Nieuws
Bankgroep Meridiaan meldt datalek met gegevens van 12.000 leden
Bankgroep Meridiaan heeft een datalek gemeld waarbij gegevens van ongeveer 12.000 leden toegankelijk zijn geweest voor onbevoegden.
Het lek ontstond doordat een systeem verkeerd was ingesteld. Betrokkenen zijn per brief geinformeerd.
Wat er precies gebeurde
Het gaat om naam, adres en contactgegevens. Volgens de organisatie zijn er geen aanwijzingen dat de gegevens verder zijn verspreid.
De melding is gedaan bij de toezichthouder. Er loopt een intern onderzoek naar de oorzaak.
23 reacties
'Geen aanwijzingen dat de gegevens verder zijn verspreid' betekent meestal: we weten het niet.
Betrokkenen per brief informeren is netjes, dat zie je te weinig.
Iemand een IoC-lijst gezien? De melding zelf bevat weinig concreets waar je in je SIEM iets mee kan.
Wij hebben dit vanochtend gepatcht, downtime was ongeveer tien minuten. Prima te doen als je het voorbereidt.
Enig idee of er ook een workaround is zonder te patchen? We zitten midden in een changefreeze.
Mooi voorbeeld waarom open source niet automatisch veiliger is, maar wel controleerbaarder.
Kan iemand uitleggen waarom hier authenticatie ontbreekt? Dat is toch geen ontwerpfout van gisteren.
Zolang leveranciers geen SBOM meeleveren blijft dit dweilen met de kraan open. Je weet gewoon niet wat er in dat ding zit.
Dat is te kort door de bocht. Daar zit hem nu net de crux: wie is er eigenaar van dat systeem?
Ik snap nooit waarom dit soort beheerinterfaces standaard aan het internet hangt. Dat is toch vragen om problemen?
@hierboven: de leverancier noemt een configuratie-optie als tijdelijke mitigatie, maar dat kost je wel functionaliteit.
Klassieke fout: de client controleert de rechten, de server niet. Zie je nog verrassend vaak.
Zit hier al een uur naar te kijken. De kern is een ontbrekende inputvalidatie, de rest is ruis.
Nog steeds geen verplichte meldplicht met sancties voor dit soort trage patches. Zonder pijn verandert er niets.
Dat valt in de praktijk tegen. Formeel klopt het, praktisch schiet je er weinig mee op.
Dat is te kort door de bocht. Zolang het budget bij een andere afdeling ligt, verandert er niets aan.
Tegen de tijd dat de gemiddelde organisatie dit heeft opgepakt, is er alweer een nieuwe versie met een nieuw lek.
Vraag me af of de AVG hier ook een rol speelt. Er zijn duidelijk persoonsgegevens mee gemoeid.
Ik heb de betreffende dienst maar uitgezet. Functionaliteit die je niet gebruikt is functionaliteit die je niet hoeft te patchen.
Voor de thuisgebruiker: controleer even je router. Die dingen krijgen zelden vanzelf een update.
Precies dit. Ik heb het hier net getest en kan het bevestigen.
Ik waardeer dat de onderzoekers wel netjes hebben gewacht met publiceren. Dat is niet altijd vanzelfsprekend.
Weer een update die je binnen 24 uur uitgerold moet hebben. Bij ons draait de patchcyclus op maandag, dus dat wordt handmatig ingrijpen.
Reageren kan na registratie.
Inloggen
Meer nieuws