Wat is een beveiligingslek?

Een beveiligingslek is elk incident dat leidt tot ongeoorloofde toegang tot computergegevens, applicaties, netwerken of apparaten. Dit heeft tot gevolg dat de informatie zonder toestemming toegankelijk is. Meestal is hier sprake van wanneer een indringer de beveiligingsmechanismen kan omzeilen.

Technisch gezien is er een onderscheid tussen een beveiligingslek en een datalek. Een beveiligingslek is in feite een inbraak, terwijl je van een datalek spreekt wanneer een cybercrimineel aan de haal gaat met informatie. Stel je een inbreker voor; de beveiligingsinbreuk ontstaat wanneer hij door het raam klimt, en het datalek is wanneer hij je portemonnee of laptop pakt en meeneemt.

Vertrouwelijke informatie heeft enorm veel waarde. De informatie wordt vaak verkocht op het dark web; zo kunnen bijvoorbeeld namen en creditcardnummers worden gekocht en vervolgens gebruikt voor identiteitsdiefstal of fraude. Het is niet verwonderlijk dat beveiligingslekken bedrijven enorme bedragen kunnen kosten. Gemiddeld is de rekening bijna 4 miljoen dollar voor grote bedrijven.

Het is ook belangrijk om een onderscheid te maken tussen de definitie van een beveiligingslek en de definitie van een beveiligingsincident. Bij een incident kan het gaan om een malware-infectie, een DDOS-aanval of het achterlaten van een laptop in een taxi, maar als dit niet leidt tot toegang tot het netwerk of verlies van gegevens, dan geldt dit niet als een beveiligingslek.

Voorbeelden van beveiligingslekken

Wanneer een grote organisatie een beveiligingslek heeft, komt dat altijd in het nieuws. Voorbeelden van beveiligingslekken zijn onder andere:

• Equifax - in 2017 verloor het bedrijf door een kwetsbaarheid van de websitetoepassing de persoonlijke gegevens van 145 miljoen Amerikanen. Onder andere hun namen, BSN’s en rijbewijsnummers. De aanvallen werden drie maanden lang uitgevoerd, van mei tot juli, maar het beveiligingslek werd pas in september wereldkundig gemaakt.
• Yahoo - 3 miljard gebruikersaccounts werden in 2013 gecompromitteerd nadat een phishingpoging hackers toegang gaf tot het netwerk.
• In 2014 heeft eBay te maken gehad met een groot lek. Hoewel de creditcardgegevens van PayPal-gebruikers niet in gevaar was, werden veel wachtwoorden van klanten gecompromitteerd. Het bedrijf heeft snel gehandeld door zijn gebruikers te e-mailen en ze te vragen hun wachtwoorden te wijzigen om veilig te blijven.
• De Datingsite Ashley Madison, die zichzelf vermarkte aan getrouwde mensen die een affaire wilden hebben, werd in 2015 gehackt. De hackers lekten een groot aantal klantgegevens via internet. Afpersers begonnen zich te richten op klanten van wie de namen waren uitgelekt; onbevestigde bronnen hebben een aantal zelfmoorden in verband gebracht met de blootstelling door de gegevensinbreuk.
• In 2018 zag Facebook interne softwarefouten leiden tot het verlies van de persoonlijke gegevens van 29 miljoen gebruikers. Dit was een bijzonder gênante inbreuk op de beveiliging, aangezien zich onder de gecompromitteerde accounts ook die van de CEO van het bedrijf, Mark Zuckerberg, bevond.
• In 2018 openbaarde Marriott Hotels een beveiligings- en datalek dat wel 500 miljoen klanten betrof. Hun reserveringssysteem voor gasten was echter al in 2016 gehackt en het lek werd pas twee jaar later ontdekt.
• Misschien wel het meest gênante van allemaal, ook als cybersecurity-bedrijf ben je niet immuun - Tsjechisch bedrijf Avast maakte in 2019 een beveiligingslek bekend toen een hacker de VPN-gegevens van een werknemer wist te achterhalen. Deze inbreuk vormde geen bedreiging voor de klantgegevens, maar was gericht op het installeren van malware in de producten van Avast.

Een jaar of tien geleden probeerden veel bedrijven nieuws over beveiligingslekken geheim te houden om het vertrouwen van de consument niet te schaden. Dit gebeurt echter bijna niet meer. In de EU zijn bedrijven op grond van de AVG (Algemene verordening gegevensbescherming) verplicht de bevoegde autoriteiten op de hoogte te brengen van een inbreuk evenals alle personen van wie persoonsgegevens in gevaar zouden kunnen zijn. In januari 2020 was de AVG slechts 18 maanden van kracht en toen al waren er meer dan 160.000 afzonderlijke meldingen van gegevensbreuken - meer dan 250 per dag.

Soorten beveiligingsinbreuken

Er zijn verschillende soorten beveiligingsinbreuken, afhankelijk van de manier waarop toegang tot het systeem is verkregen:

• Een exploit valt een kwetsbaarheid in het systeem aan, zoals een verouderd besturingssysteem. Oudere systemen die niet zijn bijgewerkt, bijvoorbeeld in bedrijven waar verouderde en niet meer ondersteunde versies van Microsoft Windows worden gebruikt, zijn bijzonder kwetsbaar voor exploits.
• Zwakke wachtwoorden kunnen worden gekraakt of geraden. Zelfs nu nog gebruiken sommige mensen het wachtwoord ‘wachtwoord’, en ‘w8woord’ is niet veel veiliger.
• Malware-aanvallen, zoals phishingmails, kunnen worden gebruikt om toegang te krijgen. Er is slechts één medewerker nodig om op een link in een phishingmail te klikken waardoor schadelijke software zich over het hele netwerk kan verspreiden.
• Drive-by downloads maken gebruik van virussen of malware die via een gecompromitteerde of gespoofde website worden geleverd.
• Social engineering kan ook worden gebruikt om toegang te krijgen. Zo belt een indringer een medewerker die beweert bij de IT-helpdesk van het bedrijf te werken en vraagt om het wachtwoord om de computer te ‘herstellen’.

Bovengenoemde voorbeelden van beveiligingsinbreuken bevatten een aantal verschillende technieken om toegang te krijgen tot netwerken - Yahoo kreeg te maken met een phishingaanval, terwijl Facebook werd gehackt door een exploit.

Hoewel we het hebben gehad over de invloed van beveiligingsinbreuken op grote organisaties, zijn dezelfde beveiligingsinbreuken van toepassing op computers en andere apparaten van individuen. Waarschijnlijk word je minder vaak gehackt met een exploit, maar veel computergebruikers zijn getroffen door malware, of deze nu is gedownload als onderdeel van een softwarepakket of via een phishingaanval op de computer is geïntroduceerd. Zwakke wachtwoorden en het gebruik van openbare wifi-netwerken kunnen ertoe leiden dat de internetcommunicatie in het gedrang komt.

Wat te doen als je een veiligheidsinbreuk ervaart

Als je als klant van een groot bedrijf ontdekt dat er een beveiligingsinbreuk is geweest, of als je erachter komt dat je eigen computer is gecompromitteerd, dan moet je snel handelen om je veiligheid te waarborgen. Vergeet niet dat een veiligheidsinbreuk op een account kan betekenen dat andere accounts ook risico’s lopen, vooral als ze wachtwoorden delen of als je regelmatig transacties tussen de accounts uitvoert.

• Als een inbreuk betrekking kan hebben op je financiële informatie, informeer dan alle banken en financiële instellingen waar je een rekening hebt.
• Wijzig de wachtwoorden op al je accounts. Als er veiligheidsvragen en -antwoorden of pincodes aan het account zijn gekoppeld, moet je deze ook wijzigen.
• Je zou een kredietstop kunnen overwegen. Zo wordt voorkomen dat iemand je gegevens gebruikt voor identiteitsdiefstal en lenen in jouw naam.
• Controleer je kredietrapport om er zeker van te zijn dat je weet of iemand met behulp van je gegevens schulden maakt.
• Probeer uit te zoeken welke gegevens precies gestolen zouden kunnen zijn. Dit geeft je een idee van de ernst van de situatie. Als bijvoorbeeld belastinggegevens en BSN’s zijn gestolen, moet je snel handelen om ervoor te zorgen dat je identiteit niet wordt gestolen. Dit is ernstiger dan alleen je creditcardgegevens verliezen.
• Reageer niet direct op verzoeken van een bedrijf om ze persoonlijke gegevens te verstrekken na een gegevensinbreuk; het zou een social engineering-aanval kunnen zijn. Neem de tijd om het nieuws te lezen, de website van het bedrijf te controleren, of zelfs te bellen met hun klantenservice om te controleren of de verzoeken legitiem zijn.
• Wees op je hoede voor andere soorten social engineering-aanvallen. Een crimineel die bijvoorbeeld toegang heeft gehad tot de rekeningen van een hotel, zelfs zonder financiële gegevens, zou klanten kunnen bellen met de vraag om feedback over hun recente verblijf. Aan het einde van het gesprek kan de crimineel, nadat hij een vertrouwensrelatie heeft opgebouwd, een terugbetaling van de parkeerkosten aanbieden en het kaartnummer van de klant vragen om de betaling uit te voeren. De meeste klanten zouden waarschijnlijk geen twee keer nadenken en deze gegevens verstrekken als het gesprek overtuigend is.
• Controleer je rekeningen op tekenen van een nieuwe activiteit. Als je transacties ziet die je niet herkent, kom dan onmiddellijk in actie.

Hoe je jezelf kunt beschermen tegen een beveiligingsinbreuk

Hoewel niemand immuun is voor een datalek, kunnen goede gewoontes met betrekking tot computerbeveiliging je minder kwetsbaar maken en je helpen een inbreuk met minder ontregeling te overleven. Deze tips moeten je helpen voorkomen dat hackers je persoonlijke veiligheid op je computers en andere apparaten schenden.

• Gebruik sterke wachtwoorden waarin in willekeurige volgorde hoofdletters en kleine letters, cijfers en symbolen worden gecombineerd. Ze zijn veel moeilijker te kraken dan eenvoudigere wachtwoorden. Gebruik geen wachtwoorden die gemakkelijk te raden zijn, zoals familienamen of verjaardagen. Gebruik een wachtwoordmanager om je wachtwoorden veilig te bewaren.
• Gebruik andere wachtwoorden voor verschillende accounts. Als je hetzelfde wachtwoord gebruikt, kan een hacker die toegang krijgt tot één account, toegang krijgen tot al je andere accounts. Als ze verschillende wachtwoorden hebben, loopt alleen dat ene account gevaar.
• Sluit accounts die je niet gebruikt in plaats van ze inactief in stand te houden. Dit verkleint de kans op een beveiligingsinbreuk. Als je een account niet gebruikt, zul je je misschien nooit realiseren dat het is gecompromitteerd, en het zou kunnen fungeren als een achterdeur naar je andere accounts.
• Verander je wachtwoorden regelmatig. Een kenmerk van veel openbaar gemelde beveiligingsinbreuken is dat ze zich over een lange periode hebben voorgedaan, en sommige werden pas jaren na de inbreuk gemeld. Regelmatig je wachtwoord wijzigen vermindert het risico op niet-gepubliceerde gegevensinbreuken.
• Als je een computer weggooit, wis de oude harde schijf dan op de juiste manier. Verwijder niet alleen bestanden; gebruik een programma voor gegevensvernietiging om de schijf volledig te wissen, waarbij alle gegevens op de schijf worden overschreven. Als je het besturingssysteem opnieuw installeert, wordt de schijf ook op de juiste manier gewist.
• Maak een back-up van je bestanden. Sommige gegevensinbreuken leiden tot het versleutelen van bestanden en een ransomware-eis om deze weer beschikbaar te stellen aan de gebruiker. Als je een aparte back-up op een verwisselbare schijf hebt, zijn je gegevens veilig in het geval van een breuk.
• Beveilig je telefoon. Gebruik een schermvergrendeling en werk de software van je telefoon regelmatig bij. Root of jailbreak je telefoon niet. Een geroot apparaat maakt het hackers gemakkelijk hun eigen software te installeren en de instellingen op je telefoon te wijzigen.
• Beveilig je computer en andere apparaten met behulp van antivirus- en anti-malwaresoftware.Kaspersky Antivirus is een goede keuze om je computer vrij te houden van infecties en ervoor te zorgen dat hackers geen voet aan de grond krijgen in je systeem.
• Pas goed op waar je klikt. Ongevraagde e-mails met links naar websites kunnen pogingen tot phishing zijn. Sommige e-mails beweren dat ze van je contactpersonen zijn. Als ze bijlagen of links bevatten, controleer dan of ze legitiem zijn voordat je ze opent en gebruik een antivirusprogramma voor bijlagen.
• Zorg er bij toegang tot je accounts voor dat je het beveiligde HTTPS-protocol gebruikt en niet alleen HTTP.
• Het monitoren van je bankafschriften en kredietverslagen helpt je om je veiligheid te waarborgen. Gestolen gegevens kunnen jaren na de oorspronkelijke gegevensinbreuk op het dark web blijven. Dit kan betekenen dat er een poging tot identiteitsdiefstal plaatsvindt lang nadat je de gegevensinbreuk die de betreffende account heeft gecompromitteerd, bent vergeten.
• Ken de waarde van je persoonlijke informatie en geef deze niet door, tenzij dat nodig is. Te veel websites willen te veel over je weten; waarom heeft een zakenblad bijvoorbeeld je exacte geboortedatum nodig? Of een veilingsite je BSN?

Je moet er niet aan denken om je voordeur de hele dag open te laten staan, zodat iedereen binnen kan lopen. Denk op dezelfde manier aan je computer. Houd je netwerktoegang en je persoonlijke gegevens goed beveiligd en laat geen ramen of deuren open voor een hacker om binnen te komen.

Gerelateerde links

Je online bankieren tegen diefstal beschermen

Gegevensdiefstal en gegevensverlies

Tips om jezelf te beschermen tegen cybercriminaliteit