Nieuws
Universiteit Noord-Holland meldt datalek met gegevens van 6.700 leerlingen
Illustratie bij dit bericht.
Universiteit Noord-Holland heeft een datalek gemeld waarbij gegevens van ongeveer 6.700 leerlingen toegankelijk zijn geweest voor onbevoegden.
De melding is gedaan bij de toezichthouder. Er loopt een intern onderzoek naar de oorzaak.
Gevolgen voor gebruikers
Het gaat om naam, adres en contactgegevens. Volgens de organisatie zijn er geen aanwijzingen dat de gegevens verder zijn verspreid.
Het lek ontstond doordat een systeem verkeerd was ingesteld. Betrokkenen zijn per brief geinformeerd.
20 reacties
'Geen aanwijzingen dat de gegevens verder zijn verspreid' betekent meestal: we weten het niet.
Betrokkenen per brief informeren is netjes, dat zie je te weinig.
Dat valt in de praktijk tegen. Formeel klopt het, praktisch schiet je er weinig mee op.
Dank, dat verklaart wel het een en ander. Formeel klopt het, praktisch schiet je er weinig mee op.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit.
Ik zou toch echt eerst willen weten of er data is weggesluisd voordat ik zeg dat het meevalt.
Ik snap nooit waarom dit soort beheerinterfaces standaard aan het internet hangt. Dat is toch vragen om problemen?
Dat is te kort door de bocht. Bij ons werkte dat namelijk alleen als je ook de bijbehorende dienst herstart.
Wat mij vooral opvalt: geen woord over hoe lang de aanvallers binnen zaten. Dat zegt meestal genoeg.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Er is een verschil tussen 'geen bewijs van misbruik' en 'geen misbruik'. Dat wordt structureel door elkaar gehaald.
90 dagen bewaartermijn voor logs is echt het minimum. Bij een gemiddelde inbraak zit je daar zo overheen.
@hierboven: de leverancier noemt een configuratie-optie als tijdelijke mitigatie, maar dat kost je wel functionaliteit.
Het echte risico zit in de koppelingen. Systeem A is misschien veilig, maar de API-token in systeem B niet.
Grappig hoe zo'n woordvoerder altijd spreekt van 'een beperkt aantal klanten'. Dat blijkt achteraf structureel anders.
Dat valt in de praktijk tegen. Dat is precies wat de leverancier vorig jaar ook beloofde, en kijk waar we nu staan.
Ik ben benieuwd hoeveel systemen er over een half jaar nog ongepatcht zijn. Meestal is dat percentage schrikbarend hoog.
Voor wie het zoekt: de release notes staan onder het versienummer van vorige week, niet onder de securitypagina. Slordig.
Ik hou mijn hart vast voor al die kleine bedrijven zonder ict-afdeling. Die lezen dit soort berichten nooit.
Bij ons stond dit systeem gelukkig achter een VPN met MFA. Toch maar even de logs nagelopen op verdachte sessies.
Reageren kan na registratie.
Inloggen
Meer nieuws