Nieuwe aanval in toeleveringsketen leidt tot datalek

Een aanval op een bedrijf begint lang niet altijd bij dat bedrijf zelf. Dat blijkt uit het recente datalek bij Simian, het moederbedrijf achter onder meer Drukland, Reclameland en Flyerzone. De aanvallers kwamen binnen via een externe dienstverlener. Daardoor konden klantgegevens worden gestolen, terwijl de eigen systemen van Simian volgens het bedrijf niet de bron van het lek waren.

Wat is een aanval op de toeleveringsketen?
Bij een toeleveringsketen- of supply chain-aanval vallen cybercriminelen vaak eerst een leverancier, softwarebedrijf, hostingpartij of andere dienstverlener aan die toegang heeft tot systemen of gegevens van klanten.

Eén zwakke schakel kan daardoor meerdere organisaties tegelijk raken. Denk aan een softwareleverancier met toegang tot bedrijfsnetwerken of een betaalprovider die transactiegegevens verwerkt. Ook kleinere bedrijven lopen risico wanneer zij veel digitale diensten uitbesteden.

Het Nederlandse Digital Trust Center adviseert organisaties daarom digitale veiligheid mee te nemen in afspraken met leveranciers. Alleen de eigen systemen beveiligen is niet genoeg als een externe partij toegang heeft tot gevoelige gegevens.

Wat kun je zelf wél beveiligen?
Een lek bij een leverancier kun je als klant niet voorkomen. Je kunt wel zorgen dat je eigen internetverkeer en accounts minder makkelijk een tweede ingang vormen. Een VPN versleutelt je internetverbinding, zodat gegevens onderweg moeilijker te onderscheppen zijn, vooral op openbare wifi in een hotel, trein of café. Daarnaast kan zo’n dienst je IP-adres afschermen, trackers beperken en schadelijke websites of phishingdomeinen blokkeren. Sommige beveiligingsfuncties controleren ook downloads op verdachte bestanden en waarschuwen wanneer inloggegevens op het dark web opduiken.

Zo’n beveiligingslaag is vooral nuttig om de risico’s vóór en na een datalek te beperken. Houd wel rekening met de beperkingen: beveiliging op je eigen apparaat kan niet voorkomen dat een externe leverancier wordt gehackt.

Welke gevolgen kan een datalek hebben?
Gestolen gegevens kunnen later worden gebruikt voor gerichte phishing. Een crimineel kan zich bijvoorbeeld voordoen als het getroffen bedrijf en vragen om een wachtwoord opnieuw in te stellen, een betaling te bevestigen of aanvullende persoonsgegevens door te geven.

Ook hergebruikte wachtwoorden vormen een risico. Is hetzelfde wachtwoord voor meerdere accounts gebruikt, dan kunnen criminelen proberen daarmee ook andere diensten binnen te komen. Creditcardgegevens kunnen daarnaast leiden tot frauduleuze betalingen of identiteitsfraude.

Wat kun je zelf doen?
Helemaal voorkomen dat een leverancier wordt gehackt kun je als klant niet. Je kunt de gevolgen wel beperken:

• Gebruik voor ieder belangrijk account een uniek en sterk wachtwoord.
• Schakel waar mogelijk tweestapsverificatie in.
• Klik niet zomaar op links in mails over een datalek, maar open de officiële website zelf.
• Controleer bank- en creditcardafschriften op onbekende transacties.
• Gebruik een VPN op openbare of slecht beveiligde wifi.
• Deel niet meer persoonsgegevens dan nodig is.

Heb je een bericht ontvangen dat je persoonsgegevens mogelijk zijn gelekt? Controleer dan via het officiële kanaal van de organisatie wat er aan de hand is. Wees extra kritisch op berichten die kort na zo’n incident binnenkomen.

Beveiliging stopt niet bij de voordeur
De zaak rond Simian laat zien dat digitale veiligheid steeds meer een ketenprobleem is. Bedrijven zijn afhankelijk van externe software, hosting en andere diensten. Daardoor kan één kwetsbare leverancier gevolgen hebben voor veel klanten tegelijk.

Voor gebruikers blijft het verstandig om meerdere beveiligingslagen te combineren. Sterke wachtwoorden, tweestapsverificatie, alertheid op phishing en veilig internetgebruik verkleinen samen de kans dat buitgemaakte gegevens tot meer schade leiden.