Een ethische hacker kon voor slechts acht euro per stuk vervallen domeinnamen kopen van o.a. de politie en het OCMW en kreeg zo ongestoord toegang tot gevoelige informatie van burgers.
Voor slechts enkele euro’s kreeg ethische hacker Inti De Ceukelaire toegang tot gevoelige informatie van burgers, volgens een artikel van Gazet van Antwerpen. Via vervallen domeinnamen kon hij ongestoord e-mailadressen en persoonlijke gegevens van burgers inkijken. De ethische hacker noemt dit zelf een “probleem op ongeziene schaal”, en raadt bedrijven aan om hun domeinnaam met minstens tien jaar te verlengen en tweestapsverificatie toe te passen op werkaccounts.
Vervallen domeinnaam
De veiligheid van onze persoonlijke data wordt al langer in twijfel getrokken. Inti De Ceukelaire is een ethische hacker en voerde reeds verschillende onderzoeken uit om de veiligheid van die gegevens te testen, met vaak een teleurstellend resultaat als gevolg. Voor dit experiment kon hij voor slechts acht euro per stuk voormalige domeinnamen kopen van 44 OCMW’s, 32 politiezones, 12 CAW’s (Centrum voor Algemeen Welzijnswerk), 12 CLB’s, 4 ziekenhuizen en 3 juridische instellingen kopen.
lees ook
Een datalek in je organisatie: wat nu?
“Een domeinnaam kan je nooit helemaal in je bezit hebben”, legt De Ceukelaire uit aan Gazet van Antwerpen. “Website-eigenaars moeten die huren voor x-aantal jaar bij een domeinregistratiebedrijf. Als je hem nadien nog wil houden, moet je dat contract verlengen. Maar de laatste jaren zijn heel wat domeinnamen komen te vervallen, omdat instellingen nieuwe websites hebben opgericht. Daardoor kwamen al die domeinnamen opnieuw te koop te staan”, aldus De Ceukelaire.
Gevoelige informatie
Via die weg kon De Ceukelaire ongestoord e-mails inkijken en de voormalige identiteit van 107 maatschappelijke instellingen overnemen. Bovendien bleken die domeinen ook nog eens aan 848 professionele e-mailadressen gekoppeld te zijn, die nog ergens online circuleerde.
“Ik heb die mailadressen een week opengezet en al heel snel bleek dat mensen er nog steeds naar mailden,” zegt De Ceukelaire. Hij ontving honderden mails met betrekking tot schadegevallen, dossiers over bewindvoering of aanmaningen tot betalingen. Als dat nog niet onrustwekkend genoeg is, bleek hij ook toegang te hebben tot verschillende cloud-accounts waar nog meer persoonlijke data opgeslagen stond.
Onrustwekkend
Omwille van het briefgeheim bekeek De Ceukelaire bewust de gegevens niet, maar mensen met kwaadwillige bedoelingen zijn heel wat met deze informatie. Zo kunnen ze zich bijvoorbeeld eenvoudig voordoen als vertegenwoordiger van een bepaalde instelling en mensen bepaalde handelingen laten uitvoeren.
lees ook
Ik klikte op een phishing-link, wat nu?
De Ceukelaire spoort bedrijven aan om hun domeinnaam met minstens tien jaar te verlengen, zelfs als die niet meer in gebruik is. “De echte oplossing zit volgens mij in de verdere uitrol van tweestapsverificatie voor werkaccounts”, meent De Ceukelaire. Hiervoor heb je nog steeds een code via sms nodig om je in te loggen op een account.