manier hebben de aanvallers toegang gekregen tot de mailboxes van Europese overheidsinstanties, aldus Proofpoint. Om welke landen het gaat is niet bekendgemaakt. Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security heeft federale Amerikaanse overheidsinstanties nu opgedragen om de update voor het Zimbra-lek voor 24 april te installeren mocht dat nog niet zijn gedaan.

Kabinet in Nederland overweegt meldplicht voor grote ransomware-aanvallen op netwerken van organisaties

Het kabinet overweegt een meldplicht voor grote ransomware-aanvallen op netwerken van organisaties in te voeren, zo liet minister Yesilgöz van Justitie en Veiligheid weten tijdens een commissiedebat in de Tweede Kamer. Ook wordt onderzoek gedaan naar de omvang van de schade die ransomware in Nederland veroorzaakt. Een fonds om losgeld bij ransomware-aanvallen op het mkb te betalen, komt er niet. De minister roept getroffen organisaties op om geen losgeld te betalen en stelt dat verifieerbare cijfers over de omvang van ransomware in Nederland ontbreken, deels doordat niet van alle ransomware-aanvallen aangifte wordt gedaan. De politie werkt aan de mogelijkheid voor burgers om online aangifte van ransomware te doen en het WODC doet onderzoek naar de aard en omvang van de schade. De Europese Netwerk- en Informatiebeveiligingsrichtlijn (de NIB-Richtlijn) voorziet al in een meldplicht bij aanzienlijke incidenten voor aanbieders van essentiële diensten en digitale dienstverleners.

Onzekerheid over gestolen data bij Nebu-datalek tijdens kort geding Blauw

Er is nog steeds geen duidelijkheid over welke data er zijn gestolen bij het datalek van softwareleverancier Nebu en of daarbij ook gegevens van marktonderzoeker Blauw en hun klanten, waaronder NS en VodafoneZiggo, betrokken zijn. Dit bleek tijdens een kort geding in de rechtbank van Rotterdam. De uitspraak wordt verwacht op donderdag. Blauw-directeur Jos Vink zei na afloop van het kort geding: "Er is veel besproken, maar we weten nog steeds niet om welke data het gaat. Dat is heel frustrerend. Nu is afgesproken dat er meer informatie komt, laten we hopen dat die er ook echt komt." Het datalek heeft naar schatting gegevens van ten minste twee miljoen klanten blootgesteld, waaronder die van meer dan twintig klanten van marktonderzoekers. Onlangs maakte warmtebedrijf Ennatuurlijk bekend dat bijna 20.000 van hun klanten zijn getroffen en Pensioenfonds Zorg en Welzijn meldde dat 95.000 van hun klanten zijn getroffen. In tegenstelling tot pensioenfonds PME gaat het hierbij niet om inkomensgegevens. Nebu heeft bevestigd dat er gegevens zijn gedownload tijdens de aanval, maar kon 3,5 weken na de aanval nog steeds niet bevestigen of daar klantgegevens van Blauw bij zaten. Ook is het nog onduidelijk hoe het zit bij andere Nederlandse marktonderzoekers. Blauw had het kort geding aangespannen om antwoord te krijgen op de vraag of hun data zijn gestolen. Volgens de advocaten van Blauw hadden onbevoegden 31 uur lang toegang tot de systemen van Nebu en gedurende 45 minuten gegevens gedownload. De advocaten van Nebu konden echter niet aangeven om welke data het gaat en beweerden alle beschikbare informatie te hebben verstrekt. Het Canadese moederbedrijf van Nebu was vertegenwoordigd via een videoverbinding tijdens het kort geding en er was niemand fysiek aanwezig. De advocaten van Nebu gaven aan dat er een account van een wachtwoordmanager, LastPass, was gehackt en dat er een zes pagina's tellend rapport bestaat over de aanval. De inhoud daarvan is echter onbekend. Andere marktonderzoekers volgden de zaak ook op de voet, maar waren geen partij. USP is in ieder geval ook getroffen door het datalek, maar het is nog onduidelijk welke andere partijen zijn getroffen.

Cybercriminelen breken in bij KNVB en stelen persoonlijke gegevens medewerkers

Voetbalbond KNVB heeft te maken gehad met een cyberinbraak op zijn ICT-netwerk op de KNVB Campus in Zeist, het hoofdkantoor. Dit heeft geleid tot het illegaal verkrijgen van persoonlijke gegevens van medewerkers door cybercriminelen, zo meldt de bond in een verklaring op zijn website. De KNVB laat alle servers grondig onderzoeken om de impact van de inbraak vast te stellen. Het is nog niet duidelijk om welke gegevens het precies gaat. Het datalek is inmiddels gemeld bij de Autoriteit Persoonsgegevens. Hoewel de primaire bedrijfsvoering niet in gevaar komt en e-mailsystemen niet zijn geraakt, is de KNVB geschokt dat de persoonlijke gegevens van zijn medewerkers illegaal zijn verkregen. "We vinden het vooral heel erg dat onze medewerkers hier mogelijk mee te maken krijgen. Helaas hebben we op dit moment geen beter bericht. We doen er alles aan om de problemen te beperken", aldus de directieleden Marianne van Leeuwen en Jan Dirk van der Zee namens de KNVB. De voetbalbond is niet de eerste organisatie die te maken krijgt met cybercriminaliteit en zal waarschijnlijk ook niet de laatste zijn. "Steeds meer organisaties worden geconfronteerd met cybercriminaliteit. De KNVB is hier ondanks ons beveiligingssysteem nu ook het slachtoffer van geworden", aldus de verklaring van de KNVB-directie. Ondertussen blijft het voetbal gewoon doorgaan, zoals gepland.

Cybercriminelen veroorzaken datalek: bedrijven eisen informatie bij rechtbank Rotterdam

Er is vorige week een groot datalek aan het licht gekomen waarover dinsdagmiddag een kort geding plaatsvindt bij de rechtbank van Rotterdam. Marktonderzoeksbureau Blauw eist van softwareleverancier Nebu informatie over welke data is gelekt en hoe dit heeft kunnen gebeuren. Nebu heeft tot nu toe geen antwoord gegeven op deze vragen. Verschillende grote bedrijven, waaronder VodafoneZiggo, de NS en zorgverzekeraar CZ, hebben honderdduizenden klanten gewaarschuwd voor een mogelijk datalek. Persoonsgegevens die zijn gebruikt voor klanttevredenheidsonderzoeken zijn mogelijk openbaar geworden, zoals voornamen, achternamen en e-mailadressen. "We weten nog steeds niet zeker of er persoonlijke gegevens zijn gelekt", zegt directeur Jos Vink van Blauw. "Eind maart kregen we een melding van een datalek van onze softwareleverancier Nebu. Maar we hebben geen antwoord gekregen op vragen over welke gegevens zijn gelekt en hoe dit heeft kunnen gebeuren." Gevoelige gegevens, zoals creditcardgegevens, inloggegevens of wachtwoorden zijn niet uitgelekt. "Dit soort gegevens verwerken wij niet voor onze onderzoeken", legt Vink uit. Blauw eist in het kort geding dat Nebu meer informatie geeft over het datalek. "We moeten weten welke gegevens zijn gelekt en hoe dit heeft kunnen gebeuren", aldus Vink. Nebu heeft alleen aangegeven dat er een cyberaanval heeft plaatsgevonden. "Maar daarmee weten we nog steeds niet genoeg. De belangrijkste vraag is of er gegevens zijn gestolen." Nebu levert software aan marktonderzoekers in heel Europa, dus Blauw is niet het enige bedrijf dat is getroffen door het datalek. "Verschillende Nederlandse bedrijven hebben zich verenigd in ons kort geding tegen Nebu", zegt Vink. Meer dan twintig organisaties met honderdduizenden klanten hebben aangegeven dat ze zijn getroffen door het datalek, waaronder de NS, VodafoneZiggo, Vrienden van Amstel LIVE, pensioenfonds PME, en zorgverzekeraar CZ. Ook de Nationale Postcodeloterij, ProRail, de Rijksdienst voor Ondernemend Nederland en verschillende woningcorporaties hebben voorlopige meldingen van een datalek gedaan bij de Autoriteit Persoonsgegevens (AP). Maar zolang niet duidelijk is óf - en zo ja wélke - gegevens zijn gelekt, kan de melding niet definitief worden gemaakt.

Cybercriminelen richten zich op cryptobedrijven via besmette 3CX VoIP-software

Een select aantal organisaties en bedrijven dat de besmette voip-software van leverancier 3CX installeerde is vervolgens met een backdoor besmet, waarbij de aanvallers een interesse in cryptobedrijven lijken te hebben. Dat laat antivirusbedrijf Kaspersky vandaag in een analyse weten. 3CX levert allerlei oplossingen voor zakelijke communicatie die volgens het bedrijf door meer dan twaalf miljoen mensen worden gebruikt. Het gaat mede om een desktopapplicatie waarmee het onder andere mogelijk is om via de computer te bellen of voicemailberichten te beluisteren. Aanvallers wisten in de macOS- en Windowsversie van deze software malware te verbergen. Eenmaal geïnstalleerd verzamelt de malware informatie over het systeem en browsergeschiedenis en stuurt die naar een server van de aanvallers. Bij een zeer select aantal slachtoffers werd vervolgens de Gopuram-backdoor geïnstalleerd waarmee de aanvallers toegang tot het systeem krijgen, zo stelt Kaspersky. De virusbestrijder detecteerde op basis van de eigen telemetriegegevens afkomstig van klanten minder dan tien besmettingen wereldwijd. "We denken dat Gopuram de primaire malware en uiteindelijke payload in de aanvalsketen is", aldus onderzoeker Georgy Kucherin. Deze backdoor is eerder ingezet tegen cryptobedrijven en volgens Kucherin hebben de aanvallers achter de 3CX-aanval een specifieke interesse in cryptobedrijven. Details over de aanval afkomstig van 3CX zelf zijn schaars. Het bedrijf heeft aangegeven met meer informatie te komen zodra dit bekend is.

Cybercriminelen TA473 richten zich op Europese militaire en diplomatieke organisaties

Onderzoekers van Proofpoint hebben een cybercriminele groep genaamd TA473, ook bekend als Winter Vivern, ontdekt die zich richt op Europese militaire, overheids- en diplomatieke organisaties betrokken bij de Russisch-Oekraïense oorlog. TA473 maakt gebruik van kwetsbaarheden in Zimbra-software om ongepatchte webmailportals te vinden en phishing-e-mails met besmette URL's te versturen. Ze bestuderen intensief elke webmailportal om Cross Site Request Forgery (CSRF) uit te voeren en gebruikersnamen, wachtwoorden, actieve sessies en CSRF-tokens te stelen. De groep richt zich sinds 2021 op Europese en Amerikaanse doelwitten en heeft de aanvalsmethoden in de loop der tijd aangepast. Proofpoint adviseert om Zimbra Collaboration te patchen en de toegang te beperken om inloggegevens te beschermen tegen deze vastberaden en gerichte cybercriminelen.

Cybercriminelen richten zich op Capita PLC, klantgegevens lijken onaangetast

Capita PLC meldde maandag dat het getroffen is door een cyberaanval, maar er is geen bewijs gevonden dat klantgegevens zijn gecompromitteerd. Het outsourcingbedrijf gaf aan dat het incident invloed had op de toegang tot Microsoft Office 365-toepassingen, waardoor de dienstverlening aan sommige klanten werd verstoord. Desondanks bleven de meeste klantenservices operationeel. "Onze IT-beveiligingsmaatregelen hebben ons snel op de hoogte gebracht van het incident en we hebben onmiddellijk onze gevestigde en beproefde technische crisismanagementprotocollen ingezet. Er werden direct stappen ondernomen om het probleem succesvol te isoleren en in te perken. Het probleem bleef beperkt tot delen van het Capita-netwerk en er zijn geen aanwijzingen dat gegevens van klanten, leveranciers of collega's in gevaar zijn gekomen", zei Capita. "In samenwerking met onze gespecialiseerde technische partners hebben we de toegang van Capita-medewerkers tot Microsoft Office 365 hersteld en boeken we goede vooruitgang bij het veilig en gecontroleerd herstellen van de resterende klantenservices."

Datalek bij Pensioenfonds Zorg & Welzijn mogelijk na cyberaanval op softwarebedrijf Nebu

Ongeveer 95.000 deelnemers van Pensioenfonds Zorg & Welzijn (PFZW) zijn mogelijk het slachtoffer geworden van een datalek als gevolg van een cyberaanval op softwarebedrijf Nebu uit Wormerveer. De gelekte informatie betreft naar verluidt achternamen, e-mailadressen, leeftijden en geslacht van de betrokkenen. Het pensioenfonds heeft echter bevestigd dat er geen financiële gegevens of wachtwoorden zijn gestolen. Pensioenfonds PME heeft ook aangegeven dat het mogelijk door hetzelfde datalek is getroffen en dat de inkomensgegevens van pensioendeelnemers mogelijk zijn gelekt. In totaal hebben ongeveer 25 organisaties gemeld dat ze getroffen zijn door het datalek, waaronder de NS, ProRail, CZ, VodafoneZiggo, De Vrienden van Amstel LIVE, de Nederlandse Golf Federatie, de Nationale Postcode Loterij, de Rijksdienst voor Ondernemend Nederland, en enkele gemeenten en woningcorporaties. Nebu levert software voor marktonderzoek, waaronder aan marktonderzoeksbureau Blauw uit Rotterdam, dat onderzoek doet voor enkele van de getroffen bedrijven, waaronder de NS en VodafoneZiggo. Nebu heeft verklaard dat het nog niet duidelijk is of persoonlijke gegevens zijn gestolen. Blauw-directeur Jos Vink eist in een kort geding dat Nebu meer informatie verstrekt over het datalek, waaronder welke gegevens zijn gestolen en hoe het heeft kunnen gebeuren. Nebu zal zich dinsdag voor de rechter moeten verantwoorden.

Cybercriminelen stelen gegevens bij Western Digital: My Cloud-dienst tijdelijk onbereikbaar

Harde schijffabrikant Western Digital heeft te maken gekregen met een security-incident waarbij er gegevens zijn buitgemaakt. Op dit moment loopt er een onderzoek naar het soort incident alsmede de omvang en aard van de gestolen data. Naar aanleiding van het incident heeft Western Digital meerdere diensten en systemen offline gehaald. Een van de diensten die op dit moment onbereikbaar is, is WD My Cloud, dat een "503 Service Temporarily Unavailable" geeft. My Cloud is het besturingssysteem dat onder andere op de NAS-systemen en netwerkschijven van WD draait en ervoor zorgt dat gebruikers hun thuis opgeslagen data vanaf het internet kunnen benaderen. WD stelt dat het als onderdeel van de herstelactiviteiten bezig is om de getroffen infrastructuur en diensten weer te herstellen. "Gebaseerd op het onderzoek tot nu toe denkt het bedrijf dat de ongeautoriseerde partij bepaalde data van de systemen heeft gestolen" aldus een vrij summiere verklaring. Daarin staat ook dat klanten rekening met verstoringen moeten houden.

Nederlandse organisaties getroffen door cybercriminelen in 3CX supplychain-aanval

Nederlandse organisaties zijn slachtoffer geworden van de supplychain-aanval op 3CX, waarbij aanvallers malware in de voip-software van het bedrijf wisten te verbergen, zo stelt securitybedrijf Fortinet. Dat baseert zich op telemetriegegevens van de domeinen waarmee de malware verbinding maakt. Daarnaast zijn er aanwijzingen dat de aanvallers al maanden toegang tot 3CX hadden. 3CX is één van de grootste leveranciers van zakelijke telefonieoplossingen. Het bedrijf claimt zeshonderdduizend klanten en twaalf miljoen dagelijkse gebruikers te hebben. Het biedt onder andere een desktopapplicatie om vanaf de desktop te kunnen bellen of voicemail te beluisteren. Aanvallers wisten verschillende versies van de software voor macOS en Windows van malware te voorzien. Deze malware kan aanvullende malware installeren, die informatie steelt en de aanvaller toegang tot het systeem geeft. Daarvoor wordt er met verschillende domeinen verbinding gemaakt. Fortinet gebruikte de eigen telemetrie om verbindingen naar deze domeinen te analyseren. Vier procent van het verkeer naar de betreffende domeinen was afkomstig vanuit Nederland, aldus het securitybedrijf. Europa was in totaal goed voor zestig procent van al het verkeer, met Italië en Duitsland bovenaan het overzicht. Daarnaast blijkt dat de domeinen die voor de aanval werden gebruikt al in november 2022 waren geregistreerd, zo meldt security Volexity. De infrastructuur waar de besmette Windows-versie van de 3CX-app gebruikmaakte kwam op 7 december 2022 online. Hoe de aanvallers toegang tot 3CX konden krijgen, alsmede verdere details over het incident, zijn nog altijd niet beschikbaar. Op dit moment vindt er een onderzoek plaats. 3CX heeft wel besloten om het abonnement van bestaande klanten kosteloos met drie maanden te verlengen.

Datalek bij milieuactiegroep MOB: Cybercriminelen lekken gegevens van 2400 donateurs

Milieuactiegroep Mobilisation for the Environment (MOB), die meerdere stikstofzaken tegen de overheid voerde, heeft een datalek bij de Autoriteit Persoonsgegevens (AP) gemeld nadat een lijst met de gegevens van bijna 2400 donateurs op internet verscheen. Het gaat om namen, bedragen en rekeningnummers van mensen die tussen april 2020 en afgelopen december een donatie deden, zo meldt NRC, dat de lijst in handen kreeg. Hoe het datalek zich heeft kunnen voordoen is onbekend. De krant ontving de lijst via Publeaks, een website voor het delen van tips en andere informatie met de pers. "Wij kunnen deze informatie alleen zien via de website van Mollie en hebben die niet op onze eigen computers en website staan", zo laat MOB-voorzitter Johan Vollenbroek weten. Hij vermoedt dat het overzicht mogelijk is gelekt via betaaldienst Mollie, maar het bedrijf ontkent dit.

Dish Network aangeklaagd door investeerders na ransomware-aanval: beschuldigd van misleiding en onvoldoende bescherming tegen cybercriminelen

De Amerikaanse satelliet-tv-aanbieder Dish Network is in de Verenigde Staten na een ransomware-aanval door meerdere investeerders aangeklaagd. Er zijn zes massaclaims tegen het bedrijf aangespannen. De ransomware-aanval deed zich in februari voor en raakte interne communicatie, servers, callcenters en de websites van het bedrijf. Hierdoor konden klanten geen contact opnemen met het bedrijf, inloggen op hun accounts of betalen. Voor werknemers was het niet mogelijk om te werken. Tevens bleek dat de aanvallers ook gegevens hadden buitgemaakt. In eerste instantie sprak Dish over een "systeemprobleem", maar In een verklaring aan de Amerikaanse beurswaakhond SEC werd echter over een ransomware-aanval gesproken. Verder stelde de tv-aanbieder dat het eind februari ontdekte dat er ook gegevens waren buitgemaakt. Of het om persoonsgegevens van klanten of personeel gaat is op dit moment nog onbekend. Daarnaast zijn ook de financiële gevolgen voor het bedrijf onduidelijk. De beurskoers van Dish daalde na het bekend worden van de aanval met twintig procent. Volgens de investeerders heeft Dish informatie achtergehouden, misleidende informatie over de eigen cybersecurity gegeven en persoonsgegevens van klanten niet goed beschermd. Verder blijkt volgens de klagers dat door de slechte cybersecurity de diensten van het bedrijf kwetsbaar voor uitval waren en Dish op dergelijke storingen niet goed kon reageren. Al deze zaken zorgden ervoor dat de beurskoers van Dish daalde. De klagers willen nu via een massaclaim de schade die ze hebben opgelopen bij het bedrijf verhalen.

Bron: Diverse | Met speciale dank aan: Anonieme tipgevers

Meer weekoverzichten