Maandag 7 april is er een zeer ernstige fout ontdekt in de software die wordt gebruikt door 2/3 van alle beveiligde webservers in de wereld.

U weet wel. Die waar u rechts bovenin een groen slotje te zien krijgt. (HTTPS).

Omdat het gaat om een fout in het heartbeed systeem is het lek heartbleed gaan heten.

Door dit lek kunnen hackers bv namen en wachtwoorden bemachtigen. Niet erg handig. Die servers worden namelijk niet voor niets extra beveiligd.

Het is niet duidelijk of dit lek al voor de bekendmaking werd misbruikt door hackers. Het gerucht gaat dat de NSA het al twee jaar gebruikte. Wel is duidelijk dat er na de bekendmaking geslaagde pogingen zijn geweest. Zo zijn bij de Canadese belastingdienst 900 BSN nummers gestolen.

Nu zal ik niet uitvoerig op allerlei technische details ingaan. Alle kranten en het internet staan er al vol mee. U kunt hier in de Telegraaf en hier in de Volkskrant iets meer lezen.

Maar eerst het goede nieuws

Ondanks de omvang wordt de soep niet zo heet gegeten als ze wordt opgediend.

Door de omvang van het probleem is statistische de kans kleiner dat u getroffen wordt. Hackers volgen over het algemeen het geld. Dus als eerste zullen ze het proberen op servers waar veel te halen is.

Daarnaast is er zoveel aandacht dat alle leveranciers snel in actie zijn gekomen. Het probleem is ook niet zo moeilijk om te fixen. We hebben al vele update meldingen voorbij zien komen.

Als u wilt kunt u ook zelf testen of de software inmiddels is aangepast. Dit is een van de testttools op het internet:

En dan het slechte nieuws

Het lek lijkt eenvoudig te repareren. Vele softwareleveranciers hebben dat ook gedaan. Toch sijpelen er berichten door dat de oplossing toch iets complexer is. Ook zijn er wat bijeffecten van de massale update van alle servers.

Hoe heeft u hiermee te maken?

Heartbleed raakt u op twee manieren:

  • Uw eigen beveiligde servers kunnen een update nodig hebben.
  • De servers die u bezoekt zijn mogelijk onveilig.

Ad 1: uw eigen servers

Als u deze al hebt, moet u of uw leverancier actie ondernemen. Het grootste gevaar is misschien hier wel dat u denkt geen beveiligde servers te hebben. De software wordt echter ook gebruikt in:

  • Firewalls met een beveiligde login.
  • SSL VPN telewerk oplossingen.
  • Websites die voor het beheer een beveiligde login hebben.

Voor de klanten waar Radix het beheer uitvoert zijn al deze systemen waar nodig al gepatcht.

Ad 2: De servers die u bezoekt

Denk hier niet alleen aan electronic banking, maar ook aan webportalen en cloud applicaties die u gebruikt.

Hier kunt u niets zelf doen, maar moet u wel opletten. U moet wachten tot de leverancier het lek gedicht heeft. Voor de grote sites is dat al gebeurd. Bij kleinere moet u nog even opletten.

Tot u zeker bent dat de update is uitgevoerd kunt u beter niets doen

Waarom u niets moet doen.

Het lijkt een gek advies. Het grootste lek in tijden en toch moet u juist niets doen ( totdat u zeker bent dat het veilig is).

Ik zal het uitleggen.

Het lek geeft de mogelijkheid om gegevens uit het geheugen te bemachtigen. Die komen daar in door de service te gebruiken of door wachtwoorden te veranderen.
Dus door de sites te gebruiken wordt het risico groter. Juist die gewijzigde gegevens kunnen ze het makkelijkst bemachtigen. Wacht dus als het kan gewoon even af tot dat het zeker is dat het voor die site opgelost is.

Daarnaast is er de kans dat het lek meer impact heeft dan iedereen denkt en dat er nog nadere aanpassingen nodig zijn. De komende weken zal dit duidelijker worden.

En dan het grootste gevaar

Bij zaken die zo breed uit in het nieuws komen, zijn er altijd weer criminelen die hier weer op een creatieve manier hun voordeel mee proberen te doen.

Phisingmailtjes

We kennen ze al van banken, paypal etc etc. Mailtjes die bedrieglijk echt afkomstig lijken van die banken. Met zachte drang wordt gevraagd via de link in te loggen om uw gegevens te verifiëren.

Als het goed is trapt u daar nooit in. Toch?

Alle leveranciers zullen u in verband met Heartbleed gaan verzoeken na hun update uw wachtwoorden te wijzigen. Als het goed is staat daar GEEN directe link in naar hun wachtwoord wijzig procedure. Ze zullen u aanraden gewoon in te loggen.

Met keurig nagemaakte mailtjes zullen hackers / phishers dat dus nu ook weer gaan doen. Maar in hun mailtje staat al een link zodat u het ook direct kan doen. NIET DOEN DUS.

Trap nooit meer in een phising mail

Er zijn simpele manieren om phisingmails te herkennen:

  1. Berichten van banken en leveranciers zullen zelden een link bevatten.
    (Anders zijn ze zelf niet zo slim op securitygebied).
    Een link is dus direct verdacht.
  2. Als er om (verificatie)gegevens wordt gevraagd die gewoon bekend zijn, is het ook verdacht.
  3. Twijfelt u over de echtheid. Ga met uw muis op de link staan (niet klikken). Na enkele tellen verschijnt het echte webadres. U ziet dan snel dat het niet klopt.
  4. Log NOOIT in via de link in een mail. Tik altijd zelf de website in uw browser. Ook als het mailtje wel echt zou zijn.

Heeft u een vraag of twijfelt u. Stel deze hieronder of bel ons voor een vrijblijvend antwoord.

Beter safe dan sorry.