Payment card breach at Peppermill Resort Spa Casino in Reno
An undisclosed number of individuals are being notified that an attack may have compromised credit and debit cards used between October 2014 and February 2015 at the front desk of the Reno, Nev.-based Peppermill Resort Spa Casino. How many victims? Undisclosed. What type of personal information? Cardholder names, card numbers, expiration dates, and credit card security codes. What happened? An attack may have compromised payment cards used at the Peppermill's front desk. What was the response? New policies and procedures aimed at preventing future security incidents have been implemented. Affected individuals are being notified. Details: Peppermill became aware of the incident in late April, and notification was delayed due to an ongoing law enforcement investigation. Payment cards may have been affected if used at the Peppermill front desk between Oct. 12, 2014, and Feb. 16. Quote: “This security incident relates to the unauthorized and illegal acquisition, by criminal hackers, of certain kinds of credit and debit cards used at Peppermill's front desk,” a notification letter said. Source: oag.ca.gov, “Breach Letter,” Oct. 5, 2015.
Roughly 9,300 individuals are being notified that a laptop containing personal information was stolen from a physician who formerly worked for the University of Oklahoma Department of Urology.
How many victims? About 9,300. What type of personal information? Names, diagnoses and treatment codes and dates, dates of birth or ages, brief descriptions of urological medical treatments or procedures, medical record numbers and treating physician names. What happened? A laptop containing the personal information was stolen from a physician who formerly worked for the University of Oklahoma Department of Urology. What was the response? Steps are being taken to prevent similar incidents from occurring, and employees are being given additional training on the importance of securing patient information. All affected individuals are being notified, and offered a free year of credit monitoring services. Details: The theft occurred during the overnight hours of July 16-17, and the university was made aware of the incident on or about Aug. 14. The University of Oklahoma determined on or about Sept. 18 that the former physician and his current employer had not notified university patients who may have been affected. The Department of Urology was not aware that the former physician had taken patient information when leaving. The personal information was in a database spreadsheet stored on the laptop, which was password protected, but not encrypted. The information related to pediatric urology procedures occurring between 1996 and 2009. Quote: “The physician is not certain that patient information was on the laptop, but the university wanted to notify patients of this incident and assure them that this matter is being taken seriously,” a notification said. Source: oumedicine.com, “Notice to Certain Pediatric Urology Patients,” Oct. 9, 2015.
Hacking group stole credit card data of 150K casino customers
The personal information of 150,000 customers of an as-yet-unnamed casino was compromised following an incursion by the "Fin5" hacking group.
The personal information of 150,000 customers of an as-yet-unnamed casino was compromised following an incursion by the "Fin5" hacking group, according to The Register.
Barry Vengerik and Emmanual Jean-Georges of FireEye's Mandiant team determined that the hackers, already known for their use of “RawPOS” malware to siphon data from PoS devices, had been in the casino's system for a year. They added that the network lacked basic protections, such as a firewall and logging capabilities.
Vengerik said the gang attacks using stolen credentials, thereby avoiding an initial chance at detection. With a backdoor named Tornhull and a VPN called Flipside, the perpetrators then target Active Directory to gain further credentials.
The incursion illustrates how enterprises should safeguard any egress that third-parties have to corporate networks, Vengerik said.
The casino has since updated its security posture to include two-factor authentication, application whitelisting and more logging.
29 september 2015 - Organisaties die persoonsgegevens verwerken krijgen per 1 januari 2016 met een nieuwe wet te maken, de Meldplicht Datalekken. Wordt uw organisatie getroffen door een ernstig datalek? Dan moet u dat direct (binnen twee werkdagen) melden bij het College Bescherming Persoonsgegevens. Onderneem nu actie om de gevolgen van eventuele datalekken te beperken en zo mogelijk in de toekomst te voorkomen!
Wanneer moet u datalekken melden?
In de Meldplicht Datalekken is vastgelegd dat alleen ernstige datalekken direct gemeld moeten worden. Maar wat is nu een ernstig datalek? Volgens het College Bescherming Persoonsgegevens (CBP) moet een datalek alleen gemeld worden als het lek leidt tot mogelijke nadelige gevolgen voor de geregistreerden die door het lek getroffen zijn. Dit kan per situatie verschillen. Van een datalek is niet alleen sprake als door kwaadwillenden in uw systeem is ingebroken. Ook het verlies van persoonsgegevens, onrechtmatige verwerkingen en zelfs onbevoegde kennisname van gegevens vallen onder het begrip datalek. Het CBP werkt aan specifieke richtlijnen waarmee wordt aangegeven onder welke omstandigheden u een datalek moet melden.
Datalek direct melden
Als uw organisatie wordt getroffen door een datalek en dit mogelijke nadelige gevolgen heeft voor de geregistreerden, dan moet u het lek binnen twee werkdagen melden bij het CBP. Bovendien moet u in bepaalde gevallen de geregistreerden over het datalek informeren. Dit zijn de personen waarvan de gegevens zijn gelekt. Of u de geregistreerden moet informeren, hangt af van de ernst van uw lek.
Boetes
Meldt u het lek niet binnen de gestelde termijn bij het CBP en informeert u de geregistreerden niet over het lek? Dan kunt u hiervoor een boete krijgen die kan oplopen tot maximaal € 810.000 of 10% van uw omzet.
Wat kunt u doen?
Of er nu een USB-stick kwijtraakt, een laptop wordt gestolen of uw gegevens worden gehackt, de kans dat uw organisatie wordt getroffen door een datalek neemt alsmaar toe. Om de risico’s op een lek te beperken, kunt u diverse maatregelen treffen. Hieronder vindt u een praktisch stappenplan:
Ga na welke persoonsgegevens u beheert en welke gegevens u registreert. Classificeer deze gegevens naar gevoeligheid voor de geregistreerden
Bepaal hoe deze gegevens zijn beveiligd. Kunnen de gegevens gemakkelijk gehackt worden? En heeft u alles goed beveiligd?
Stel vast of uw organisatie in staat is om datalekken te detecteren
Creëer een communicatie- en calamiteitenplan voor het geval u met een datalek te maken krijgt. Met een dergelijk plan kunt u direct de juiste acties ondernemen. Bovendien helpt dit u om eventuele nadelige gevolgen tot een minimum te beperken.
De specialisten van Mazars helpen u graag bij het opstellen van een goed beveiligingsbeleid en -plan voor uw organisatie. Ook kunnen zij de beveiliging van uw systemen doorlichten en u adviseren bij het verbeteren van uw beveiliging.
Aansprakelijkheid beperken niet voldoende
U bent altijd verantwoordelijk en aansprakelijk wanneer vanuit uw organisatie persoonsgegevens op straat komen te liggen. Dit betekent dat het niet altijd mogelijk is om uw aansprakelijkheid contractueel te beperken. Onderneem daarom de juiste stappen en richt u op het beschermen van uw gegevensverwerking. Het voldoen aan de privacy wetgeving en in het bijzonder het realiseren van de daarbij behorende passende beveiligingsmaatregelen is essentieel om de gevolgen van een datalek te beperken.
Meer weten?
Heeft u vragen over de Meldplicht Datalekken of wilt u meer weten over de impact voor uw organisatie? Neem dan contact op met Jan Matto per e-mail ( jan.matto@mazars.nl ) of per telefoon: +31 (0)88 277 13 99 / +31 (0)6 53 57 82 32. Hij helpt u graag verder.
The US government has decided not to call for new legislation to force tech companies to decode the encrypted communications of their customers - for now at least.
Police and intelligence agencies have become increasingly concerned about the use of end-to-end encrypted communications services by criminals because it is all but impossible to decode the conversations.
With more traditional methods of communication there is usually a way for the service provider to allow police - with a warrant - access to the data. But end-to-end encryption means the only place the message is unscrambled is on the smartphone itself.
"Changing forms of internet communication and the use of encryption are posing real challenges to the FBI's ability to fulfill its public safety and national security missions. This [is a] real and growing gap," said FBI director James Comey in a written statement to the Senate's Homeland Security and Governmental Affairs Committee.
Comey told the committee that terrorists are using social networks to find recruits and then switching to end-to-end encrypted networks to continue their interactions.
"They will move them off of Twitter, where with lawful process we can see the communications, and move them to an end-to-end mobile messaging app which is end-to-end encrypted. So the needle we may have found disappears on us once it becomes most dangerous... we cannot see what is being said between that ISIL recruiter and someone who would kill where they are," he warned.
Comey said the issue with encryption was a clash between the need for safety and security on the internet and public safety. "Those two values we hold dear are crashing into each other. I don't know what the answer is," he said.
The use of strong encryption is also key to banking and ecommerce and critics argue that giving law enforcement a back-door into such systems would undermine the security of everyone.
Privacy campaigners also argue that the use of encrypted communications is a vital lifeline for those living under many regimes around the world: others still argue that revelations such as those by Edward Snowden show that intelligence agencies already have far too much access to the apparently private communications of the public.
Comey said the US government will not call for new laws in this area: "The administration has decided not to seek a legislative remedy now but that it makes sense to continue the conversations we are having that are very productive," he said. According to the Washington Post that decision was made in a cabinet meeting on 1 October.
In contrast, the government in the UK has several times suggested that it wants to pass legislation so that it can gain access to such communications: precisely how it would do that is not clear.
13-10-2015 11:35 | Door Rik Sanders | Lees meer artikelen over: Browsers | Lees meer over het bedrijf: CWI | Er zijn nog geen reacties op dit artikel | Dit artikel heeft nog geen cijfer (te weinig beoordelingen) | Permalink
Een internationaal team van cryptanalysten dringt er bij de industrie op aan om de SHA-1 internetbeveiligingsstandaard eerder in te trekken, omdat de kosten van het breken aanzienlijk lager blijken te zijn dan gedacht. Deze industriële standaard wordt gebruikt voor digitale handtekeningen, die credit card transacties, online bankieren en de distributie van software beveiligen. Op dit moment zullen browsers de SHA-1 handtekeningen pas in januari 2017 als onveilig markeren, ten gunste van de veilige opvolger SHA-2.
De wetenschappers Marc Stevens van Centrum Wiskunde & Informatica (CWI) uit Amsterdam, Pierre Karpman van het Franse nationale instituut voor computerwetenschappen Inria en Thomas Peyrin van de technische universiteit NTU Singapore, stellen dat er veel eerder dan geraamd vervalste digitale handtekeningen kunnen worden gemaakt. Stevens zegt: 'We hebben net met succes de volledige binnenste laag van SHA-1 gebroken. We denken nu dat de state-of-the-art aanval op heel SHA-1, zoals beschreven in 2013, maar ongeveer honderdduizend dollar zal kosten aan het huren van grafische kaarten in de cloud.'
Freestart collision
Op 22 september leidde gezamenlijk onderzoek van Stevens, Karpman en Peyrin tot een succesvolle 'freestart collision attack' op SHA-1. Dit is een cryptografisch algoritme, ontworpen door de NSA in 1995, om veilige digitale vingerafdrukken voor berichten te kunnen berekenen. Deze vingerafdrukken worden gebruikt in de berekening van digitale handtekeningen, die het fundament vormen van internetbeveiliging, zoals bij https (ssl)-security, elektronisch bankieren, het ondertekenen van digitale documenten en software.
Botsingen - verschillende berichten met dezelfde message fingerprint - kunnen leiden tot vervalsingen van digitale handtekeningen. Een freestart collision breekt de binnenlaag van SHA-1. 'We hebben net laten zien hoe grafische kaarten zeer efficiënt kunnen worden gebruikt voor dit soort aanvallen. Nu kunnen we dit ook gebruiken om een state-of-the-art collision attack voor de complete SHA-1 meer kostenefficiënt te maken', legt Karpman uit.
Criminelen
Het onderzoeksteam wijst er op dat in 2012 beveiligingsexpert Bruce Schneier de kosten van een volledige SHA-1 aanval in 2015 schatte op ongeveer zevenhonderdduizend dollar. Dit bedrag zou dalen tot ongeveer 173.000 dollar in 2018, wat hij binnen de financiële mogelijkheden van criminelen achtte. Het team zegt nu te hebben aangetoond dat voor deze aanvallen grafische kaarten veel sneller zijn en dat volgens zijn schatting een volledige SHA-1 botsing momenteel tussen de 75.000 en 120.000 dollar kost voor het huren van een paar maanden rekentijd op Amazon EC2 cloud computers.
'Dit impliceert dat botsingen nu al binnen de middelen van criminele organisaties vallen, bijna twee jaar eerder dan werd verwacht, en een jaar voordat SHA-1 als onveilig zal worden gemarkeerd in moderne internet browsers. Daarom raden wij aan om op SHA-1 gebaseerde digitale handtekeningen al veel eerder als onveilig aan te merken dan het huidige internationale beleid voorschrijft.'
CA/Browser Forum
Het internationale onderzoeksteam heeft een dringend beroep gedaan op het CA/Browser Forum om tegen een recent voorstel te stemmen om uitgifte van SHA-1-certificaten met nog een jaar uit te breiden. De stemming hiervoor sluit op 16 oktober.
De groep beschreef hun aanbevelingen in een technisch rapport, dat online beschikbaar is.
100 procent bescherming tegen cyberaanvallen bestaat niet. Nog
afgezien van de immens hoge kosten die dat met zich mee zou brengen,
heeft het dus weinig zin daar naar te streven. Maar wat is dan wel
genoeg?
Voor Righard Zwienenberg, senior research fellow bij beveiliger
ESET, moet de basis van beveiliging in orde zijn. “Zorg voor een goede
firewall plus een goede beheerder. Dan houd je een heel groot deel van
het toevallig langs hackende verkeer wel buiten.” Want buiten houden is
van groot belang voor beveiliging. “Die firewall is nodig omdat er te
veel poorten open staan. Zijn ze eenmaal binnen dan wordt het moeilijk.
Ze kunnen wel worden opgemerkt, maar uit overwegingen van performance,
overhead en gemak worden verbindingen die van binnenuit worden opgestart
meestal wel doorgelaten.”
Wat is dan een goede firewall? “Die kan zich op zijn minst zelf
updaten met bijvoorbeeld nieuwe regels. En hij kan heel precies
functionaliteit voor grote groepen gebruikers afschermen als dat nodig
is. Een goede firewall zorgt er zo voor dat duidelijk is wie wat
gebruikt en houdt daarvan logbestanden bij die je kunt raadplegen als
dat nodig is.”
Cruciaal is volgens Zwienenberg de aanwezigheid van een goede
beheerder. “Het liefst iemand die zich niet puur aan het schoolboekje
houdt, want dat boekje kennen de hackers ook. Hij moet zich constant
bijscholen en informeren op het gebied van beveiliging. Dat betekent
eigenlijk dat hij de hele wereld af moet struinen zodat hij ziet of
gevaren elders ook voor zijn netwerk gelden. Dat betekent dat hij ook
naar conferenties moet, want die kennis is wel belangrijk. Daarbij moet
goed duidelijk zijn welke apparaten binnen het bedrijf staan, zodat hij
snel kan concluderen of een nieuwe gevaarlijke ontwikkeling ook zijn
systemen kan raken.”
Onveilige apparaten weren
Relatief duur maar ook behoorlijk doeltreffend is hier bovenop een
tool voor device control te plaatsen. Dat zorgt ervoor dat gebruikers
niets kunnen doen op het netwerk wanneer ze daar voor niet zijn
geautoriseerd. “Daarop kun je precies vastleggen welke apparaten het
netwerk op mogen, tot aan het serienummer van zo’n apparaat toe. Vreemde
apparaten komen er gewoon niet op. En die worden er wel vaak op
aangesloten door medewerkers in het kader van BYOD. Dat houd je niet
tegen, maar met device control houd je wel mogelijk onveilige apparaten
weg.”
Zwaardere, gerichte aanvallen houd je hier echter vrijwel niet mee
tegen. Dat vereist maatregelen die diep ingrijpen op de werkbaarheid
binnen een organisatie. “Bij gerichte aanvallen wordt vaak gebruik
gemaakt van contacten binnen de organisatie. En binnen is binnen. Wil je
dat voorkomen dan moet je extreme firewall-regels toepassen en compleet
gescheiden netwerken installeren. Dat is onwerkbaar voor een normaal
bedrijf. Naarmate je meer doet, wordt de werkbaarheid steeds minder. Dat
begint al met 2-factorauthenticatie”, vindt Zwienenberg.
Paul Heywood, directeur EMEA van beveiliger Dyn, ziet de invoering
van 2-factorauthenticatie juist als een belangrijke stap in bescherming
van het netwerk. “Je moet zorgen dat een hacker meer stappen moet zetten
om binnen te komen en 2FA is dan een eerste laag waar hij doorheen
moet. Vergelijk het met maar met een huis. Kijk waar de ramen zitten en
maak het de inbreker moeilijk.”
Inventariseren moet
Volgens Heywood is het van nog groter belang om allereerst een
inventarisatie te maken van alle (digitale) bezittingen. “Interne
governance is een belangrijk onderdeel van beveiliging. Daarvoor moet
duidelijk zijn welke bezittingen aanwezig zijn en wat daarvan van
kritiek belang is voor de organisatie. Heb je dat eenmaal op een rijtje,
kun je de verschillende profielen gaan bepalen en de beleidsregels erop
afstemmen. Doe dat wel zo uniform mogelijk, want alleen zo blijf je
goed georganiseerd. Daardoor houd je alles overzichtelijker en beter
dicht. Vallen er gaten, dan biedt dat kansen aan hackers.”
Hans Hoogstraaten is docent-onderzoeker aan de Haagse Hogeschool voor
Information Security Management en bij de Cyber Security Academy.
Daarvoor werkte hij onder meer bij het Nederlands Forensisch Instituut,
TNO en Fox-IT. Basismaatregelen zoals het inzetten van firewalls en
virusscanners zijn volgens hem altijd goed, alle kleine beetjes helpen
immers. Het houdt in elk geval de wat minder geavanceerde aanvallen
tegen. Maar meer is beter. “Voor de beveiliging moet je keuzes maken op
basis van wat je het dierbaarst is. Hoe dierbaarder, hoe meer
maatregelen.” Kleinere bedrijven adviseert hij in zee te gaan met
leveranciers van securitydiensten – managed service providers. “Er is
veel kennis nodig om het netwerk goed te beveiligen. Voor kleinere
bedrijven is daar moeilijk aan te komen. Experts zijn duur en schaars.
Deze bedrijven kunnen beter kiezen voor het inhuren van die kennis via
managed security providers.” Hij wijst erop dat dit in zijn algemeenheid
voor IT-beveiliging geldt. “Tenzij je een heel groot bedrijf bent, laat
je je beveiliging door derden doen.”
De meerwaarde van monitoring
Naast een firewall en een virusscanner is monitoring van groot
belang, vindt Hoogstraaten. “De focus bij beveiliging verschuift van
preventie naar detectie. Aanvallen zijn niet te voorkomen. Het is daarom
beter deze snel op te merken en te reageren. Zet dáár je geld op. Een
verhouding 50/50 tussen beveiliging en detectie is helemaal niet zo
gek.”
Daarnaast is een ander soort maatregelen nodig. “Er wordt steeds meer
gehackt met behulp van social engineering”, zegt Hoogstraaten.
“Daartegen kun je dure maatregelen nemen die tot gevolg hebben dat de
bewegingsvrijheid van de gebruiker wordt beperkt. Denk aan Blue Coat,
waarbij het verkeer van medewerkers wordt gemonitord. Dat is beperkend
voor de organisatie.”
Zaligmakend zijn monitoringtechnieken bovendien niet. “De kwaliteit
van de monitoringtools zit hem in het aantal false positives [ten
onrechte iets aanzien voor een aanval] en false negatives [de aanval
niet detecteren]. De tools geven nogal wat false positives waardoor er
weer mensen nodig zijn om uit te zoeken of de positive een echte
positive is.” De relatie tussen deze twee cijfers is meestal die van
communicerende vaten. “In het ideale geval zijn er geen false negatives,
want dan hebben de tools geen aanvallen gemist. Dit zorgt vaak weer
voor veel false positives, die dan weer met de hand geverifieerd moeten
worden. Een goede monitoringdienst kost dus veel geld!”
Hoogstraaten wijst ook op het opensourceprogramma SNORT. Dat kan
gebruikt worden als Intrusion Detection en Intrusion Prevention System.
“Dat is goedkoop, maar het moet wel getuned worden op de eigen
organisatie.” Het andere uiterste is dat je al die false positives
onderzoekt. “Dat vereist een SOC met 24/7-diensten. Maar wat je ook
kiest: het helpt altijd! Er zijn altijd aanvallen die heel makkelijk te
detecteren zijn, dus die ondervang je in elk geval.”
Monitoringtools werken – net als virusscanners – veel met de
herkenning van signatures: ‘handtekeningen’ van bekende malware of
aanvallen. Dat volstaat met de almaar groeiende toename van aanvallen
en de snelle productie van nieuwe malware niet meer. Liever ziet
Hoogstraaten daarom tools die gebruik maken van anomaliedetectie. “Deze
tools kijken naar de afwijkingen van het normale. Dat klinkt
makkelijk, maar is echt lastig, want normaal verkeer is al zo divers. Er
zijn veel SIEM-leveranciers die claimen dat hun systeem dit ook kan,
maar dat betwijfel ik. De tools moeten eerst tunen wat normaal is. Dat
is al een grote en moeilijke klus, zeker als de organisatie veel
toestaat aan haar gebruikers.” Ook moet een organisatie volgens hem
nadenken over hoeveel geld het in anomaliedetectie wil steken, want het
is nog geen proven technology. “Mijn advies is: vraag om bewijs van de
werking.” Toch geldt voor monitoringtools die met wat oudere
technologieën werken dat ook zij helpen. Het is altijd beter dan niets.
Een organisatie kan ook verder gaan dan beveiliging op netwerkniveau.
“Tools kunnen ook binnen een computer monitoren hoe bijvoorbeeld de
processen of de library’s zich gedragen. Een voordeel is dat ze heel
goed profielen kunnen maken van het normale gedrag binnen een computer
of server. Dit moet dan wel goed worden verpakt, anders herkent slimme
malware dit en schakelt het uit. Het is opnieuw een duurdere oplossing
doordat je dit voor elk softwarepakket moet uitzoeken en bepalen – en
opnieuw voor elke update.”
Blijven werken aan bewustwording
Afgezien van de technische beveiliging is bewustwording bij de
gebruikers van zeer groot belang. “Intensieve phishingmethodes vormen
een groot gevaar als gebruikers er niet op voorbereid zijn”, zegt
Hoogstraaten. “Daartegen bestaan relatief goedkope maatregelen in de
vorm van bijvoorbeeld cursussen, al kan die kennis weer snel wegzakken.
Streef dus naar een cultuurverandering. Al doe je maar een beetje, dan
helpt het toch iets. Hoe meer tijd en geld je erin steekt, hoe sterker
je verdediging wordt.”
Wantrouw alles en iedereen
Forrester introduceerde in 2010 het zero trust-model voor
beveiliging. Dat gaat er van uit dat zowel het externe als het interne
netwerk gewantrouwd dient te worden. Vooral aan interne medewerkers
werd en wordt te veel vertrouwen gegeven op het bedrijfsnetwerk.
Bij zero trust dient al het verkeer in real time gecontroleerd
te worden. Zero trust gaat uit van een gesegmenteerd netwerk waarbij
security in de architectuur is ingebouwd, dus niet achteraf eraan is
toegevoegd. Daarbij mag niets of niemand zonder meer vertrouwd worden,
ook niet de eigen medewerkers, want ook die kunnen, vaker onbewust dan
bewust, een gevaar voor de beveiliging vormen. Dat betekent dat al het
verkeer gelogd en geïnspecteerd moet worden. Toegangscontroles moeten
streng worden opgelegd en gecontroleerd en het moet zeker zijn dat de
toegang tot alle resources op een veilige manier wordt verschaft. Regels
hiervoor moeten steeds bijgesteld worden op basis van de bevindingen
van analyses van het beveiligingssysteem. En natuurlijk moet alle
waardevolle informatie versleuteld zijn.
