Tag Archive for: Security

Ransomeware: Zou u betalen?

in

Ransomeware: Zou u betalen?

Ransomeware oftewel gijzelsoftware zien we steeds vaker opduiken en is dan ook voor veel Nederlandse bedrijven een steeds groter probleem. Want wat als je niet meer bij je gegevens en bestanden kan? En daardoor het bedrijf plat ligt voor dagen? Zou u dan ook niet overwegen te betalen?

Wanneer u computer geinfecteerd is met ransoweware worden uw computer of bestanden versleuteld totdat u het gevraagde bedrag, ook wel “losgeld” betaald. Deze bedragen kunnen op lopen tot honderd duizenden euro’s of miljoenen. Wanneer een organisatie getroffen wordt is er geen toegang meer tot bepaalde documenten, klantgegevens of administratie. Beveiligingsonderzoekers signaleren dat steeds meer Nederlands bedrijven slachtoffer worden van ransomeware aanvallen. Het midden en klein bedrijf heeft er voornamelijk last van.

Naast beveiligingsonderzoekers merken ook verzekeraars dat cybercrime met ransomeware toeneemt. In vergelijking met 2018 zijn er dit jaar al 15% meer zaken.

Ook buiten Nederland zijn cybercriminelen met ransomeware actief. Zo is afgelopen weekend is de Universiteit van Antwerpen nog getroffen. De databases van de Universiteit zijn niet aangetast, wel is het mediaplatform van de school tijdelijk niet beschikbaar.

Netwerk
Voorheen maakte veel cybercriminelen gebruik van mail om zo computers te versleutelen. Duizenden mensen kregen een e-mail met daarin de ransomeware. Nu breken veel criminelen in, in het netwerk van het bedrijf. Kijken daar wat rond en richten hierna meer schade aan in het netwerk dan alleen het versleutelen van een computer.

Betalen
Je bestanden zijn versleuteld en wat dan? Veel bedrijven moeten een keuze maken tussen het dagenlang stil leggen van het bedrijf of toch maar het “losgeld” betalen. Want uiteindelijk het bedrijf stil leggen kost ook handenvol geld.

De FBI in Amerika heeft zijn waarschuwingsbeleid met betrekking tot ransomware voor bedrijven aangepast. Voorheen stond daar in dat er onder geen beding losgeld betaald zou moeten worden bij zo’n aanval. De FBI heeft nu het standpunt aangepast dat in het in sommige gevallen een optie is om om het losgeld te betalen, zodat het bedrijf door kan draaien. Wel maken zij daar een kanttekening bij dat er wel de mogelijkheid bestaat dat wanneer het losgeld betaald is dit geen garantie geeft voor het vrijgeven van de bestanden.

Cybercrime
Cybercrime is steeds meer een dagelijks onderwerp wat besproken wordt. Internetcriminelen worden steeds sneller en slimmer. Het beveiligen van uw netwerk is dan ook van groot belang. Omdat DutchTrain het belang in ziet van het goed kunnen beveiligen van uw bedrijfs- of klantgegevens bieden wij de beste security trainingen aan van verschillende vendoren. Zodat uw netwerk voorbereidt is op de toekomst. Naast dat wij klassikale & maatwerk trainingen aanbieden, zijn een groot gedeelte van deze trainingen ook beschikbaar in onze Education On Demand Omgeving*.

*Indien beschikbaar

Bron: NOS.nl, Tweakers.net

Oktober 2019

Grote datahack bij Amerikaanse bank

in

Grote datahack Amerikaanse bank

Bij de Amerikaanse bank Capital One heeft de tot nu toe de grootste datahack ooit plaatsgevonden. Capital One is de zevende grootste commerciele bank in de Verenigde Staten. Bij deze hack zijn ongeveer 100 miljoen Amerikaanse en zo’n zes miljoen Canadese klanten de dupe geworden. Van deze klanten zijn persoonlijke data en betaalgegevens buit gemaakt.

Daarnaast zijn er van meer dan 100 Canadezen en 140.000 Amerikanen het Burgerservicenummer gestolen en zijn de persoonlijke gegevens van kleine bedrijven uit de periode 2005-2019 nu bekend bij de hackers.

Creditcardgegevens, pincodes en inlogdata zijn volgens de bank niet meegenomen. En zij noemen het dan ook onwaarschijnlijk dat de gestolen gegevens gebruikt zijn voor fraude.

Softwareontwikkelaar
De hack had al plaatsgevonden in maart maar is recent geleden pas ontdekt. Ondertussen is de hoofdverdachte opgepakt door de FBI en is bekend geworden dat de data op een cloudserver van Amazon Web Services stond. De hoofdverdachte is een voormalig medewerker van deze dienst en zou gebruik hebben gemaakt van een veiligheidslek in de webapplicatie.

Wanneer de verdachte schuldig wordt bevonden hangt haar een celstraf van 5 jaar boven het hoofd en een boete van € 250.000. De bankdirecteur heeft ondertussen excuses aangeboden en gezegd dat het lek in de webapplicatie gedicht is.

Meerdere criminele activiteiten
Tijdens het onderzoek blijkt nu dat, naast het stelen van gegevens van Capital One, dat de Amerikaanse zich bezig heeft gehouden met meerdere datahacks. Vermoedelijk heeft zij nog van minimaal 30 andere bedrijven uiteenlopende data gestolen. Volgens bronnen gaat het om bedrijven zoals Unicredit, Vodafone, Ford, Michigan State University en het Ohio Department of Transportation

Voorzorgsmaatregelen
Datahacks komen vandaag de dag steeds vaker en in steeds grotere maten voor. En zo blijkt dat ook een van de grotere Amerikaanse banken niet altijd imuum is voor kwaadwillende. Het is daarom belangrijk om goede stappen te nemen in het beveiligen van uw eigen klantgegevens.

Bij DutchTrain bieden we verschillende Security trainingen om uw eigen netwerk zo goed mogelijk te beveiligen o.a. de training Certified Ethical Hacker.  In deze training leert u op ethische wijze eventuele kwetsbaarheden in uw eigen netwerk kenbaar te maken. Daarnaast bieden wij ook trainingen op het gebied van de nieuwe Privacy Wetgeving zo dat u weet welke gegevens wel en niet privacygevoelig zijn en wat u als bedrijf zijnde verplicht bent om te doen om deze gegeven te beschermen.

Deze trainingen kunnen zowel klassikaal als online* in onze Education on Demand Omgeving. Weet u niet zeker welke training het beste bij u of een van uw medewerkers past? Neem dan contact op met een van onze opleidingsadviseurs.

* Indien beschikbaar

Bron: Nos.nl

Juli 2019

Mei maand is veiligheidsmaand | 1 jaar AVG

in

Mei maand is veiligheidsmaand: 1 jaar AVG
In het kader van één jaar Algemene Verordering Gegevensbescherming (AVG) dopen wij de maand mei om tot veiligheidsmaand. Per 25 mei 2018 is de AVG-wet actief en had hierbij een grote impact op veel organisaties en bedrijven. En vandaag de dag voldoen nog steeds niet alle organisaties aan de wet; onder andere de belastingdienst.

De AVG: Wat is het ook alweer?
De AVG of GDPR (General Data Protection Regulation) zette Nederland vorig jaar op zijn kop. Met ingang van deze wet heeft de Europese Unie één privacywet en geldt voor alle bedrijven en organisaties die persoonsgegevens vastleggen van klanten, personeel of andere personen uit de EU. In een notendop zijn onze privacyrechten versterkt en worden organisaties meer in de gaten gehouden op het juist verwerken van persoonsgegevens. Dit houdt in dat ze niet over persoonsgegevens mogen beschikken die niet noodzakelijk zijn. Wanneer u bijvoorbeeld een pakket verstuurt is het adres noodzakelijk voor de pakketbezorger maar wat uw geboortedatum of burgerlijke staat is niet.

Ook is bepaald dat alle standaard-instellingen privacy-vriendelijk moeten zijn. Een voorbeeld hiervan zijn de commerciële nieuwsbrieven. Deze mogen niet zomaar gestuurd worden, tenzij er toestemming voor is gegeven door de ontvanger. Ook voor cookies op een website moet toestemming gegeven worden door de websitebezoeker. Een andere eis voor alle websites die persoonsgegevens verwerken, is het SSL-certificaat. Deze zorgt voor een veilige verbinding tussen de website en de bezoeker. Een website met SSL-certificaat is te herkennen aan de “https” in plaats van “http” en het slotje in de adresbalk. Bij websites die niet over dergelijk certificaat beschikken komt er dan vaak de melding “onveilig” in de adresbalk te staan.

Dutchtrain biedt trainingen aan op het gebied van de AVG. In de training Certified Information Privacy Professional Europe houdt u zich bezig met Pan-Europese en nationale gegevensbeschermingswetten, de belangrijkste gegevensbeschermingsterminologie en praktische concepten voor de bescherming van persoonsgegevens en grensoverschrijdende gegevensstromen.

Daarnaast zijn een aantal bedrijven verplicht om een Data Protection Officer (DPO) aan te stellen. Om te bepalen welke organisaties verplicht zijn een DPO te hebben heeft de AVG hiervoor speciale richtlijnen opgesteld. Als u uw CIPP/E-certificering uitbreidt met CIPM, bent u in een unieke positie om aan de DPO-eisen in de AVG te voldoen. De CIPP/E draait om de kennis die een DPO moet hebben over het Europese juridische kader van de wetgeving, en de CIPM bestaat uit de theoretische aspecten die nodig zijn om het gegevensbeschermingsbeleid van een organisatie vorm te geven.

Mei 2019

Cyberaanvallen: houd ze buiten uw poorten

in

Cyberaanvallen: houd ze buiten uw poorten
Je leest er de laatste tijd veel over: cyberaanvallen. Het lijkt alsof onze netwerken van alle kanten worden aangevallen. Niet alleen grote organisaties die gevoelige persoonlijke informatie beheren zijn potentiële slachtoffers, maar ook kleinere organisaties zijn de dupe. Één kwetsbare website is al voldoende om een compleet systeem te infiltreren. Ook via email spoofing of phishing proberen hackers netwerken binnen te dringen.

Internetveiligheid is voor veel organisaties een steeds complexere zaak geworden door de toegenomen digitalisering. We registreren ons tegenwoordig overal online. Gevoelige persoonlijke gegevens worden digitaal verwerkt door ziekenhuizen, banken of gemeente instellingen.

Grote organisaties die meerdere online diensten aanbieden kunnen extra kwetsbaar zijn. Als er meerdere websites op dezelfde server zijn aangesloten hebben hackers genoeg aan een zwakke website om zich toegang te verschaffen tot die server. Op die manier kunnen hackers bij gevoelige persoonlijke gegevens komen die in eerste instantie wel beveiligd waren.

Verouderde software
Websites dienen als buitenmuren van de digitale verdediging van een organisatie. Wanneer website draaien op verouderde software is het voor een hacker gemakkelijk om het systeem binnen te dringen. Als er alleen informatie op een dergelijke website staat, is dit nog niet zo’n probleem. Maar op steeds meer websites wordt gevraagd persoonlijke informatie achter te laten. Daarom is verouderde software een grote kwetsbaarheid.

Hackers breken ook in via e-mail spoofing of phishing. E-mails met een vervalste afzender worden naar mensen binnen een organisatie verstuurd om hen over te halen tot een bepaalde actie. Bioscoopbedrijf Pathé werd hiervan bijvoorbeeld de dupe. Lokale directeuren maakten miljoenen over in opdracht van hun CEO, dachten zij. Dit soort mailtjes zijn tegenwoordig bijna niet meer van echt te onderscheiden. Valse e-mails worden ook gebruikt bij identiteitsfraude. Criminelen combineren diverse datalekken om profielen van slachtoffers te bouwen. Die vervalste online-identiteiten gebruiken zij om dure spullen te kopen of toeslagen aan te vragen.

Organisaties kunnen technische maatregelen nemen om zich te beveiligen tegen e-mail spoofing. Beveilig bijvoorbeeld je homepage tegen nepmails. Wanneer een organisatie meerdere website heeft, is de kwetsbaarheid groter. Website die niet meer gebruikt worden, omdat zij bijvoorbeeld voor oude projecten gebruikt werden, kunnen voor de veiligheid beter afgestoten worden.

In 2018 zijn er 21.000 datalekken gemeld bij de Autoriteit Persoonsgegevens. Een schrikbarend hoog aantal. En dan te bedenken dat niet alle datalekken gemeld worden. Wat is de status van de ICT infrastructuur van uw organisatie? Draaien de systemen op de nieuwste software? Is mailverkeer beschermd? Worden gevoelige persoonlijke gegevens gewaarborgd?

Een goede Security Officer houdt hackers en cyberaanvallen buiten de deur. Dutchtrain biedt diverse trainingen aan op het gebied van Cyber Security zoals Computer Hacking Forensic Investigator of Certified Network Defender. Houd hackers buiten de deur. Zorg voor goed opgeleide ICT professionals. Al onze Security trainingen vindt u hier: https://www.dutchtrain.nl/security

Bron: Elsevier Weekblad
Maart 2019

Stuurt u ook een datalek email?

in

Stuurt u ook een datalek email?

Iedereen gebruikt tegenwoordig email. In veel gevallen kan je zonder email niet eens meer een account aanmaken op veel websites, communiceren met collega’s of een agenda afspraak maken in outlook. Maar het gebruik van email bij overheidsinstanties en bedrijven zorgt voor veel datalekken.

Een tikfout is namelijk zo gemaakt in de adressering. En hierdoor komt het regelmatig voor dat privacygevoelige informatie zoals medische dossiers, identiteitspapieren of zelfs bedrijfsgeheimen niet terecht komt bij diegene voor wie de mail eigenlijk bestemd is. En dus misschien wel in de verkeerde handen.

De Cyberonderzoeksraad heeft onderzoek gedaan naar email en de gevoeligheid daarvan. Dit onderzoek bevestigt de cijfers van de Autoriteit Persoonsgegevens over het verkeerd toesturen van persoonsgegevens. Dit is het grootste probleem bij datalekken op dit moment. Namelijk zo’n 64% van alle datalekken heeft te maken met dat privacygevoelige informatie terecht komt bij de verkeerde ontvanger.

Daarnaast is de mailbox vaak een verzameling van tientallen e-mails. En deze e-mails gaan in veel gevallen jaren terug. Waardoor er door bijvoorbeeld een malware infectie, misbruik gemaakt kan worden van alle privacygevoelige informatie welke zich in de mailbox bevindt. Volgens de wet algemene Verordening Gegevensbescherming moeten alle persoonsgegevens verwijderd worden wanneer deze niet meer nodig zijn. Maar gebeurd dat ook daadwerkelijk met alle e-mails waar deze gegevens in staan of verdwijnen ze in de enorm grote mailbox tot we het vergeten?

In de uitkomst van het onderzoek blijkt dat er op dit moment niet goed wordt nagedacht over de mogelijke gevaren van het gebruik van email bij organisaties en overheidsinstanties. Dus reist dan ook de vraag op of email wel het juiste communicatiemiddel is met betrekking tot het uitwisselen van persoonsgegevens en andere privacygevoelige informatie. Tot op heden is hiervoor geen versleutelde verbinding vereist en kan er niet getraceerd worden of het bericht nog origineel is.

DutchTrain beschikt over een groot portfolio Security trainingen die ingaan op de databescherming van nu. Kijk voor meer informatie en trainingen op www.dutchtrain.nl

Februari 2019

Russen hacken OPCW

in

Russen hacken OPCW: Weet U wie uw netwerk Hackt?

Minister van Defensie Ank Bijleveld: De Nederlandse Militaire Inlichtingen- en Veiligheidsdienst heeft in april een operatie van de Russen verijdeld tegen de Organisatie voor het Verbod op Chemische Wapens (OPCW).

Vandaag werd bekend dat Rusland heeft getracht om via wifi de OPCW te hacken. Natuurlijk heeft u niet de AIVD als ondersteuning om een hack via WIFI te voorkomen. Is uw netwerk beschermd tegen inbraak?

Nu is deze operatie van de russen enigszins amateuristisch te noemen, maar daar schuilt juist het gevaar. De hack was goed voorbereid met vrij in de handel verkrijgbare onderdelen die de lokale hacker op zijn zolderkamer beschikbaar kan hebben.

Wat kan u doen om een dergelijk soort aanval te voorkomen? In deze nieuwsbrief adviseren wij uw opleidingen welke u direct in de praktijk kan brengen.

Training CND “Certified Network Defender” 
Certified Network Defender (CND) is de nieuwste vendor-onafhankelijke training en certificering van EC-Council in netwerkbeveiliging met als belangrijkste thema’s ‘Protect, Detect and Respond’. Hiermee onderscheidt CND zich van de meeste alternatieve titels die zich vaak grotendeels richten op het onderdeel Protect. De CND training helpt deelnemers in hun organisaties ‘Defense-in-depth’ doelstellingen te bereiken met behulp van zowel technische als menselijke oplossingen. Deze training is geschikt voor netwerkbeheerders, netwerkbeveiligers & professionals op CCNA of Network+ niveau.

Training CEH “Certified Ethical hacker“
Een ethical hacker is een professional die de denk- en werkwijze van hackers kent en gebruikt om systemen of netwerken te beveiligen. Na het identificeren van zwakheden, gebruikt een ethical hacker zijn vaardigheden om de organisatie veilig te stellen. Na deze training weet u hoe kwaadwillende hackers, sniffers en phishers proberen in te breken in uw organisatie. Door hun wapens te leren gebruiken, wordt uw verdedigingsstrategie intelligenter. Certified Ethical Hacker”
Deze training is geschikt voor netwerk analisten Netwerkbeheerders & Netwerkbeveiligers.

Training CHFI “Computer Hacking Forensic Investigator”
Computercriminaliteit is in onze samenleving helaas niet meer weg te denken. Ze kan ernstige schade toebrengen aan bedrijven en het nemen van beveiligingsmaatregelen is niet altijd voldoende. Bij het onderzoek naar (een poging tot) een hack-aanval is er echter een reële mogelijkheid dat de daders achterhaald kunnen worden.

De cursus ‘Computer Hacking Forensic Investigator’ richt zich expliciet op het detecteren van een hack-aanval en het verzamelen van de juiste gegevens. Op die manier kan voldoende bewijs worden geleverd om aangifte te doen bij justitie. Met de kennis die word opgedaan met deze cursus is het bovendien mogelijk een hack-aanval preventief te voorkomen. Deze training is bedoeld voor Certified Ethical Hackers, systeem- en netwerkbeheerders, Information Security Managers, Riskmanagers en Security Officers. “

DutchTrain heeft samen met EC-Council eLearning content en materiaal ontwikkeld t.b.v. het officiële certificeringsprogramma : Certified Network Defender CNS, Certified Ethical Hacker CEH V10, Computer Hacking Forensic Investigator CHFI V9.

NB: Trainingen zijn zowel klassikaal(5 dagen) als online te volgen.
Voor meer informatie: info@dutchtrain.nl

Oktober 2018

Nieuwsbrief week 39

in

Klik hier voor onze nieuwsbrief Week 39

September 2018