Nieuws
Phishingcampagne gebruikt naam van Netbeheerder Stroomdal
Illustratie bij dit bericht.
Criminelen versturen phishingmails die afkomstig lijken van Netbeheerder Stroomdal. De ontvangers worden naar een nagemaakte inlogpagina geleid.
De mails zijn opvallend goed verzorgd: geen taalfouten en een afzenderadres dat sterk lijkt op het echte domein.
Achtergrond
De nagemaakte pagina vraagt naast het wachtwoord ook om een eenmalige code, die direct wordt doorgespeeld aan de echte omgeving.
De organisatie benadrukt nooit per mail om inloggegevens te vragen en roept op verdachte berichten te melden.
23 reacties
De kwaliteit van deze mails gaat hard vooruit. Taalfouten kun je niet meer als signaal gebruiken.
Aanvullend: In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Goed punt, maar Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Dat is precies waar een brancheorganisatie iets zou moeten betekenen, maar in de praktijk hoor je ze niet.
Kan iemand uitleggen waarom hier authenticatie ontbreekt? Dat is toch geen ontwerpfout van gisteren.
De gemiddelde gebruiker merkt hier niets van, tot het misgaat. Bewustwording blijft het lastigste stuk.
Precies dit. In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Precies dit. Formeel klopt het, praktisch schiet je er weinig mee op.
Mooi dat er een patch is, maar wat doe je met apparatuur die end-of-life is? Die staat er over vijf jaar nog.
Backups. Getest. Offline. Blijft het saaiste maar beste advies dat er is.
Het is te makkelijk om de beheerder de schuld te geven. Als je geen budget en geen tijd krijgt, gebeurt het gewoon niet.
Dat is te kort door de bocht. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Ondertussen wel weer een prima reden om je logging op orde te hebben. Achteraf reconstrueren zonder logs is onbegonnen werk.
90 dagen bewaartermijn voor logs is echt het minimum. Bij een gemiddelde inbraak zit je daar zo overheen.
Aanvullend: In een kleine omgeving lukt dat prima, met duizend werkplekken wordt het een ander verhaal.
Dit is precies waarom segmentatie zo belangrijk is. Eén lek betekent dan niet meteen het hele netwerk.
Iemand een IoC-lijst gezien? De melding zelf bevat weinig concreets waar je in je SIEM iets mee kan.
Enig idee of er ook een workaround is zonder te patchen? We zitten midden in een changefreeze.
Bij ons stond dit systeem gelukkig achter een VPN met MFA. Toch maar even de logs nagelopen op verdachte sessies.
Shodan geeft nu al duizenden hits op de kwetsbare versie. Dit gaat nog wel even door.
Tegen de tijd dat de gemiddelde organisatie dit heeft opgepakt, is er alweer een nieuwe versie met een nieuw lek.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit.
Reageren kan na registratie.
Inloggen
Meer nieuws