Cyberaanvallen van ziekenhuizen door UNC1878 groep met Ryuk-ransomware

CyberaanvallenRansomware-aanvallen met het Ryuk-virus van ziekenhuizen leidt in de Verenigde Staten de laatste 24 uur tot verhitte gemoederen. Op 26 oktober liet het cybersecuritybedrijf Hold Security via haar topman Alex Holden weten dat leden een Oost-Europese, waarschijnlijk Russische, hackersgroep met de codenaam UNC1878 drieste plannen hadden. Het bedrijf onderschepte onderlinge  communicatie over plannen om ransomware bij meer dan 400 ziekenhuizen in de VS te installeren. Daarbij gebruik makend van het Ryuk-virus. Het vehikel is een phishing-email.  Over dit ramsomware-virus publiceerde ik op  6 oktober 2020, toen dit virus een ziekenhuisketen met 250 vestigingen trof. Alex Holden deelde de informatie o.a. met cybersecurity-journalist Brian Krebs op 27 oktober. Die publiceerde er op 28 oktober over.  Inmiddels verscheen een gemeenschappelijk statement van 15 pagina’s afkomstig van de FBI, het Homeland security Department en het U.S. Department of Health and Human Services. Daarin beschrijft men het mechanisme van de aanvallen. Lees meer

Problematische inzage gepseudonimiseerde microdata via CBS, ook door Chinese universiteiten

ChineseAlhier publiceerde ik enkele malen(A, B, C ) over de zeer problematische inzage van microdata van het Centraal Bureau van de Statistiek(CBS) door derden. Dat betreft hoofdzakelijk om universitaire instellingen, maar ook om bedrijven en organisaties. Op de lijst van instellingen die gebruik mogen maken van microdata staan echter ook twee universiteiten in Hong Kong. Sinds 1 juli 1997 is Hong Kong een speciale bestuurlijke regio van China en valt dus onder Chinese jurisdictie. Het is de vraag of het gewenst is dat universiteiten die vallen onder een hier ongewenste staatsvorm microdata van het CBS mogen inzien. Buitengewoon problematisch is het dat daarbij om gepseudonimiseerde data gaat. Die dienen door de uitspraak van de artikel 29 werkgroep van Europese privacy-toezichthouders in april 2014 zeker vanaf dat moment toch als (bijzondere) persoonsgegevens beschouwd te worden. Door intelligente koppelingen tussen databestanden kunnen data namelijk toch naar een persoon herleid worden. Lees meer

Horror-scenario met afpersing door gehackte psychotherapie-data in Finland

Op de website Securityweek verscheen op 25 oktober 2020 een even opmerkelijk als afschuwelijk bericht. De kop luidt: “Finland Shocked by Therapy Center Hacking, Client Blackmail”. De systemen van een grote private psychotherapie-keten in Finland, Vastaamo, met vestigingen door het hele land blijken meermalen gehackt te zijn. Het bedrijf is bovendien subcontractor binnen het  publieke volksgezondheidssysteem in Finland.  Zorgdata van patiënten zijn buitgemaakt en patiënten worden gechanteerd met die gehorror-scenariogevens. Ze krijgen mededelingen dat de hacker hun gegevens openbaart als ze geen geld betalen. De minister van binnenlandse zaken heeft daarom met spoed het kabinet bijeengeroepen. Vastaamo heeft bekend gemaakt dat de chanterende hacker via het anonieme TOR-netwerk al rond de 300 dossiers heeft geopenbaard. Bedragen van 200 euro bij eerste aanschrijving tot 500 euro bij niet direct reageren eist de hacker. Vastaamo zelf kreeg een oproep om 450.00 euro in bitcoins te betalen. Lees meer

Voorganger AP permitteerde door overheid georganiseerd datalek bij CBS

VoorgangerBij het Centraal Bureau van de Statistiek(CBS) is sprake van een serieus door de overheid geïnitieerd datalek. Ik schreef er op 28 januari 2020 over. Het gaat om de microdata-faciliteit waarbij externe partijen inzage hebben in CBS-gegevens. Daarbij kunnen die derden CBS-gegevens onder, op papier, strenge voorwaarden/controles inzien. Zeer vreemd is dan het in de CBS-stukken genoemde verbod om van de Remote Access-faciliteit schermafdrukken te maken, het scherm te fotograferen of de gegevens over te schrijven. Dat betekent de facto dat blijkbaar data op het scherm staan die op enigerlei wijze een datalek vormen. De mogelijkheid om microdata te kunnen gaan gebruiken is in de wet op het CBS(20 november 2003) vastgelegd. Over die wet bracht de RegistratieKamer(RK), de voorganger van de huidige Autoriteit Persoons-gegevens(AP) destijds advies uit. Die zag geen reden om commentaar te leveren op de in de wet voorgestelde regeling(blad 3, punt 5 in deze link). Lees meer

Voor 19990 euro en veel Europese subsidie een waardeloze sociale corona-robot

Nazaat robotGisteren viel mijn oog op een Twitter bericht over de robot ARI van het Spaande bedrijf PAL-Robotics. Bij wat doorzoeken op het internet zag ik dat een projectpartner van de robotmaker deze promootte als hulp bij het aanpakken van de corona-pandemie. De robot zou dan als receptionist kunnen werken voor ziekenhuisbezoekers die vragen hebben. Daarnaast zou de robot patiënten in isolatie in de gaten kunnen houden en “hulp” aan die mensen bieden. In 2016 en 2017 berichtte ik al eens op deze website dat een lookalike, robot Pepper, als pseudo-receptionist in een Belgisch ziekenhuis resp. een gemeentehuis ingezet werd. Zowel het als receptionist functioneren als het willen inzetten voor monitoring van de patiënt zijn kansloze initiatieven die er met de nekharen bijgesleept zijn. In feite gaat het om een beperkt mobiele, humanoïde robot met twee armen en een beeldscherm op borsthoogte. Mij intrigeerde de ontwikkelingshistorie van robot ARI. Lees meer