Privacyregelgeving kan naast bescherming ook datalekken veroorzaken

21 augustus 2019 | Blog

Status van de wetgeving inzake gegevensbescherming in de VS

Image Source

De privacywetgeving is de afgelopen twee jaar aanzienlijk uitgebreid met de publicatie en handhaving van de Algemene Verordening Gegevensbescherming (AVG) van de EU. In januari 2020 treedt de California Consumer Privacy Act (CCPA) in werking in Californië, met vergelijkbare vereisten als de AVG. Andere staten, waaronder Texas, New York, Washington en Massachusetts, volgen dit voorbeeld. De privacywetgeving van de EU en Californië probeert onze persoonlijke gegevens te beschermen door bepaalde rechten te verlenen. Deze rechten stellen ons in staat de gegevens die bedrijven over ons bewaren te beheren via "Data Privacy Requests". Deze verzoeken kunnen onder andere het recht omvatten om bedrijven het volgende te laten doen:

vergeet mijn privégegevens;
mijn persoonlijke gegevens corrigeren;
verbied de verkoop van mijn privégegevens; en belangrijker nog,
een bedrijf aanvragen geef mij mijn privégegevens.

Helaas hebben bedrijven zich niet goed voorbereid op deze verzoeken. Wereldwijd worstelen bedrijven met het verwerken van AVG-gegevensbeschermingsverzoeken van EU-inwoners. Amerikaanse bedrijven met privégegevens van inwoners van Californië haasten zich met het ontwikkelen van processen om vanaf 1 januari 2020 te kunnen voldoen aan gegevensbeschermingsverzoeken van inwoners van Californië.

Zou het niet ironisch zijn als de volgende golf van privacyschendingen voortkwam uit verzoeken om gegevensbescherming door hackers onder deze wetgeving? Dit is precies het probleem dat CyberHoot met deze wetgeving ziet. Bedrijven hebben nog geen robuuste, multifactoriële processen voor "verzoeken om gegevensbescherming" ontwikkeld die de identiteit van elke aanvrager verifiëren!

Een paard genaamd "Black Irony" heeft de stal verlaten

Verrassing, verrassing: een Britse onderzoeker genaamd James Pavur meldde in augustus 2019 in een Black Hat-briefing dat bedrijven hem, na 150 "verzoeken om inzage in de privacygegevens" van zijn vrouw te hebben ingediend, haar gegevens hadden toegestuurd:

Burgerservicenummer;
huidige en vorige woonadressen;
creditcardnummers;
Schoolcijfers;
Hotel Logs; en
of ze bepaalde datingsites wel of niet gebruikte.

Belangrijk is dat Pavur geen documenten, handtekeningen of e-mailadressen heeft vervalst. Hij gebruikte in alle gevallen zijn eigen inloggegevens, handtekening en e-mailaccount om deze gegevens op te vragen. Bedrijven hebben zijn identiteit simpelweg niet geverifieerd. Stel je nu eens voor wat een hacker die handtekeningen en documenten vervalst en inbreekt in je e-mailaccount, zou kunnen doen? CyberHoot heeft een paar voorspellingen voor je.

Voorspellingen/suggesties voor bedrijven over de privacyregelgeving:

Hackers misbruiken privacyregels door zwakke verificatiemechanismen in te zetten om juist die vertrouwelijke gegevens te stelen die deze handelingen juist zouden moeten beschermen.
Hoewel de CCPA zich bewust is van de uitdagingen op het gebied van verificatie en belooft duidelijkheid te verschaffen over wat verifieerbare verzoeken zijn via de procureur-generaal van de CA, kunnen bedrijven het zich niet veroorloven om te wachten. Bedrijven dienen hun eigen verificatiemaatregelen te nemen, mogelijk in navolging van de maatregelen die de bankensector heeft genomen (zie hieronder), om zich tijdig voor te bereiden op 1 januari 2020.
Banken hebben het verificatieproces onder de knie. Wanneer CyberHoot zijn bank belt, vraagt de IVR om ons 16-cijferige kaartnummer.gewoon met een agent spreken. Vervolgens stuurt de bankmedewerker een code van 4 tot 6 cijfers naar het mobiele apparaat van CyberHoot. Zo wordt een tweede factor vereist om onze identiteit te verifiëren (iets wat we weten en iets wat we hebben).
- Bedrijven doen er verstandig aan om vergelijkbare tweefactorauthenticatiemaatregelen in te voeren voor alle verzoeken om privacygegevens.
Sommige bedrijven waarmee CyberHoot samenwerkt, verzamelen niet de vereiste gegevens (rekeningnummers, e-mailadressen en/of mobiele telefoonnummers) om de identiteit van een persoon correct te verifiëren. Hopelijk zal de CA AG deze bedrijven vrijstellen van het voldoen aan verzoeken om gegevensbescherming in plaats van hen te dwingen om gegevens te verzamelen. meer van onze privégegevens alleen om te voldoen aan deze verzoeken op het gebied van gegevensbescherming.

Wat kunnen burgers doen om zichzelf te beschermen?

Neem contact op met bedrijven die uw kritieke en gevoelige gegevens beheren en vraag hoe ze uw identiteit voor dergelijke verzoeken zullen verifiëren. Vertel hen dat e-mail niet genoeg en dat ze u moeten identificeren met behulp van twee factoren, net zoals banken dat doen.
Hoewel dit extreem is, vraag uzelf af of het tijd is om uw zoek- en sociale mediagegevens te verwijderen met behulp van bestaande hulpmiddelen en processen.

CyberHoot suggereert niet dat Google en Facebook gemakkelijk te misleiden zijn om je privégegevens prijs te geven. Andere bedrijven die je gegevens hebben, zijn echter nog niet voorbereid om deze verzoeken te verwerken. CyberHoot daagt bedrijven uit om veilige verificatieprocessen te ontwikkelen voordat hackers je op deze nieuwe en gruwelijk ironische manier uitbuiten.

Auteur, Craig, medeoprichter – CyberHoot