Kinderen dromen niet over een baan als cybersecurity specialist. En dat vinden wij jammer.

Het wordt steeds lastiger voor bedrijven binnen de cybersecurity om goed personeel te vinden. Niet omdat er zoveel keuze is, maar juist omdat er een zogenaamd ‘schreeuwend tekort is’. Bij Rootsec herkennen wij dit probleem. Ook wij hebben lang moeten zoeken naar onze specialisten. Daarnaast komen deze IT’ers natuurlijk ook niet graag buiten, dat maakt de zoektocht nog wat lastiger.

Oplossingen liggen niet voor de hand

Het personeelstekort dat momenteel heerst binnen de IT-security markt is geen fase die even voorbij moet gaan. Het tekort neemt alleen maar toe en oplossingen liggen niet voor de hand. Althans, niet voor de korte termijn. Volgens Petra Oldengarm van brancheorganisatie Cyberveilig Nederland is er een schreeuwend tekort aan goed personeel. Bij veel organisaties lopen de salarissen voor deze zeldzame werknemers daarom ook hard op. Wat opvallend is, is dat het nagenoeg geldt voor elke functie binnen de securitybranche. Zo kan de gemiddelde pen-tester dag en nacht zijn lol op. Ditzelfde geldt voor SoC-analisten.

Er wordt nu, dankzij dit tekort, gekeken naar oplossingen op de korte termijn. Zo worden voor awareness trainingen en het creëren van bewustzijn in het algemeen nu steeds vaker psychologen ingezet. Dit werd voorheen vaak gedaan door IT-specialisten maar die hebben simpelweg geen tijd meer voor dit soort ‘afleidingen’. Ook wordt er gekeken naar meer automatisering. Waar dit een logische gedachte is, is het ook een gevaarlijk idee. Want zoals u, de trouwe lezer, inmiddels weet is alles te hacken. En hoe meer je automatiseert, des te meer er te hacken is. En wat als je het ethisch hacken gaat automatiseren? Dit kan vervolgens ook gehackt worden en de hackers hebben vrij spel. Slecht idee. Maar er zijn natuurlijk wel bepaalde aspecten die eventueel geautomatiseerd zouden kunnen worden.

Laat je omscholen en kies je eigen salaris

Kijkende naar lange termijn oplossingen kom je al snel uit bij de student van nu. De jongeman of jongedame die zojuist is begonnen met haar studie op het gebied van cybersecurity (of iets wat een vaag raakvlak hiermee deelt) wordt vaak al in zijn of haar eerste jaar benaderd. ‘Of ze niet binnenkort stage willen komen lopen’. Op die manier leren de organisaties het potentieel talent al kennen en daar plukken ze dan vervolgens in de toekomst, hopelijk, de vruchten van. Echter vraagt ons vakgebied natuurlijk om gespecialiseerd personeel en dus duurt een gemiddelde opleiding tot specialist vaak wel een jaar of 5. Dat schiet momenteel dus niet op.

De enige oplossing die haalbaar is en ook nog eens op de korte termijn zijn invloed kan hebben is omscholing. Als je een technische achtergrond hebt, creativiteit en interesse dan ben je al een heel eind. Vaak zijn bedrijf ook welwillend genoeg om dit voor de omscholer te betalen. Dat verdient zich in de toekomst natuurlijk dubbel en dwars terug. In de krant lees je nog steeds dat er veel branches zijn waar mensen nauwelijks aan de bak komen. Hoe anders is dat in de securitybranche. Kortom, zit je verlegen om een baan en heb je wel affiniteit met cybersecurity? Stuur gewoon een open sollicitatie en je zult genoeg gratis bakjes koffie kunnen drinken.

Wat zou jij doen met 40 miljoen?

Ondanks dat er in Nederland nog een sombere sfeer hangt na de uitschakeling van Ajax, zijn we er ook deze week weer met een blog. Ditmaal nemen we een kijkje in de wereld van Bitcoin. Dat bestaat nog, vraagt u? Zeker. Het is niet meer zo’n hype als dat het ooit was en het is ook zeker niet meer zo aantrekkelijk om in stappen als vroeger, maar het bestaat nog zeker. En deze week krijgt Bitcoin zelfs weer wat extra aandacht in de media. De reden hiervoor was echter niet zo prettig, een hack waarbij 7000 BTC verloren ging. Dat is omgerekend ongeveer $40.000.000. Een halve Frenkie de jong zeg maar.

Er gingen exact nul alarmbellen af.

Wat opvallend is, is het feit dat er binnen het toch goed beveiligde systeem (mag je aannemen) van Binance geen alarmbellen zijn gaan rinkelen. Waar je natuurlijk kan zeggen dat dit ook gewoon ‘goed’ hack-werk is, verwacht je van een bedrijf met een dusdanig grote particuliere portefeuille toch wel meer. Zeker omdat het opnemen van deze 7000 BTC via éénzelfde transactie gingen.  Daarnaast hebben de hackers naast die 40 miljoen ook nog een groot aantal API-keys, 2FA codes en “andere informatie” gestolen. Kortom, een flinke breach. Volgens Changpeng Zhao, CEO van Binance, was dit een erg goed georganiseerde hack. Hierbij werd niet alleen gebruik gemaakt van veiligheidslekken bij Binance zelf maar werd er ook gebruikt gemaakt van externe factoren. Gedurende een langere periode hebben de hackers, middels phishing, virussen en andere tools, een soort visnet uitgehangen. Toen dit net vol genoeg zat met de juiste gebruikersaccounts besloten ze hun vangst binnenboord te halen.

Noodfonds stelt gebruikers schadevrij

Het bedrag dat gestolen werd zal in zijn geheel worden terugbetaald aan de gedupeerde. Hiervoor heeft Binance het zogenaamde SAFU fonds. Dit fonds bestaat uit 10% van alle commissies en is bedoeld voor dit soort gebeurtenissen. Pluspuntje voor Binance. Het fijne aan Bitcoin is dat je alles natuurlijk kan traceren. Dit is dan inmiddels ook gedaan door de mensen achter het Twitteraccount The Token Analyst. Zij hebben bijna 5900 van de gestolen 7000 BTC terug gevonden op een paar adressen. Hier is echter, sinds de hack, niets meegedaan. Het is nu dus wachten op wat ermee gaat gebeuren. Een probleempje voor de hackers is wel dat het erg lastig wordt om deze BTC van de hand te doen want niemand zal staan te springen om deze besmette Bitcoins te accepteren.

In een wereld waar alles makkelijker, sneller en toegankelijker moet gaat de veiligheid vaak nog gebukt onder de wens van de consument. Een mogelijke consequentie hiervan heeft u zojuist gelezen. Wilt u een keer met ons sparren over de beveiliging van uw gevoelige data? Neem dan contact met ons op.

Pardon? U mag hier helemaal niet komen!

Kent u dat gevoel? Dat gevoel dat u krijgt wanneer u per ongeluk een persoonlijk bericht naar de verkeerde ontvanger heeft verstuurd? Dat gevoel kennen de meesten van ons wel. Stel u nu eens voor dat u, in een moment van onoplettendheid, een lijst met persoonsgegevens van mensen die een gebiedsverbod hebben naar de verkeerde ontvanger stuurt. Geen fijn gevoel. Maar het overkwam een medewerker van de Gemeente Assen eerder deze week.

Laksheid en het ‘maandagochtend syndroom’

Op maandag 29 maart j.l. werd er door de gemeente Assen een Excel bestand met daarin de persoonsgegevens van 530 inwoners met een gebiedsverbod verstuurd naar een ‘onbekend privé e-mail adres’. Nu snappen we allemaal best dat de maandagochtend zwaar kan zijn, maar dit is wel een pijnlijke fout. Zo staan er in het Excel bestand niet enkel de persoonsgegevens van deze mensen maar ook de redenen van de gebiedsverboden. Wordt deze informatie openbaar gemaakt dan kan dit de reputatie van de betreffende inwoners van Assen schaden, aldus de gemeente. Het is belangrijk om te benadrukken dat je niet zomaar een gebiedsverbod krijgt. Deze lijst bevat dus een overzicht van mensen die zich schuldig hebben gemaakt aan overlast en geweld maar ook van stalkers en zedendelicten. De manier waarop instanties, zoals de gemeente Assen, met dit soort informatie omgaan vinden wij ontluisterend.

Volgens het artikel op nu.nl heeft de gemeente de ontvanger meermaals vriendelijk verzocht de gegevens te verwijderen. Hier kregen ze geen reactie op. Nu kunnen we niet uitsluiten dat dit de enige vorm van actie is geweest van de gemeente, maar een iets meer daadkrachtig optreden was in onze optiek op zijn plaats geweest. Tegenwoordig kan je met een e-mail adres namelijk heel veel informatie achterhalen en geeft dit je meer opties dan een paar verzoekjes per e-mail. Inmiddels heeft de gemeente Assen de AP (Autoriteit Persoonsgegevens) geïnformeerd van het voorval. De getroffenen hebben inmiddels nagenoeg allemaal een bericht ontvangen maar we verwachten dat dit nog een staartje gaat krijgen.

Verander menselijk falen in menselijk voorkomen

We vroegen Emil Pilecki, IT security specialist bij Rootsec, hoe dit voorkomen had kunnen worden. “Deze fout zien we vaker, maar dit kan makkelijk voorkomen worden. Wij raden onze klanten altijd aan om gevoelige informatie nooit als bestand mee te sturen met een e-mail. In plaats daarvan kan je het bestand beter uploaden op een beveiligd portaal. Deze link stuur je dan vervolgens naar de klant. Het wachtwoord, benodigd voor het openen van het bestand, stuur je via een ander medium (SMS bijvoorbeeld) naar de klant. Op die manier verklein je de kans dat het fout gaat enorm”. We sluiten de blog van deze week af met de volgende quote uit de brief die werd verstuurd door het college van B&W naar de gemeenteraad van Assen:

De oorzaak van dit incident ligt bij een menselijke fout, zoals vaak bij datalekken het geval is. Om dit soort fouten in de toekomst te minimaliseren blijven we inzetten op bewustwording

Mocht iemand van de gemeenteraad van Assen dit lezen: klik hier

 

Is dit uw wachtwoord?

123456, 1234567, wachtwoord, qwerty en 111111. Heeft u zojuist uw eigen wachtwoord gezien? Gefeliciteerd, u heeft gewonnen. En met gewonnen bedoelen we hier eigenlijk gewoon verloren. Want uw wachtwoord valt onder de meest populaire wachtwoorden ter wereld. En nu mag u een keer raden hoe gemakkelijk het is voor iemand met kwade zin om bij u in te breken. Precies, dit kost absoluut geen moeite en alleen omdat u geen origineler wachtwoord kon bedenken liggen nu al uw geheimen op straat. Als u zichzelf hierin herkent, weet u wat u te doen staat!

Waarom doen we dit?

In de vorige Rootsec blogs hebben we het meermaals over menselijk falen gehad. Dit valt daar ook absoluut onder. Alsof het nog niet genoeg was dat een groot percentage van ons op malafide links klikt in phishing emails, weigeren we ook nog eens om onze wachtwoorden een beetje uitdagend te maken. Dit heeft volgens ons voornamelijk te maken met gemakzucht in combinatie met het feit dat tegenwoordig iedereen een hele lading accounts heen, dus twintig random wachtwoorden is ook wel wat lastig om te beheren. Maar toch raden wij dit wel aan. Om dit toch wat makkelijker voor jezelf te maken zou je een password manager kunnen gebruiken. Deze slaat jouw wachtwoorden (beveiligd) op en helpt je op die manier met het inloggen op al die accounts. Maar toch lijken veel mensen nog steeds heel erg te geloven in het “ach, dat overkomt mij toch niet”. Het blijkt wel weer, de mens is hardleers.

Sport, muziek en scheldwoorden

Naast namen en cijferreeksen doen ook sportteams, bands en, jawel, scheldwoorden het erg goed. Zo heeft blink182 een zeer prominente plek in de lijst, waarschijnlijk vanwege de combinatie van cijfers en letters. Op het gebied van sport zien we voornamelijk voetbalteams voorbij komen. Zo staan onder andere Liverpool en Chelsea erg hoog in Engeland. Dit fenomeen zien we ook terug in Amerika, maar dan met American Football. Hier spannen de Cowboys (Dallas, Texas)  de troon. Een paar opvallende en minder verklaarbare wachtwoorden in de lijst zijn toch wel “mynoob” “google” “monkey” en “dragon”. Een tip voor het maken van een sterk en moeilijk te kraken wachtwoord is het combineren van herinneringen. Ben je bijvoorbeeld ooit in Zuid-Frankrijk in de zee door een kwal gebeten? Dan is fransezeekwal1 een goed wachtwoord. Dit zul je niet snel vergeten vanwege de (pijnlijke) ervaring en niemand zal dit wachtwoord snel kraken.

Een hacker met een overvloed aan tijd, skills en tools zal middels een bruteforce aanval altijd wel een systeem binnen kunnen komen. Maar hoe langer zo’n aanval in beslag neemt, des te groter de kans dat deze op tijd gestopt kan worden. Maak het ze daarom niet te makkelijk en verander je wachtwoord.

 

Waarom het aantal aanvallen in de toekomst alleen maar zal toenemen

Nu de paashaas zijn jaarlijkse moment of fame weer heeft gehad, is het tijd voor een nieuwe blog. Deze week kijken we naar een aantal belangrijke aspecten welke ervoor zorgen dat digitale aanvallen, en de groei daarvan, nagenoeg onvermijdelijk zijn. Nu zijn er hiervoor erg veel redenen aan te dragen maar we zullen ons in deze blog limiteren tot de voornaamste oorzaken.

Nieuwe ontwikkelingen en cyberdreigingen gaan hand-in-hand

Zowel bedrijven als particulieren zijn constant op zoek naar manieren om hun dagelijkse leven gemakkelijker te maken. An sich logisch, maar het brengt risico’s met zich mee. Juist omdat wij, de consument, alles zo snel mogelijk willen wordt er minder stil gestaan bij mogelijke risico’s. En dit zorgt er dan weer voor dat het voor hackers makkelijker wordt om nieuwe technologieën te misbruiken. Kijk bijvoorbeeld naar de opkomst van het nieuwe 5G netwerk. Ericsson voorspelt dat in 2024 maar liefst 40% van de wereldbevolking gebruik zal maken van het 5G netwerk. Hartstikke fijn want het netwerk maakt ons leven weer een stukje gemakkelijker, maar wat weten we eigenlijk van de mogelijke complicaties? Het 5G netwerk wordt door de “kenner” ook vaak meteen gelinked aan het “Internet of Things”. Met andere woorden, tegenwoordig staan al onze apparaten in verbinding met het internet en kunnen we met één druk op de knop de koelkast laten dansen en onze tandenborstel het weer van morgen luid laten voorlezen. Maar wat nou als we straks al deze apparaten aansluiten op het 5G netwerk. Een nieuw netwerk dat ongetwijfeld zijn zwaktes gaat kennen. En dan zijn je koelkast en tandenborstel het minste van je zorgen. Vergeet ook niet namelijk dat steeds meer auto’s zelfrijdend worden. Iets om over na te denken.

Zelf nadenken blijft moeilijk

We hebben er in de Rootsec blogs al vaak genoeg bij stilgestaan maar toch krijgen wij, de mens, wederom een vermelding. Het blijft gewoon een feit dat menselijk falen nog steeds een van de belangrijkste veroorzakers is van het succes van cyberaanvallen. We kennen de verhalen inmiddels van werknemers die zonder na te denken op een malafide link klikken en vervolgens wordt het hele interne netwerk gegijzeld. De reden dat we het in deze blog toch weer noemen is vanwege het welbekende gezegde ‘de mens is hardleers’. De vraag blijft dan ook in hoeverre we het menselijk handelen, en de daarbij behorende fouten, kunnen reguleren of limiteren. Veel begint toch echt bij de persoon zelf.

De overheid zet subsidie opzij voor hackers

Nu is het natuurlijk niet zo dat je als hacker daadwerkelijk subsidie gaat krijgen, maar de overheid houdt zich wel steeds nadrukkelijker bezig met het opleiden van hackers. Dit heeft natuurlijk alles te maken met het verhoogde risico van een digitale aanval vanuit andere landen. In onze rapportages benadrukken we altijd dat een hacker met een ongelimiteerd budget, middelen en tijd altijd het systeem zal kunnen doordringen. Stel je nu eens voor dat deze hacker alles tot zijn of haar beschikking heeft met als enige doel een land volledig plat te leggen. Deze persoon zal daar uiteindelijk in slagen ( Amerikaanse verkiezingen anyone?). Waar je kan stellen dat de overheidsbemoeienis voornamelijk preventief dient te werken, neemt dit niet weg dat deze ontwikkeling ook bijdraagt aan de totale groei van aanvallen. Daarnaast, omdat de overheid wel wat geld te betsteden heeft, gaat ook het niveau van de aanvallen omhoog. En om nou te geloven dat al deze kennis netjes intern bij de overheid in een digitaal kluisje blijft…

Wilt u voor zover mogelijk de risico’s binnen uw organisatie beperken? Neem dan eens contact op voor, bijvoorbeeld, een awareness training.

 

Hoe menselijk falen tot een beschamend datalek leidde

Deze week kwam een bericht naar buiten via RTV-Utrecht dat er een groot datalek gevonden was bij ‘Samen Veilig Midden-Nederland’. Het gevolg? Dossiers van duizenden kinderen zijn openbaar geworden. Uiteindelijk zijn het twee klokkenluiders geweest die de benodigde documenten aangeleverd hebben om zo te waarschuwen voor onzorgvuldigheid in de zorgsector. Dit is extra gevoelig omdat er in de zorgsector natuurlijk veel gevoelige informatie van patiënten wordt gedeeld. In deze blog kijken we naar de oorzaak maar staan we ook stil bij hoe ‘Samen Veilig Midden-Nederland’ dit had kunnen voorkomen.

Menselijk falen de voornaamste reden voor datalek

In 2015 veranderde Bureau Jeugdzorg, de organisatie die jeugdzorg regelt in de provincie Utrecht, van naam. De oude website ging in 2018 offline en de nieuwe website voor ‘Samen Veilig Midden-Nederland’ werd gelanceerd. Een heugelijk feit, normaal gesproken. De oude website werd echter niet op de juiste veilige manier afgesloten en dit is waar de organisatie de fout in ging. De organisatie verlengde de domeinnaam van de website niet terwijl dit jaarlijks slechts 10 euro kost. Niet dat dit de oorzaak zal zijn geweest, maar normaal wordt dit automatisch jaarlijks verlengd. Iemand heeft dus expliciet de betaling voor de domeinnaam stop gezet. Het gevolg? De website kwam weer beschikbaar en iedereen kon de website overnemen.

Uiteindelijk, na onderzoek van RTL, is gebleken dat er in totaal 3.278 dossiers van 2.702 kinderen toegankelijk waren. Wat deze situatie nog wat serieuzer maakt is de informatie die in de dossiers te vinden is. Hier wordt onder andere gesproken over psychische stoornissen, seksueel misbruik en suïcide. Op de korte termij heeft dit gevolgen voor de getroffen patiënten , maar op de lange termijn kan dit ook gevolgen hebben voor het vertrouwen van het publiek in een organisatie als Bureau Jeugdzorg. Naast de patiëntdossiers zijn er ook interne e-mails en voicemailberichten gelekt. Ook hier worden details besproken over, onder andere, de probleemsituaties bij gezinnen.

Ruim je rotzooi op

We spraken Emil Pilecki van Rootsec over de juiste werkwijze in dit geval. Ten eerste benadrukt Emil meteen het belang van het verlengen van je domeinnaam. Het moment dat deze vrij op de markt komt geef je kwaadwillende eigenlijk al een voorsprong. Daarnaast had Bureau Jeugdzorg voor een complete ‘wipe’ moeten gaan van het systeem en de server. Met andere woorden, eerst je rotzooi opruimen voordat je met iets nieuws begint. Dus verwijder alle data, zeg je hosting op en schakel uiteindelijk de complete server uit. Dan staat er wellicht nog wel data op de server, maar niemand komt hier meer bij.

Heeft u zelf soortgelijke problemen gehad? Of wilt u eens sparren over mogelijke complicaties binnen uw systeem? Laat het ons dan vooral weten.

Creatief met fraude

Nu willen we het hier niet elke week over phishing hebben, maar toch gaat deze week daar de aandacht wederom naar uit. Dit heeft alles te maken met een bericht dat de NOS vorige week plaatste. De schade bij banken als gevolg van phishing is het afgelopen jaar namelijk verviervoudigd. De branchevereniging voor het betalingsverkeer, Betaalvereniging Nederland, rekende uit dat de schade door fraude bij internetbankieren van een miljoen euro in 2017 naar bijna vier miljoen euro steeg in 2018.

Ook hackers moeten een stukje creativiteit tonen

Waar je bij hacken waarschijnlijk niet meteen aan een hoge mate van creativiteit denkt, is dat wel degelijk nodig. Als je als aanvallende partij een standaard phishing mailtje de door uit stuurt in de hoop dat mensen daar op gaan klikken, ga je weinig bereiken. De eerder benoemde stijging heeft dan ook alles te maken met de creativiteit van de hackers. Zo zijn phishing mailtjes ook steeds vaker gepersonaliseerd. Deze data is verkregen bij voorgaande datalekken en wekt natuurlijk het nodig vertrouwen bij de ontvangende partij. Het moment dat er “Beste Henk” staat in plaats van “Beste ontvanger” zijn de Henks van deze wereld toch sneller geneigd om de e-mail te openen. Vervolgens worden, door gebruik van een malafide link, de inloggegevens voor internetbankieren afhandig gemaakt en heeft Henk vervolgens een lege rekening.

Het probleem voor, in dit geval Henk, maar voor iedereen is het feit dat fraudeurs tegenwoordig weinig kennis meer nodig hebben om een grootschalige phishing aanval uit te voeren. Hier hebben we in een eerdere blog ook al bij stilgestaan. Tegenwoordig koop je op de digitale zwarkte markt een kant-en-klaar softwarepakket en kun je meteen aan de slag. Deze handel begint overigens ook steeds levendiger te worden, slecht teken.

Laten we het crosschannel frauderen noemen

Omdat phishing per e-mail veel aandacht krijgt in de media, deze blog als bewijs, gaan veel hackers een stapje verder. Zo gebruiken ze steeds vaker WhatsApp, sms of sociale media als Facebook en Instagram om hun doelwitten te benaderen. Op het moment dat Henk zowel een e-mail als een sms krijgt dan komt dat toch wel erg vertrouwd over. Wij benadrukken bij Rootsec derhalve altijd dat phishing zich niet limiteert tot enkel e-mail, maar tegenwoordig op elke vorm van media voorkomt. Daarnaast worden ook de valse inlogsites van banken steeds beter nagemaakt waardoor het verschil nog maar nauwelijks zichtbaar is.

Ondanks dat we hopen dat de volgende tips inmiddels standaard kennis zijn, toch nog even een korte cursus:

  1.  Let goed op het adres van de afzender, dit verschilt altijd van het echte adres van de bank.
  2.  Henk hoeft NOOIT zijn pincode in te voeren (online)
  3.  Banken vragen Henk nooit om op een link te klikken in een e-mail of sms.

Heb je nog vragen na aanleiding van deze blog? Of zou je het leuk vinden als een security expert van Rootsec langskomt om het hele bedrijf weer op scherp te zetten middels een awareness training? Neem dan vrijblijvend contact met ons op.

 

Het prijskaartje van een hackaanval

Uit recent onderzoek van Deloitte is gebleken dat de grote spelers op de markt (enterprises) jaarlijks zo’n 9 miljoen dollar uitgeven aan cyber security. Het zal geen verrassing zijn dat dit in de afgelopen jaren exorbitant is gestegen en dit zal voorlopig ook echt niet stoppen. Er is namelijk een directe correlatie tussen nieuwe software / apps en het moeten verhogen van het cyber security budget. Want zoals u allen ongetwijfeld weet, nieuwe applicaties brengen de nodige risico’s met zich mee. Dus op die manier is het een vicieuze cirkel. U investeert in nieuwe applicaties om processen sneller en efficienter te laten draaien en op die manier winstgevender te zijn. Tegelijkertijd gaat een deel van die ‘winst’ linea recta naar de cyber security. Maar wat zijn nou eigenlijk de kosten voor de hacker?

Met een paar tientjes schade aanrichten voor tienduizenden Euro’s.

Indien u wel eens een bezoekje hebt gebracht aan het darkweb dan zult u weten dat alles een prijs heeft. Zo kan je er ook terecht voor zeer toegankelijke hacking software. Zo kost een phishing pakketje je een paar tientjes en wanneer je nog 5 euro extra te besteden hebt koop je ook een stap-voor-stap tutorial. Wel zo handig natuurlijk. Maar dit brengt de kosten voor de hacker dus op een euro of 50. Nog best te overzien toch? Dit staat in zeer schril contrast met de kosten voor het bedrijf op het moment dat een werknemer op het phishing mailtje klikt. Afhankelijk van wat de hacker weet te stelen zal het bedrijf niet genoeg hebben aan 50 euro. Voor de eerder benoemende grote jongens lopen deze kosten in de tientallen miljoenen- zo niet miljarden. Nu zul je met een simpel phishing mailtje daar niet heel ver komen, maar het contrast moge duidelijk zijn.

Hacken is de meest toegankelijke vorm van criminaliteit van de afgelopen jaren. Je kan het thuis uitvoeren, je kan jezelf redelijk goed beveiligen en je kan overal tutorials voor vinden. Hiervoor hoef je overigens tegenwoordig ook niet meer op het darkweb voor te zijn. Een gemiddelde YouTube zoekopdracht levert ook de benodigde informatie op. En daarnaast is de beloning vaak ook veel hoger dan een traditionele overval. Hiermee proberen we overigens geen van beide op welke manier dan ook goed te praten. Simply stating facts.

Hacken kost vooral veel kennis en tijd

Bij Rootsec verwachten we niet dat dit verschil snel zal slinken. Hacken is iets wat iedereen in theorie kan leren en potentieel schade mee kan aanrichten. Volgens Emil Pilecki van Rootsec is er echter wel een verschil te benoemen in de gradaties van hacken. “Een aanval op een grote organisatie waar veel te halen valt vergt echt wel meer dan een paar tientjes. De aanvaller zal onder andere moeten betalen voor hosting, proxies, VPN’s en e-mail verspreiding. Daarbij komt ook nog veel kennis en tijd kijken”. Kortom, hacken is niet makkelijk maar het instapniveau ligt erg laag.

Toch zouden wij iedereen die hacken leuk vindt willen adviseren om te kijken naar een functie als ethical hacker. Op die manier help je bedrijven juist hun systemen te beveiligen tegen de slechterik. En geloof ons wanneer wij zeggen dat ook hier veel spanning en genoegdoening te behalen valt.

 

 

 

 

Ransomware benadrukt belang van monitoring

Begin december van het voorgaande jaar kwam naar buiten dat SamSam, een vorm van ransomware, tientallen Nederlandse bedrijven had getroffen. In tegenstelling tot eerdere vergelijkbare ransomware slaan de hackers achter deze aanval niet meteen toe. Ze voeren eerst een grondig onderzoek uit naar hun slachtoffers, pas dan vergrendelen ze de bestanden en eisen ze losgeld.

Ook een aanval met ransomware kan voorkomen worden

Ondanks dat ransomware steeds geraffineerder wordt en aanvallers steeds slimmer, zijn er zeker wel methodes welke gebruikt kunnen worden om een dusdanige aanval te voorkomen. Waar er natuurlijk sprake moet zijn van een goed functionerende firewall en bijbehorend management, is er een dienst die nog beter werkt tegen ransomware. Dit is namelijk Endpoint Protection.

Elk bedrijf heeft te maken met veel endpoints. Dit zorgt tegelijkertijd ook voor een diversiteit aan risico’s, waaronder dus ransomware. Het is daarom van essentieel belang dat alle endpoints voldoende beveiligd zijn. Door de dienstverlening van Rootsec te combineren met de uitstekende endpoint protection software van Cynet hebben we de perfecte formule voor veilige endpoints. Op die manier detecteren we het meteen als er sprake is van een ransomware aanval.

Geef ransomware geen kans

Het moment dat de ransomware een weg uw systeem in heeft gevonden, wordt het een stuk lastiger om deze te verwijderen. Het is daarom belangrijk om voordat het zover is al in te grijpen. Door Endpoint Protection te combineren met een monitoring service (MSSP) kan een mogelijke aanval meteen afgeslagen worden.

Bij Rootsec merken we dat er nog veel bedrijven en individuen zijn die een Firewall voldoende achten. En ondanks dat het een goede eerste stap is, heeft elke Firewall zijn zwaktes. Wij adviseren daarom altijd een combinatie van diensten om een zo hoog mogelijk veiligheidspercentage te kunnen garanderen. Meer weten? Neem eens een kijkje op onze diensten pagina, of neem contact op.

Jonge cybercriminelen de security specialisten van de toekomst?

Volgens cijfers van het OM worden elk jaar zo’n 70 jonge cybercriminelen opgepakt. Deze jongeren maken zich vaak schuldig aan het doordringen van een systeem, puur voor de kick, of het bemachtigen van inloggegevens van bijvoorbeeld docenten. Waar dit relatief onschuldig is, is het wel degelijk strafbaar.

Hack_Right als alternatief voor straftraject

Omdat het hier nagenoeg uitsluitend om jonge delinquenten gaat is een harde straf vaak niet mogelijk noch de meest effectieve oplossingen. Deze jongeren hebben vaak, zonder veel hulp van buitenaf, een systeem gekraakt. En dat vergt kennis en vaardigheid. Daarom is Hack_Right ontwikkeld. Een traject voor jongeren als aanvulling op – of alternatief voor een strafrechtelijk traject.

Deelnemen aan dit traject is enkel mogelijk voor de zogenaamde ‘first offenders’. Het moet dus om hun eerste cyberdelict gaan. Daarnaast moeten ze ook schuld bekennen, geen ernstige vormen van cybercrime hebben gepleegd en moeten ze bereid zijn zich op een positieve manier te willen doorontwikkelen.  Vervolgens beginnen ze aan het traject dat vier modules kent. Herstel, training, alternatief en coaching. Deze modules zijn allemaal gebouwd met als doel het gedrag van de jongeren te veranderen.

Niet goed te praten, maar het geeft wel inzichten

Volgens Emil Pilecki, security specialist bij Rootsec, is het hack-gedrag van de jongeren niet goed te praten. Maar, vervolgt hij, zegt dit ook wel wat over de kwaliteit van IT-security bij de getroffen instanties (vaak scholen). Als een 15-jarige jouw  systeem kan hacken dan is er iets goed mis. Het geeft ons dus wel degelijk inzicht in een mogelijk groter probleem, een zwakke beveiliging bij een instantie waar veel NAW gegevens staan opgeslagen.

Rootsec heeft het derhalve in overweging genomen om zich aan te melden als bedrijf dat meewerkt aan het Hack_Right traject. Het is belangrijk om de jongeren te informeren over hoe ze hun vaardigheden op een goede manier kunnen gebruiken. Of zoals we dat bij Rootsec noemen, ethisch verantwoord hacken.

Geef hackers geen kans

Laat uw systemen beveiligen door Rootsec

Neem Contact Op