Lawmakers in Germany push for encryption-busting trojan in lead up to election
Lawmakers in Germany push for encryption-busting trojan in lead up to election
With a federal election scheduled for September, government officials in Germany are pressing for expanded hacking powers be granted to law enforcement agencies, according to an article on ZDNet.
Changes to the criminal justice code have long been on the docket, but with the election near many are advocating a last-minute amendment granting authorities expanded powers to use co-called Staatstrojaner, or "state-trojan," to break into computers and smartphones.
While the nation's federal constitutional court has already tempered use of such procedures so they'd only be allowed in cases where lives are at stake, a leak on Wednesday of a draft of the proposed amendment revealed that the Staatstrojaner would be allowed for 27 different criminal offenses, including currency counterfeiting and money laundering, bribery, sex crimes and the distribution of child sexual abuse imagery, the report stated.
Law enforcement is demanding the changes to allow them to defeat encryption, which is increasingly used in online communications. The trojan could also open the door for searches on hacked devices.
Many, of course, are opposed to the proposed law, particularly in light of last week's WannaCry scourge, a global ransomware attack that was seeded with code stolen from the National Security Agency.
The legislation moves on to the Bundestag, Germany's lower house of parliament
Moses Afonso Ryan (MAR), a law firm based in Rhode Island, is suing its insurer over a denial of coverage after a ransomware attack locked down the 10-lawyer firm’s computer files for three months.
According to the firm’s suit, the attack cost MAR more than $700,000 in lost business. It claims that Sentinel Insurance breached its contract by refusing to pay out for what it calls a “business income interruption,” which is covered in the firm’s policy.
Botched ransom
MAR’s computers became infected with a ransomware virus in May 2015, when an attorney at the firm opened an email attachment from “an unknown source.” MAR was then quickly “locked out of its documents” and lost virtually all access to its computers.
After cybersecurity experts, hired to return the firm’s computers to operation, failed to remove the ransomware, MAR made contact with the perpetrators of the attack and agreed to pay a ransom of 13 bitcoins (worth around $7,000 at the time).
However, because MAR didn’t have an existing Bitcoin account, and the currency can only be purchased at a rate of two-a-day, the firm had to wait a week to make the payment. After doing so, MAR was given decryption tools that, by July, its computer experts realized weren’t working.
MAR then contacted the criminals again, negotiated a second ransom, accumulated the necessary bitcoins, and eventually gained access to decryption tools that recovered the majority of the firm’s information. However, it was unable to recover data stored on a temporary server that it used in the three months that its systems were down.
The company said that it paid a total of $25,000 in ransom.
Attacks on law firms
Unfortunately, attacks like these on law firms are all too common. Brian Levine, senior counsel at the Department of Justice’s Computer Crime and Intellectual Property Section, believes law firms are perceived as softer targets than other industries.
In 2016, more than 50 law firms were targeted by a spear phishing campaign conducted by a group known as Oleras. The group targeted some of the best-known US law firms, aiming to gather information that could be used for insider trading.
Similarly, a phishing campaign was targeted against Florida State Bar members last May. The emails’ subject line was “Florida Bar Association Past Due Invoice.” The scam then spread to lawyers in Nevada, California, Georgia, and Alabama.
Recognize phishing emails
Knowing how to spot phishing emails is a crucial skill in protecting yourself and your business from ransomware. A study by PhishMe found that people are 20% less likely to click on a link from a phishing email after falling for a simulation just once. With a more comprehensive lesson in preventing phishing emails, that number would surely drop even further.
If you enroll your staff on IT Governance’s Phishing Staff Awareness course, you can show them how to recognize and respond to phishing attacks, and what happens when they fall victim.
The hunt is on for the cyber-attackers who struck last week and the first clues are emerging - but they are far from conclusive.
The initial assumption was that a criminal gang was behind the attack because ransomware is typical of such groups out to make money (rather than states, which tend to engage in espionage and sabotage).
But officials say they are now not discounting the possibility of North Korean involvement, although emphasising the evidence so far is fragmentary.
The code behind the attack might have been damaging but it was not actually that complex. Nothing, for instance, on the scale of Stuxnet (developed by the US and Israel) which targeted Iran's nuclear programme and took years of development.
"Devious rather than sophisticated," was how one person described it, particularly devious in the way it used a replicating worm to spread the code from machine to machine.
There remains some mystery as to how the campaign was first launched. Experts are looking for "patient zero" - the first computer to be infected to understand the method of delivery.
From that point on, the malware spread virulently because it looked for computers to spread to within an organisation but also looked across the internet for other computers it could connect to and infect. Image copyrightGetty ImagesImage caption South Korea has monitored the attacks but could they have been launched from North Korea? There were some unusual elements to the ransomware. The amount demanded was relatively small, as were the number of Bitcoin wallets into which it was to be paid.
So far, experts at Elliptic, a British company which works with law enforcement to track down such payments, says it has not seen any money taken out of the accounts. That is the point where investigators can sometimes try to follow the money trail.
A cyber-security consultancy firm also says it knows of some people who had paid but had not yet had their data decrypted.
Some of these signs have led people to question whether the attackers were relatively amateurish and did not understand quite what they had unleashed and what the consequences would be.
Some researchers have also pointed to a possible state connection, namely North Korea.
The possibility stems from an overlap in the malware used in an early version of the ransomware (later removed) with a tool previously exclusively used by a North Korean group often known as Lazarus.
One cyber-security analyst also said that people watching the North Korean group had, in previous months, seen them tinkering with aspects of Bitcoin, which could be read as potential preparation to launch a campaign. No-one is pretending this is the smoking gun.
In the past, North Korean cyber-attacks have been more targeted than this global blast of ransomware.
Sony was hit (with both data theft and the wiping of computers) because it was releasing a film involving the North Korean leader. The Lazarus group was seen as responsible.
North Korea may also have been linked to an attack on the Swift banking network which led to a massive theft from the Bangladesh Central Bank, with some experts believing this was carried out by an offshoot from the Lazarus group. Image copyrightGCHQImage caption Staff at GCHQ are likely to be among those hunting the attackers The use of ransomware would be a departure for Pyongyang, although it is the one state which is thought to have used cyber-attacks for financial purposes.
One thing that might make this more plausible is the timing, coming just after pressure was put on the country over missile and nuclear tests (which might themselves have been the target of US cyber-attacks to sabotage their success).
It is possible North Korea looked for some way to strike back (similar to the way Iran struck back against US banks and Arabian Gulf energy companies after its nuclear programme was hit). However, it is too early to make any assessment of North Korean involvement with a high degree of confidence.
As well as the possibilities that North Korea sought disruption or to acquire money, it is also possible that another group used the North Korean code or tried to pose as them. False flag operations - posing as someone else to mislead investigators - are particularly easy to undertake online.
It may take time for any evidence to emerge. Some of this will come from researchers analysing code but some may come from secret signals intelligence collected from the United States' National Security Agency and the UK's GCHQ spying on global communications: this was reportedly used to attribute the attack on Sony to North Korea.
Whoever was behind this attack, though, will know that there are a lot of people now looking for them.
De boetes liegen er niet om: vier procent van de omzet met een maximum van twintig miljoen euro. En de raad van bestuur is hoofdelijk aansprakelijk. Met een Autoriteit Persoonsgegevens, die straks streng gaat handhaven, hebben we het hier niet over bangmakerij. Hoe zorg je ervoor dat de kans op een boete of reputatieschade tot het minimum beperkt wordt? Door de bescherming van persoonsgegevens tot prioriteit nummer één te maken. De burger/patiënt/consument staat in de GDPR namelijk centraal.
Nu is die bescherming van persoonsgegevens niet nieuw; we hebben immers de Wet bescherming persoonsgegevens (Wbp) al. Maar er zijn wel een aantal punten waarop de General Data Protection Regulation (GDPR; algemene verordening gegevensbescherming (AVG)) verder gaat dan de Wbp op het gebied van it-security. De punten die in de praktijk de meeste impact zullen hebben, lichten we hier toe.
1. Meer inzage in persoonsgegevens
Als eerste de kern van de GDPR, de rechten van de burger. De burger:
Moet zijn of haar elektronische persoonsgegevens direct in kunnen zien.
Mag zelf aangeven wie toegang krijgt tot die gegevens of aan wie ze mogen worden doorgegeven. Bijvoorbeeld een andere zorgverlener, energieleverancier et cetera.
Heeft het ‘recht om vergeten te worden’.
Wat heeft dit voor gevolgen?
De burger krijgt dus meer rechten en dat vraagt ook om nog meer bescherming van data. Om dit adequaat te regelen zul je data moeten classificeren. Welke data zijn persoonlijk en welk beveiligingsniveau hoort daarbij? Ook is het belangrijk om alle toegang te loggen. Bij een (vermoeden) van een datalek kun je achteraf terugzien wie welke gegevens heeft ingezien. Een ander belangrijk onderdeel is data-encryptie. Stel er raakt een USB-stick kwijt met daarop persoonlijke gegevens. Als de data versleuteld zijn, kan de vinder er niets mee. Er is dan nog wel sprake van een lek, maar men spreekt dan van een beveiligingsinbreuk en geen gegevensinbreuk. En dat kan het verschil maken tussen wel of geen boete.
Belangrijke acties voor uw it-security:
Dataclassificatie
Het loggen van alle toegang
Data-encryptie
2. Opvolgplicht en openbaarheid van datalekken
Wat zijn de gevolgen van de opvolgplicht?
Een (vermoeden van een) datalek moet volgens de GDPR binnen 72 uur gemeld worden. Dan moet je wel weten of er is ingebroken en waar en wat er is gelekt. Dat lukt alleen met goed georganiseerde it-infrastructuur. Wat moet je daarvoor regelen:
Identificatie: breng mogelijke risico’s, bedreigingen en kwetsbaarheden in kaart.
Preventie: verklein het aanvalsterrein en zorg voor passende beveiliging.
Detectie: zorg voor continue monitoring van het informatiebeveiligingssysteem en signaleer bedreigingen.
Respons: reageer op eventuele incidenten.
Bij elke stap in dit proces is vastlegging belangrijk. Loggen en rapporteren dus. Zo kun je achteraf bewijzen dat je er alles aan gedaan hebt om een datalek te voorkomen. Wat zijn de gevolgen van openbaarheid?
Een ander aspect van de meldplicht is dat deze openbaar wordt. Een datalek moet niet alleen bij de toezichthouder gemeld worden, maar ook bij de betrokken persoon. Er ontstaat daardoor een reële kans op reputatieschade. Om bij een datalek naar behoren te kunnen handelen zal er dus een zeker kennisniveau aanwezig moeten zijn in de organisatie. Je moeten weten welke stappen je moet ondernemen om de schade zoveel mogelijk te beperken. Is die specialistische kennis er niet of onvoldoende? Zorg dan dat je een externe back-up hebt op dat gebied.
Belangrijke acties voor uw it-security:
Zorg voor een proces van identificatie-preventie-detectie-respons.
Zorg dat je voldoende specialistische kennis in huis hebt (of haalt) om naar behoren te kunnen handelen bij een incident.
Zorg dat je kunt bewijzen dat je er alles aan gedaan hebt om het datalek te voorkomen.
3. Privacy by design
Wat zijn de gevolgen van privacy by design?
Privacy by design betekent dat je al in de ontwerpfase van een informatiesysteem rekening houdt met privacy. Maar ook in de verdere ontwikkeling blijft de focus op privacy. Welke data kun je koppelen aan een persoon, welke niet? Hoe lang ga je data bewaren, kun je data verwijderen (recht om vergeten te worden)? Betrek alle afdelingen bij dit proces. Om de privacy goed in kaart te brengen moet je namelijk precies weten waar in de organisatie welke gegevens verwerkt of bewaard worden.
Belangrijke acties voor uw it-security:
Betrek alle afdelingen.
Ga na welke data je wel/niet kunt koppelen aan een persoon.
Kijk ook naar dataopslag en -vernietiging.
Tot slot
Aan de ene kant moet je als organisatie dus zorgen voor openheid richting de burger. Aan de andere kant moet je persoonsgegevens optimaal beschermen tegen onbevoegden. Dit vraagt niet alleen om optimale it-security, maar ook om bewustwording in alle lagen van de organisatie. Niet in de laatste plaats bij de raad van bestuur. Op strategisch niveau zal namelijk de risicoanalyse gemaakt moeten worden. Waar liggen de risico’s binnen de organisatie? Hoe groot is de kans op een datalek en wat zijn de mogelijke gevolgen?
Bedenk bij het bepalen van de securitybeleid al welke acties nodig zijn om persoonsgegevens optimaal te beschermen.
UK high street giant Debenhams has confirmed that thousands of customers of its flowers and gifting website have had their personal details breached after a third-party e-commerce vendor was hacked.
The firm confirmed in a brief statement on Friday that partner Ecomnova suffered a cyber-attack, affecting customers of the Debenhams Flowers but not the main Debenhams.com site.
It explained: “Debenhams has taken immediate steps to minimize risk to customers affected and made contact with all those customers whose data has been accessed. Our communication to affected customers includes detailing steps that we have taken and steps that those customers should take.”
Reports suggest as many as 26,000 customers were affected by the breach, which may have exposed payment details alongside names and addresses.
The breach in question is said to have occurred between February 24 and April 11. ZoneFox CEO, Jamie Graves, argued the incident highlights the importance of vetting the cybersecurity posture of third party vendors.
“The hackers allegedly gained access to site operator Ecomnova' systems using malicious software to access customers' personal and financial information. This highlights the ever-increasing importance of having 360-degree visibility over all your data flow,” he added.
“Whether the data sits in your business or your partners', this 20/20 vision around your data allows businesses to monitor for risky activities and behavior that might be putting your data at risk. Such an approach goes a long way to ensuring that a breach - whether third-party or not - is identified and dealt with as quickly as possible.”
Richard Stiennon, chief strategy officer at Blancco Technology Group, argued that thanks to technology such as transaction IDs and tokenization, retailers don’t even need to store credit card information, which would make PCI compliance even cheaper and easier. Imperva director, Ajay Uggirala, urged anyone affected to be on the look out for follow-on phishing attacks.
“You should also keep a close eye on your bank statements, watching out for anything unusual, or better still, tell your bank and request a new card”, he added
'Altijd interessant om artikels te lezen over GDPR. Enkel jammer dat er niet in staat dat dit in essentie niet echt veel verandert ten opzichte van vroegere wetgeving en dat gezond boerenverstand en slim en efficiënt omgaan met persoonsgegevens (en andere gevoelige data) nog altijd primeert.' Met deze opmerking becommentarieerde computerwetenschapper Marc Vael het zoveelste artikel op de dagelijkse lijst rond GDPR.
De kop klopt. Betrokkenen die al jaren de regelgeving volgen en toepassen, vragen zich af waarover iedereen zich eigenlijk druk maakt. Hebben we dan al die jaren op een andere planeet geleefd, op een plek waar de bescherming van persoonsgegevens geen enkel belang had? Het lijkt alsof we pas belang aan iets hechten als het 'duur' wordt.
Duur in eerste instantie omdat iedereen die de vier karakters GDPR nog maar net kan uitspreken aan het einde van het gesprek een torenhoge factuur op tafel mag leggen – wat ook nog eens aanvaard wordt. Maar vooral duur omdat er met een zware boetehamer wordt gezwaaid. Weliswaar nog niet gedefinieerd, maar 'het zal zwaar zijn', vertelde een consultant mij toen ik onwetend de vraag stelde.
Net zoals in het verkeer of bij het betalen van belastingen, komen we als goede kinderen van ons speciaal landje pas in beweging als er gedreigd wordt met sancties. Dus GDPR krijgt aandacht, want die gaat ons bij overtreding 'geld kosten'. Niet zozeer de eis dat de gegevens van een persoon (en bij uitbreiding sociale, medische, juridische en andere persoonlijke gegevens) niet zomaar op de straatstenen mag terechtkomen, houdt ons wakker, wel dat het geld zal kosten als het gebeurt.
Informatieveiligheid
Eén van de redenen waarom de openbare centra voor maatschappelijk welzijn in België sneller informatieveiligheid hebben omarmd dan hun moederorganisaties – steden en gemeenten – is net deze. De dreiging om afgesneden te worden van de kruispuntbank sociale zekerheid en het mogelijk afsnijden van bepaalde subsidiekanalen, zette hen collectief aan om te luisteren naar personen die iets hadden te vertellen over de bescherming van persoonsgegevens. Gemeenten echter die in datzelfde kader maar binnen het domein van het gebruik van het rijksregister al langer een aantal maatregelen dienden te treffen, bleven onbeweeglijk. Waarom zouden ze ook? Wat was de kans dat er iets gebeurde? Maar de ergste vraag die permanent opdook, was hoeveel kost het aan boetes als men niet voldeed? Het antwoord was niks, dus kwam er weinig schot in de zaak.
Zo bleef onder meer het aanstellen van een informatieveiligheidsconsulent jarenlang uit. De persoon die de interne verwerking van de persoonsgegevens mee bewaakte, werd op papier aangeduid; cumulfuncties voor tijdens de koffiepauzes, of extern, waarbij diezelfde figuur pakweg twintig andere entiteiten een generiek plan aanreikte.
De jarenlange pleidooien aan belangenverenigingen om informatieveiligheid door de organisatie en zijn verantwoordelijken te laten adopteren in een cel werden slechts mondjesmaat toegepast, maar staan nu wel hoog op de agenda. GDPR versterkt de integratie van specialisten in de organisatie, door de aan te wijzen 'data protection officer' - een persoon met 'expert knowledge' over privacy en databeveiliging – te verplichten kennis van de bedrijfsspecifieke dataprocessen te hebben. In het wilde weg aanduiden van een Chinese vrijwilliger is niet langer voldoende, maar evenmin de externe begeleiding die op een vrijdagmiddag vier uurtjes aan 'veiligheid' in de organisatie komt werken.
Persoonsgegevens
De verantwoordelijkheid ligt zowel bij diegene die de persoonsgegevens gaat bewaren als bij diegene die ze gaat verwerken; accentverschillen die totaal uiteenlopende situaties creëren bij wat de kern van de GDPR is. Die kern namelijk – en voor mijn part het enige belangrijkste versterkt aandachtspunt – is de manier waarop de gebruiker toestemming moet verlenen voor de verwerking van zijn of haar data, en de manier waarop deze geïnformeerd moet worden bij datalekken.
Technologieverkopers en juristen zullen aan deze verordening en haar uitvoering nog een vette kluif hebben, maar net zoals Marc sluit ik me aan bij de groep die dit dossier onder de categorie 'gezond boerenverstand' wil blijven plaatsen.
Bewustwording
Als iedereen zichzelf verplaatst in de huid van de persoon van wie ze de gegevens verwerken of bewaren - met de kernvraag 'hoe zou ik hiermee omgaan als dit mijn gegevens waren?' - dan zijn we al een heel eind. Want hoe sterk ook het technologisch Fort Knox gebouwd mag zijn, hoe groot ook de juridische expertkennis in de organisatie, de mens als verwerker van die gegevens blijft de zwakste schakel.
Daarom blijft het belangrijk om medewerkers in de organisaties die persoonsgegevens verwerken permanent bewust te houden van de mogelijke valkuilen. Met simpele instrumenten en bewustmakingscampagnes rond een goed paswoordbeleid, het niet laten rondslingeren of onnodig uitwisselen van lijsten met persoonsgegevens, et cetera, bereik je veel meer dan met de zoveelste ingewikkelde en duurbetaalde 'GieDiePieaaR'-uiteenzetting.
Maar hoe wapenen we ons dan tegen die dreiging waarbij de wereld lijkt te vergaan? Zorg vooral dat de organisatie nadenkt over informatieveiligheid. Creëer een cel met gelijkgestemden, ondersteun bij voorkeur de interne veiligheidsspecialist die de juiste kennis mag opdoen en bouw samen stapsgewijs aan een gezond beleid rond de bescherming van persoonsgegevens en aanverwante informatie. Voor de publieke sector blijven de richtsnoeren een zeer mooie en begrijpbare set en kan je met de risico- en maturiteitsmeting al flink aan de slag. Eddy Van der Stock, voorzitter bij de Vlaamse ICT organisatie (V-ICT-OR)
Encryption will face a make it or break it moment in June when the European Commission lays out new options for forcing internet companies to hand over the keys.
European Commission
D-Day for encryption may be here sooner than you think. The EU justice commissioner Věra Jourová said this week that the European Commission will propose in June new measures to enable police to access data from encrypted apps.
Jourová said there will be three or four options proposed including binding legislation and voluntary agreements with companies.
The goal is to enable police to demand access to encrypted data and get a “swift, reliable response”, according to the website euractiv.com.
The announcement follows comments from UK home secretary Amber Rudd at the weekend that law enforcement should be empowered to break encryption on demand.
Speaking on BBC One's Andrew Marr show, Rudd spoke of an era when law enforcement would “steam open envelopes, or just listen in on phones, when they wanted to find out what people were doing”, adding: “We need to make sure that our intelligence services have the ability to get into encrypted situations like WhatsApp.”
Rudd suggested that such encrypted communication apps “give terrorists a place to hide”.
However, the shadow digital economy minister, Louise Haigh MP, speaking in the House of Commons, asked whether the government wasn't breaking a promise it made during the debate on the Investigatory Powers Act last year.
Haigh said: “The Lord Howe said back in October, ‘The assertion that the Government are opposed to encryption or would legislate to undermine it is fanciful.'”
Commenting afterwards, Haigh told SC Media UK: “This represents a step change from the settlement agreed just four months ago in the Investigatory Powers Act and it raises serious questions about privacy and user security. Cyber-security is a national priority and our digital sector depends on it being guaranteed. Weakening that would be a mistake and Ministers must urgently clarify their proposals.”
From a European perspective, the objectives, at least, seem very clear.
German interior minister Thomas de Maizière and French minister of the interior Matthias Fekl see nothing special about encrypted communications, telling MEPs that forcing internet service providers to break encryption is no different than laws requiring telecom operators to facilitate wiretapping, subject to the usual safeguards.
Technology firms take this to mean weakening encryption by installing ‘backdoors', but de Maizière rejected suggestions that it would be necessary to install backdoors in the products to achieve this, claiming other solutions may be available.
Proposed changes to the EU ePrivacy law would extend the laws from telecoms services to including internet services and allow national governments to ignore some privacy rules in the interests of national security. However, the changes don't cover encryption and some countries are complaining they have no power to compel internet providers to divulge secure data.
Meanwhile, intelligence agencies and law enforcement appear to be targeting devices as a way to intercept data before it's encrypted, raising the possibility that encryption backdoors will become a moot point.
