Gebruikersgegevens Bankingtools waren door lek voor iedereen beschikbaar (2024)

Arie Atari
31 december 2015 18:04

Mail is inderdaad netjes aangekomen:

Beste klant van BankingTools,

Ik wil u graag even op de hoogte brengen van het volgende:

In de week voor Kerst hebben friendly-hackers ingebroken op de server van MijnBankingTools. Dit is de website waar u contact kunt hebben met onze online supportdesk en waar u ook uw abonnementen beheert. De hackers hebben dit gedaan om aan te tonen dat er een beveiligingslek in ons systeem zat.

Zij hebben niet het doel gehad om privacygevoelige informatie te verspreiden en hebben aangegeven dat de verkregen informatie intussen ook is vernietigd!!

Maar dit betekent wel dat iemand anders dan uzelf en wij, mogelijk uw abonnementsinformatie heeft bekeken. Deze informatie bestond uit: naam, adres, postcode, woonplaats, emailadres, product, ordernummer, orderbedrag, startdatum abonnement, einddatum abonnement, rekeningnummer en tenaamstelling abonnee. Dit is persoonlijke informatie die natuurlijk niet bij iemand anders thuis hoort. Wij hebben hierover melding gemaakt aan de betrokken autoriteiten waaronder het College Bescherming Persoongegevens.

Direct na het voorval zijn alle relevante servers uitgezet. Stap voor stap hebben wij vervolgens delen van onze systemen weer online gebracht. Steeds pas nadat een zorgvuldige security-check is gedaan.

MijnBankingTools is nog niet online. Dit systeem wordt momenteel grondig gecontroleerd. MijnBankingTools was een ouder systeem dat – zoals nu is aangetoond – onvoldoende was beveiligd tegen de huidige mogelijkheden van aanvallen van buitenaf.

Voor de volledigheid wil ik vermelden dat uw persoonlijke financiële gegevens geen moment in gevaar zijn geweest. Deze gegevens staan namelijk op uw eigen PC. Administraties die u eventueel in de online backup heeft opgeslagen, staan op een andere server en zijn ook versleuteld. Toch hebben we uit voorzorg ook deze server even uitgezet en starten we deze binnenkort weer op. Wij raden u aan om tijdelijk lokale backups te maken.

Gedurende de periode dat MijnBankingTools niet beschikbaar is, kunt u op de volgende manieren met ons in contact komen:
• Mailt u naar mail-support@bankingtools.nl
• Belt u op werkdagen tussen 10:00 – 14:00 uur met 0900 – 8212400 (1,- per gesprek)

Onze oprechte excuses voor deze situatie. Veiligheid & Privacy staat bij ons hoog in het vaandel, maar desondanks zijn wij – gelukkig door iemand met goede bedoelingen – met onze neus hard op de feiten gedrukt. U begrijpt ons voornemen voor 2016 en de jaren daarna: Dit mag nooit meer gebeuren.

Met vriendeljke groet,
BankingTools
Bart den Hollander

Golodh
31 december 2015 18:19

Niet netjes van die onderzoeker om het lek eerst aan een nieuwssite bekend te maken (nu.nl) en niet bij het bedrijf zelf te melden. Strafbaar zelfs, vrees ik.

<quote> Onderzoek van Invers toonde aan dat de serverlogs verdwenen zijn, waardoor niet te achterhalen is sinds wanneer er onbevoegde toegang tot de server geweest is. De niet bij name genoemde ontdekker van het lek zegt nooit iets weggegooid te hebben, wat erop zou kunnen wijzen dat er meer partijen toegang hebben gehad tot de server.</quote>

In plaats van de aangever van het lek scheef aan te kijken zou ik eerder zeggen: "Wie zegt mij dat dit bedrijf niet zelf de log gewist heeft? Mogelijk komt het ze wel goed uit dat je nu niet meer kan zien wie wanneer wat gedaan heeft". Dit is natuurlijk niet het eerste waar je aan denkt, maar als je logs wist (strafbaar !) ga je dat niet in de krant zetten.

En als ik dan naar het vervolg kijk:

<quote>De onderzoeker zou ook hebben aangegeven dat er meer manieren zijn om in te breken bij systemen van Invers, iets dat door het bedrijf zelf ontkent wordt omdat er geen 'sporen zijn die aantonen dat dat waar is'. Invers heeft contact opgenomen met een beveiligingsbedrijf om de systemen door te lichten.</quote>

Dan proef ik hierin iets van "jullie kunnen niet aantonen dat er meerdere manieren waren om in te breken want er zijn geen sporen".

Als er één opstelling van een bedrijf is die mij wantrouwend maakt (met gewiste server logs) dan is het deze wel. Misschien zoek ik er teveel achter, en is het gewoon een ongelukking geformuleerd antwoord. Het is dat het bedrijf zelf aangeeft dat er nu een extern bevelingingsbedrijf wordt ingechakeld, maar anders had ik ze niet meer vertrouwd.

[Reactie gewijzigd door Golodh op 24 juli 2024 12:56]

Sergelwd
31 december 2015 19:20

Vind dit sowieso wel een schimmige site, een online huishoudboekje met privegegevens.
En daar dan als ik het goed zie een abbonement voor moeten afsluiten.

[Reactie gewijzigd door Sergelwd op 24 juli 2024 12:56]

fritek373
31 december 2015 18:03

Via Google had de onderzoeker ontdekt dat er een lek in Bankingtools zat

waarna de onderzoeker het lek meldde aan nu.nl

De onderzoeker zou ook hebben aangegeven dat er meer manieren zijn om in te breken

Lekkere "onderzoeker"... Kan hij het niet gelijk aan het bedrijf melden? Als hij credits wil kan ik het nog wel begrijpen, maar nu komt hij anoniem in het nieuws en loopt het bedrijf imagoschade op.

[Reactie gewijzigd door fritek373 op 24 juli 2024 12:56]

njitter
31 december 2015 18:01

De onderzoeker zou ook hebben aangegeven dat er meer manieren zijn om in te breken bij systemen van Invers, iets dat door het bedrijf zelf ontkent wordt omdat er geen 'sporen zijn die aantonen dat dat waar is'.

Ja dat is echt overtuigend bewijs

wberkel
1 januari 2016 09:37

Henk54
31 december 2015 18:55

jpsch
31 december 2015 19:24

locke960
31 december 2015 20:01

Onderzoek van Invers toonde aan dat de serverlogs verdwenen zijn,

Dat zegt wel wat over de staat van het beheer en het veiligheidsbewustzijn bij Invers.
Logs hoor je periodiek te inspecteren, dan merk je het ook als ze verdwenen zijn. Ook zouden er backups moeten zijn. In het beste geval worden logberichten zelfs naar een andere machine gestuurd zodat ze niet gemanipuleerd kunnen worden door een hacker.

danielik
1 januari 2016 10:40