De Duitse hackergroep Chaos Computer Club (CCC) heeft meer dan 50 datalekken gevonden waarbij ze toegang kregen tot 6,4 miljoen persoonsgegevens. Dit meldt de club in een bericht op hun website.
50 bedrijven
De hackerclub vond datalekken bij 50 bedrijven en instanties, waaronder het Nederlandse ministerie van Volksgezondheid, Welzijn en Sport.
Daarnaast ging het om voornamelijk Duitse bedrijven waaronder BMW, Deutsche Bahn, Deutsche Post, Deutsche Telekom en Nestle. Bij deze bedrijven konden ze persoonsgegevens inzien van klanten, passagiers, patiënten en gebruikers.
Het waren voornamelijk persoonsgegevens die de club kon inzien, maar ook enkele private keys en access tokens voor clouddiensten. In handen van kwaadwillende hackers kunnen persoonsgegevens worden ingezet om mensen op te lichten, bijvoorbeeld middels phishing. Daarom is het van belang dat instanties hun databeveiliging op orde hebben.
Handelswijze CCC
De CCC vond de informatie vaak op eenvoudige manieren. Ze kregen toegang via onbeveiligde MySQL-servers, Elasticsearch-installaties, Git-repositories en Symfony-profilers. Bij de meeste bedrijven hoefden ze niet veel moeite te doen om toegang te krijgen tot de persoonlijke gegevens.
De CCC maakte direct melding bij de getroffen bedrijven en instanties. Driekwart van de instanties bedankte de hackerclub en dichtte het lek. Tien procent van de bedrijven reageerde niet maar verhielpen de problemen wel.
Tips van de hackers
De CCC doet op hun site verschillende aanbevelingen aan bedrijven en instanties over de beveiliging van hun data. Ze geven aan dat er veiliger moet worden omgegaan met de access tokens voor clouddiensten.
Ook zeggen ze dat bedrijven testsystemen niet online toegankelijk moeten maken en vooral niet met echte gebruikersgegevens moeten testen. Dan wordt de kans op datalekken zoals deze een stuk kleiner.
Daarnaast raden ze aan om back-ups, logbestanden en configuratiebestanden niet in vrijelijk toegankelijke directories van webservers op te slaan.
De groep geeft aan verder te gaan met het speuren naar datalekken.
