Gesteggel was er in de nacht van maandag 13 op dinsdag 14 oktober over een vermeende hack van accounts van online opslagdienst Dropbox. Het Nationaal Cyber Security Centrum (NCSC) kreeg intussen van beveiligingsbedrijf Hold Security ongeveer 1,3 miljoen e-mailadressen en 5600 mogelijk kwetsbare websites eindigend op .nl in handen. Tegelijkertijd blijkt uit zeer recent onderzoek van Telindus en Cisco onder 115 Nederlandse IT-beslissers dat 12% van hen helemaal geen securitystrategie heeft.
Dropbox
ZDNet en The Next Web kwamen met het bericht dat een anonieme groep beweert een kleine 7 miljoen Dropbox accounts te hebben gehackt. Als bewijs zette de groep honderden e-mailadressen en wachtwoorden online via de Amerikaanse sociale mediawebsite Reddit, met de belofte meer adressen openbaar te maken “als er genoeg Bitcoins binnen komen.”
Dropbox stelde in een reactie vrijwel meteen dat zij zelf niet gehackt zijn, en wijst naar inbraken bij derde partijen. Volgens de opslagdienst was de hack al langer bekend en zijn de wachtwoorden inmiddels buiten werking gesteld. De getroffenen zijn inmiddels op de hoogte. Of het alleen particuliere accounts zijn of ook zakelijke ‘pro’ accounts, is niet bekend.
Dropbox adviseert zijn klanten intussen met klem om niet steeds de zelfde gebruikersnamen en wachtwoorden voor verschillende webdiensten te hanteren, en om gebruik te maken van de two factor-optie bij het instellen van wachtwoorden.
NCSC en .nl-domeinnamen
Het Nationaal Cyber Security Centrum (NCSC) heeft intussen van beveiligingsbedrijf Hold Security rond de 1,3 miljoen e-mailadressen en 5600 mogelijk kwetsbare websites eindigend op .nl in handen gekregen. Ze zijn afkomstig van de eerder dit jaar gelekte 1,2 miljard inloggegevens van 420.000 kwetsbare websites wereldwijd. Het NCSC heeft alleen specifiek voor Nederland relevante gegevens opgevraagd. Ze bevatten combinaties van inlognamen, meestal e-mailadressen en wachtwoorden. Volgens het NCSC beschikt het zelf niet over de wachtwoorden.
Het NCSC is met haar samenwerkingspartners bezig betrokken partijen zo snel mogelijk in te lichten. Het gaat zowel om bedrijven, (semi) overheidsinstellingen en onderwijsinstellingen en een aantal particulieren. Wie in het bezit is van een e-mailadres eindigend op .nl, en geen bericht van de provider heeft ontvangen, kan er volgens het NCSC vrijwel zeker van uitgaan dat er niets aan de hand is.
Onderzoek van Telindus en Cisco
12 procent van de IT-beslissers heeft geen securitystrategie. Dit blijkt uit zeer recent gepubliceerd onderzoek van Telindus en Cisco onder 115 Nederlandse IT-beslissers. Daarentegen laat 33 procent van hen voor de beveiliging zoveel mogelijk systemen samenwerken en beheren door het IT-team. 36 procent van de onderzochte beslissers geeft aan dat de securitystrategie gebaseerd is op een infrastructuur met multivendor en/of best-of-breed technologieën. En 19 procent wijst op frameworks als COBIT of SABSA.
Zowel Harm de Haan, Manager Consultancy bij Telindus als Fred Noordam, Area Manager Benelux Security bij Cisco, vinden het cruciaal dat organisaties voor de beveiliging niet naar losse componenten kijken, maar naar de hele keten. Alleen zo voorkom je dat het een onoverzichtelijke brij wordt van losstaande, moeilijk te beheren en onveilige functionaliteiten. Geen securitystrategie hebben is geen optie.
Volgens Harm de Haan moet security bovendien niet pas worden ingeregeld als de volledige infrastructuur al ontworpen is. “Neem het vanaf het begin mee in het ontwerp. Security-oplossingen binnen de access-, connectivity- en datacenterlaag van de infrastructuur werken op die manier samen en zijn bovendien vanuit één centraal punt te managen.”
Fred Noordam bevestigt dit. “Wie grip wil krijgen op de beveiliging van de IT-omgeving moet kijken naar het geheel. Het onderzoek wijst gelukkig uit dat steeds meer organisaties dat ook doen. Maar daarnaast moet je security-oplossingen gebruiken die overal actief zijn waar een bedreiging zich maar kan voordoen. Alleen dan kunnen zij zowel vóór, tijdens als na een aanval effectief optreden.”
