Meer ODIDO nieuws:

https://tweakers.net/nieuws/245620/odido-router-stuurde-analyticsdata-naar-amerikaans-ai-bedrijf.html

This is a documented timeline of what has happened since disclosure, what it means, and what it reveals about how the Netherlands handles a breach of this scale.

Vertaling:

Dit is een gedocumenteerde tijdlijn van wat er sinds de onthulling is gebeurd, wat het betekent, en wat het onthult over de manier waarop Nederland omgaat met een datalek van deze omvang.

Bron: PI Solutions (Engelstalig)

Meer ODIDO nieuws:

https://tweakers.net/nieuws/245620/odido-router-stuurde-analyticsdata-naar-amerikaans-ai-bedrijf.html

Tegenover De Telegraaf laat de Autoriteit Persoonsgegevens weten dat macadressen gelden als persoonsgegevens. "We noemen dit indirect identificerende persoonsgegevens. Dat komt omdat u de gegevens kunt combineren met elkaar of met andere gegevens. Zo kunt u de gegevens terugbrengen tot een bepaald persoon."

Lekker bezig, daar bij Odido. 

Is Lifemote ook al gehackt dan?

Het College van Beroep voor het bedrijfsleven heeft dinsdag geoordeeld dat Odido eerder terecht door de Nederlandse overheid is verplicht geen apparatuur van de Chinese leveranciers Huawei en ZTE te gebruiken in kritieke delen van zijn mobiele netwerk.

Het blijft rommelen bij Odido
Bron: Nu.nl

Wat bedoel je hiermee? Vind je dat Odido heeft gerommeld met het aanspannen van een rechtszaak tegen de overheid? Of bedoel je dat Odido heeft gerommeld met leveranciers Huawei en ZTE? Of misschien bedoel je iets heel anders?

Is Lifemote ook al gehackt dan?

Niet dat ik weet.

Maar je vraag is off-topic, want de reden van de link gaf ik al in het tweede citaatje.

Wat bedoel je hiermee?

Verklaring volgens ‘gemini’ voor de opmerking ‘het blijft rommelen bij Odido’

De uitspraak "Het blijft rommelen bij Odido" is een metafoor die aangeeft dat er aanhoudende problemen, onrust of instabiliteit zijn binnen het bedrijf. Het suggereert dat de situatie nog niet onder controle is of dat er herhaaldelijk nieuwe incidenten plaatsvinden.

Opmerking: Ik krijg sterk de indruk dat je alle opmerkingen over Odido als een persoonlijke aanval opvat.

Opmerking: Ik krijg sterk de indruk dat je alle opmerkingen over Odido als een persoonlijke aanval opvat.

Oh ja? Waarom denk je dat? Het zijn overigens niet zo direct opmerkingen die hier voorbijkomen maar vooral verwijten. Ik ben van mening dat niet al die verwijten terecht zijn. Beschouw ik die dan als een persoonlijke aanval?

De uitspraak van het College van Beroep voor het bedrijfsleven, noch rechtszaak tegen de overheid getuigen van enige aanhoudende problemen, onrust of instabiliteit. Dit speelde al in 2023. Dus waarom zeg je dan dat het blijft rommelen bij Odido?

@GeorgeM, Wanneer Lifemote niet gehackt is liggen die mac adressen nog niet op straat. Of zie ik dat verkeerd?

Je bent verbaal agressief sdequack dus geen wonder dat men denkt dat je je persoonlijk aangevallen voelt
Ik ben het er in ieder geval mee eens dat je dat etiket opgeplakt krijgt.

Ik vind 'je bent verbaal agressief' nogal een verwijt op een forum als dit. Heb net eens teruggelezen, en zie vooral terechte en netjes gestelde vragen van sdequack.

De uitspraak van het College van Beroep voor het bedrijfsleven, noch rechtszaak tegen de overheid getuigen van enige aanhoudende problemen, onrust of instabiliteit. Dit speelde al in 2023. Dus waarom zeg je dan dat het blijft rommelen bij Odido?

@GeorgeM, Wanneer Lifemote niet gehackt is liggen die mac adressen nog niet op straat. Of zie ik dat verkeerd?

Klopt, die Mac-adressen liggen nog niet op straat, en dat is ook nooit beweerd.

Waar het wel om gaat is dat dit volgens de Autoriteit Persoonsgegevens als persoonsgegevens gelden, en dat die dus helemaal niet gedeeld zouden moeten worden.

En dat sluit aan op het feit dat er bij Odido kennelijk niet zorgvuldig genoeg wordt omgegaan met persoonsgegevens, en sluit dus aan op deze hack.

Want niet alleen was de database (kennelijk) niet afdoende beveiligd, het zou nooit mogelijk moeten zijn geweest om zoveel gegevens in één keer buit te kunnen maken.

@Backspin: misschien was het beter geweest als ik mijn stukje ook begonnen was met “ik vind”.
Want ik vond dat.

@ouwemac. Bij 'verbale agressie' denk ik zelf meer aan schelden, vloeken, beledigen, discrimineren, onheus bejegenen e.d. Ik ga er toch maar van uit dat je dat niet bedoelt. Maar wat dan wel?

Want niet alleen was de database (kennelijk) niet afdoende beveiligd, het zou nooit mogelijk moeten zijn geweest om zoveel gegevens in één keer buit te kunnen maken.

Dit valt m.i. even buiten het doorgeven van mac adressen aan Lifemote. Ik weet trouwens niet of Odido en Lifemote een verklaring omtrent verwerking van persoonsgegevens hadden. Zo, ja, dan ligt e.e.a. toch even anders.

En zijn die gegevens werkelijk in één keer buit gemaakt? Ik heb begrepen dat de hackers maanden lang bezig zijn geweest met voorbereiding en uitvoeren van de hack.

 

En zijn die gegevens werkelijk in één keer buit gemaakt? Ik heb begrepen dat de hackers maanden lang bezig zijn geweest met voorbereiding en uitvoeren van de hack.

Die twee zinnen hebben niet noodzakelijkerwijs met elkaar te maken. Ze hebben het inderdaad lang voorbereid maar het daadwerkelijke downloaden van de gegevens is in korte tijd gebeurd. In ieder geval minder dan een paar uur of misschien wel sneller, dat laatste is nog niet helemaal duidelijk. Logisch ook want zo gaat dat meestal bij dit soort hacks: áls je eenmaal binnen bent zo snel mogelijk je slag slaan want je weet nooit hoe snel het opgemerkt wordt en het feestje stopt.

Aha, duidelijk. de hack is dus niet in één keer gebeurd. Tenzij je het daadwerkelijk downloaden van de data als dé hack beschouwd.

Semantische discussie. ‘De hack’ en het downloaden van de data zijn twee verschillende zaken.

Toen GeorgeM zei dat ‘het nooit mogelijk zou moeten zijn geweest om zoveel gegevens in één keer buit te kunnen maken’ vroeg jij je af of dat daadwerkelijk gebeurd was. Het antwoord is dus: ja. En hij zegt terecht dat dat nooit had mogen gebeuren. Daar had SalesForce meerdere adviezen voor gegeven die door Odido niet zijn geïmplementeerd. Maar dat was allemaal al besproken in dit draadje .

@ouwemac. Bij 'verbale agressie' denk ik zelf meer aan schelden, vloeken, beledigen, discrimineren, onheus bejegenen e.d. Ik ga er toch maar van uit dat je dat niet bedoelt. Maar wat dan wel?

Het gedrag dat jij noemt bedoel ik zeker niet.
Het was meer de manier waarop je vaak je zinnen formuleert, met tegenvragen, die mij irriteerde en me deden reageren. Een gevoel dus en persoonlijk.
Het is moeilijk uit te leggen en ik wil geen ellenlang epistel schrijven, dus ik laat het hier maar bij
Ik geef toe dat ik beter nog wat langer na had kunnen denken over mijn definitie van verbale agressie. Anderen hebben een andere definitie van dat begrip.

Semantische discussie. ‘De hack’ en het downloaden van de data zijn twee verschillende zaken.

Mee eens. Het downloaden zie ik als laatste, niet noodzakelijke, onderdeel van de hack.

Toen GeorgeM zei dat ‘het nooit mogelijk zou moeten zijn geweest om zoveel gegevens in één keer buit te kunnen maken’ vroeg jij je af of dat daadwerkelijk gebeurd was.

Onjuist. De vraag die ik stelde was: "En zijn die gegevens werkelijk in één keer buit gemaakt?"
De opmerking van GeorgeM las ik alsof de hack een gemakkelijke en daardoor snelle actie zou zijn geweest. De zinsnede "in één keer" lijkt daarop te duiden.

Deze hack is lang voorbereid en er is daarom geen sprake van een gemakkelijke en snelle actie geweest. Dat gaf ik in mijn volledige opmerking ook al aan.

En hij (GeorgeM) zegt terecht dat dat nooit had mogen gebeuren. Daar had SalesForce meerdere adviezen voor gegeven die door Odido niet zijn geïmplementeerd. Maar dat was allemaal al besproken in dit draadje .

Waarom dan nog weer eens herhalen? Zoals je zegt; de nalatigheid bij Odido was al een aantal pagina's terug vastgesteld.

@ouwemac, het is zeker niét mijn bedoeling om iemand te irriteren. Wel probeer ik voor mijzelf enige duidelijkheid te krijgen van wat iemand hier precies bedoelt. Door dan een gerichte vraag te stellen hoop ik met het antwoord mij een nauwkeuriger beeld te vormen van iemands denkwijze.

Ik ben mij ervan bewust dat het stellen van vragen wel eens kan irriteren. Toch is dat de enige methode om verduidelijking te krijgen. Soms nodigt het ook uit om eerder gemaakte eigen uitspraken nog eens kritisch te bekijken. Kan het zijn dat juist dán een gevoel van irritatie opkomt?

De opmerking van GeorgeM las ik alsof de hack een gemakkelijke en daardoor snelle actie zou zijn geweest.

Dan had je dat verkeerd begrepen, maar dat kan natuurlijk. GeorgeM bedoelde het downloaden van zoveel data in korte tijd (als ik zo vrij mag zijn).

Dat haal ik er niet uit.

De uitdrukking 'in één keer' begrijp ik als 'plotseling' of 'ineens' of 'in een enkele handeling'. Het zou fijn zijn wanneer GeorgeM zelf wil aangeven wat hij hier precies mee bedoelde.

En dat sluit aan op het feit dat er bij Odido kennelijk niet zorgvuldig genoeg wordt omgegaan met persoonsgegevens, en sluit dus aan op deze hack.

Want niet alleen was de database (kennelijk) niet afdoende beveiligd, het zou nooit mogelijk moeten zijn geweest om zoveel gegevens in één keer buit te kunnen maken.

Salesforce heeft beschreven hoe je de hack kunt uitvoeren. En precies zo is de hack bij Odido uitgevoerd:

https://www.salesforce.com/blog/protecting-salesforce-data-after-an-identity-compromise/

Op dezelfde pagina heeft Salesforce beschreven wat je kunt doen om dit te voorkomen. En dat heeft Odido nagelaten te doen.

To defend against this, Salesforce recommends implementing Phishing-Resistant Multi-Factor Authentication (MFA).

Unlike standard Multi-Factor Authentication, phishing-resistant methods use cryptographic, device-bound, and origin-bound authentication. Because the authentication is cryptographically bound to the legitimate domain (e.g., login.salesforce.com), a phishing kit hosted on a fake domain cannot successfully intercept the credentials.

Examples of phishing-resistant standards include:

(*) FIDO2/WebAuthn hardware keys (e.g., YubiKey, Google Titan)
(*) Platform authenticators (e.g., Windows Hello, Apple FaceID/TouchID)
(*) Certificate-based authentication (e.g., Smart Cards)

"Phishing-Resistant Multi-Factor Authentication" is ook de beveiliging die aan Passkeys ten grondslag ligt.

Goed dat Salesforce op tijd waarschuwingen heeft doen uitgaan, maar...hadden zijn ook niet meer moeten doen?

Als ze zwakheden zien waartegen ze menen te moeten waarschuwen, konden ze misschien beter ook e.e.a. in hun software aanpassen.

Misschien is dat ook wel gedaan en golden de waarschuwingen tot de eerst volgende update van de software.

Wanneer dat niet zo is zullen hackers de bij Odido gebruikte methode ook graag bij andere gebruikers van Salesforce software proberen. Telkens wanneer dat lukt schaadt dat de reputatie van Salesforce.

Zo kan men bij Odido gedacht hebben dat het opvolgen van de aanbevelingen niet direct nodig waren omdat er bij Salesforce met man en macht aan een softwareoplossing gewerkt werd.

Wat ik wel vreemd vind is dat Salesforce ook nog eens precies heeft beschreven hoe de hack uitgevoerd moet worden. Als een handboek tot datadiefstal.

Je zou dan kunnen denken dat dit met opzet is gedaan zodat de klanten de voorgestelde adviezen implementeren waardoor Salesforce de software daar niet op hoeft aan te passen. Kortom een poging tot afschuiven van verantwoordelijkheid.

Uiteraard weet ik niet hoe de vork precies in de steel zit. Bovenstaande geeft echter wel aan dat het hier niet gaat om slechts een enkele schuldige partij.