Criminelen Skimmen creditcards bij 5.900 gehackte webshops

 

Korte samenvatting:

Wereldwijd zijn er meer dan 5900 gehackte webwinkels waar criminelen de creditcardgegevens van klanten stelen die afrekenen, waaronder minstens 250 Nederlandse webshops

 

Terwijl het traditionele skimmen van pinpassen afneemt lijkt het aantal gevallen van online skimming juist toe te nemen. Dat ontdekte de Nederlandse beveiligingsonderzoeker Willem de Groot. De criminelen hacken de webwinkel en voegen vervolgens kwaadaardige code toe, zonder dat de eigenaren dit doorhebben

 

Waarom vind je dit interessant of wil je dit delen?:

Ik ben vooral verbijsterd door de onverschilligheid van gehackte webwinkels nadat ze door de onderzoeker gewezen werden op de inbreuken. Anno 2016 zou je toch mogen verwachten dat webwinkels cyberrisico's serieus nemen.

 

Zo liet één webwinkel weten dat de shop veilig was omdat er https werd gebruikt

 

Inmiddels heeft De Groot een lijst van de ruim 5900 gehackte webwinkels online gezet

 

En ik ben erg benieuwd of die 252 Nederlandse websites op deze lijst al een datalek-melding hebben gedaan? De boete voor het niet melden van een lek en de genomen maatregelen bedraagt minimaal € 4.500,- en kan afhankelijk van de omzet - oplopen tot € 900.000,-

 

Ik wil toch graag even het e.e.a. nuanceren. Een van onze webshops is op deze lijst gekomen. De website was volledig up-to-date, maar door het niet verwijderen van een script werd deze toch als onveilig gezien. Dom, dom, dom......

 

Even wat opmerkingen bij dit artikel:

Welkom Jos, voor je openhartigheid en kritische observaties verdien je sowieso een reus (en die houd je van me tegoed).

 

Mijn punt is hier juist het moment van samenstellen van de lijst. Wanneer dit nu zou gebeuren is de lijst minimaal 10 keer zo lang.

Je kunt inderdaad vraagtekens zetten bij de reikwijdte van zo'n onderzoek, maar we moeten Willem de Groot niet guilty by association maken. Een beveiligingsspecialist beperkt zich nu eenmaal tot de beveiligingsproblematiek waarin hij is gespecialiseerd, dus dat dit van/voor/vanuit de Magento-hosting van een Magento-hostingspecialist komt, is heel logisch. Ik zou me eerder zorgen gaan maken wanneer iemand die niets van Magento weet er grote beveiligingsfouten in vindt.

 

Dat de problemen in werkelijkheid veel groter zijn, geloof ik graag, maar je kunt iemand niet verwijten dat hij slechts waarschuwend naar het topje van een ijsberg wijst wanneer de overgrote massa nog onder water verborgen is.

 

Wij zijn als bedrijf nooit geïnformeerd op de manier die de heer Groot schetst.

Dat is een lastig dilemma. Een ethische hacker waarschuwt getroffenen eerst in stilte, om ze in de gelegenheid te stellen passende maatregelen te treffen. De vraag is of dat praktisch nog wel haalbaar is wanneer het er vele duizenden zijn. En of dat niet te lang gaat duren, waardoor kwaadwillenden te lang onheil kunnen aanrichten.

 

Dat je dan de prioriteit legt bij getroffenen die je kent en snel kunt bereiken of helpen, je eigen klanten, lijkt me vanzelfsprekend.

 

De revisies van de lijst zijn overigens gewoon openbaar.

 

Dat je dan de prioriteit legt bij getroffenen die je kent en snel kunt bereiken of helpen, je eigen klanten, lijkt me vanzelfsprekend.

Helemaal eens, echter veel andere getroffenen hebben na deze publicatie hun websites ook in orde gemaakt maar zijn niet in staat deze lijst bij te werken of er vanaf te komen. En hier zit denk ik het verschil in.