Nederlandse bedrijven en belangenorganisaties werken aan een eigen alarmsysteem tegen hackers. Bedrijven die een veiligheidsrisico lopen, moeten via dat systeem sneller gewaarschuwd worden dan via het huidige waarschuwingssysteem van de overheid.
Onder meer beveiligingsbedrijf Fox-IT en Nederlandse internetproviders werken mee aan het systeem, dat voor het eind van het jaar operationeel moet zijn. "Het systeem waarmee we nu informatie delen is te ingewikkeld geworden, het is een lappendeken", zegt Frank Breedijk van vrijwilligerscollectief Dutch Institute for Vulnerability Disclosure. In dat collectief zijn ethische hackers verenigd die het internet veiliger proberen te maken.
"We hebben naar de overheid gekeken om het simpeler te maken", zegt Inge Bryan van Fox-It in het FD. "Maar we willen daar niet meer op wachten en hebben besloten zo'n systeem zelf op te zetten."
Systeem overheid
In het systeem van de overheid komen meldingen van dreigingen binnen bij het Nationaal Cyber Security Centrum (NCSC). Die deelde de meldingen tot deze maand enkel met bedrijven uit zogenoemde vitale sectoren en met het Rijk. Die bevoegdheid is deze maand uitgebreid. Bedrijven kunnen nu worden gebeld als ze gevaar lopen. Op termijn is het plan om meldingen automatisch te versturen.
Dat is onvoldoende, vinden de bedrijven die nu hun eigen systeem opzetten. Volgens de betrokken partijen duurt het te lang voordat informatie over kwetsbaarheden op de juiste plek komt. Soms komt de informatie ook helemaal niet bij bedrijven terecht die het moeten weten.
"Partijen die zich niet hebben aangesloten of niet binnen het bereik van het NCSC vallen, krijgen de informatie niet of te laat", zegt Breedijk van het vrijwilligerscollectief van ethische hackers. Hij denkt dat het juridisch geen probleem is dat het alarmsysteem meldingen over persoonlijke informatie met bedrijven deelt.
De organisaties beroepen zich op een 'gerechtvaardigd belang'. Volgens Breedijk is er haast geboden. "Het is twee voor twaalf. We moeten dit fixen met z'n allen." Het FD schrijft dat het NCSC welwillend tegenover het plan staat en in gesprek wil over de nadere invulling.
95% dreigingsinformatie gaat verloren
Het Nationaal Cyber Security Center (NCSC) dat overheden en vitale bedrijven waarschuwt voor dreigingen, deelt nog geen 5 procent van de ontvangen informatie. Dat zeggen bronnen tegen de Volkskrant. De grote boosdoener is de Wet beveiliging netwerk- en informatiesystemen (WBNI) die niet doordacht zou zijn.
Op basis van de 95 procent informatie die ‘weggegooid’ wordt, zouden vele organisaties beveiligingsmaatregelen kunnen treffen, voordat zij door cybercriminaliteit worden getroffen. Het gebeurt nu regelmatig dat bedrijven gehackt worden via een kwetsbaarheid die bij het NCSC bekend was. Het gaat dan bijvoorbeeld om lekken in de beveiliging van veelgebruikte systemen als Microsoft Exchange en Citrix. Voor het bedrijfsleven vormt de gang van zaken een reden om maar een ‘eigen’ NCSC op te zetten, zo werd dinsdag aangekondigd.
Frustratie over wet WBNI
Ook bij het NCSC is er frustratie over de in 2018 ingevoerde WBNI, die het delen van essentiële informatie aan banden legt. Soms zou men zelfs de wet overtreden om potentiële slachtoffers te kunnen waarschuwen. Dat gebeurde vorige week nog om te voorkomen dat bedrijven door ransomware getroffen zouden worden.
Er komt nu een wijziging in de wet, waardoor sommige informatie wel via het Digital Trust Center (DTC) met het niet-vitale bedrijfsleven gedeeld mag worden, maar de meeste beperkingen blijven bestaan.
De manier van werken van het tot het ministerie van Justitie en Veiligheid behorende NCSC leidt er ook toe dat zelfs de Rijksoverheid en vitale bedrijven vaak weken moeten wachten voordat zij dreigingsinformatie ontvangen, terwijl ook bij cyberdreigingen elke seconde telt. En er ontstaan problemen als de dreigingsinformatie persoonsgegevens, zoals IP-adressen of e-mailadressen, bevat.
Actief waarschuwen verboden
Het NCSC mag ook niet actief waarschuwen, bijvoorbeeld door op internet op zoek te gaan naar systemen die een bekende kwetsbaarheid hebben. Zou dat wel mogen, dan kon men de betreffende organisaties waarschuwen dat de ‘achterdeur op een kier staat’.
Dat was bijvoorbeeld het geval bij gebruikers van het platform van Kaseya, waarmee computers op afstand beheerd kunnen worden. Onderzoekers hadden daarin een lek ontdekt en dat in april gemeld bij het NCSC. Drie maanden later werden via dat lek enkele Nederlandse bedrijven gehackt, terwijl dat dus makkelijk te voorkomen was geweest.
Volgens Frank Breedijk van het Dutch Institute for Vulnerability Disclosure is het delen van informatie veel te ingewikkeld gemaakt. Het zoeken naar kwetsbaarheden wordt nu als hacken beschouwd en mag daarom niet door de overheidsorganisatie worden uitgevoerd.
Bron: bnr.nl volkskrant.nl, fd.nl, beveiligingnieuws.nl, nos.nl
Actuele aanvallen overzicht per dag 》
Tips of verdachte activiteiten gezien? Meld het hier.
Meer nieuws
Aanhouding 20 jarige te koppelen aan meer dan 100 cybercrime zaken
Met de aanhouding van een 20-jarige man uit Den Haag denkt de recherche meer dan honderd oplichtingszaken te hebben opgelost. Er is tussen 26 november 2020 en 21 september 2021 bijna 30.000 euro gestolen van rekeningen van slachtoffers via de zogenoemde Tikkie-fraude en 1 cent-methode. De verdachte wordt vrijdag 19 november voorgeleid bij de rechter-commissaris.
“De daders van phishing zijn vaak jong, hanteren steeds slimmere methoden en spelen in op de actualiteit”
De schade als gevolg van phishing en bankhelpdesk fraude neemt toe, meldde De Nederlandse Vereniging van Banken (NVB) gisteren. De daders van phishing zijn vaak jong, hanteren steeds slimmere methoden en spelen in op de actualiteit. Zo hoorde op 12 november een 22-jarige verdachte van phishing voor de Amsterdamse rechtbank een straf van drie jaar cel tegen zich eisen. Hij lichtte zijn slachtoffers op door zich voor te doen als een medewerker van WoningNet.
Voorkom hacking met een ‘Security key’ als Tweestapsverificatie
Internetcriminelen bedenken telkens wat nieuws om achter jouw persoonsgegevens te komen. Gelukkig wordt er ook vaak weer iets bedacht om jezelf te beschermen, zoals het inmiddels bekende Tweestapsverificatie. Maar met een zogeheten security key kun je jouw gegevens nóg beter beschermen. We leggen uit hoe het werkt en hoe jij zo’n fysieke beveiligingssleutel kunt gebruiken.
Onbewust kwaadwillenden toegang geven tot je privégegevens ‘Assisted selfie fraude’
Er zijn inmiddels tientallen vormen van cybercrime, zoals phishing, spoofing, catfishing, sim-swapping, doxing, sextortion, social engineering en ransomware. Consumenten geven soms onbewust kwaadwillenden toegang tot hun privégegevens. Met zogeheten ‘assisted selfie-fraude’ is dat niet anders. We leggen uit hoe dit werk en hoe je jezelf kunt beschermen.
Geldezels prooi voor de politie en de georganiseerde misdaad
De politie heeft de afgelopen maanden verspreid door heel Nederland 14 zogeheten geldezels aangehouden. Dit zijn personen, vaak kwetsbare jongeren, die hun bankrekening ter beschikking stellen aan criminelen. Tegen twaalf van hen is een dossier opgemaakt en doorgestuurd naar het Openbaar Ministerie. De officier van justitie bepaalt of ze vervolgd worden. Dat schrijft de politie op haar website.
Overzicht cyberaanvallen week 44/45-2021
Gezochte Russische cybercrimineel aangehouden op Schiphol, malafide advertenties besmetten ongepatchte IE-gebruikers met ransomware en wetsvoorstel VS verbiedt losgeld betaling ransomware van boven 100.000 dollar. Hier het overzicht van afgelopen week en het nieuws van dag tot dag.