Een gemeld lek bij het Department of Homeland Security heeft de namen, telefoonnummers en e-mailadressen van meer dan 40.000 medewerkers in omloop gebracht. Het DHS-datalek van contactgegevens van medewerkers is, volgens het rapport van VOZ, het derde overheidsdatalek dat in de afgelopen maand het nieuws haalde. Het bronartikel bevat weinig technische details, dus dit stuk houdt zich aan wat er is gemeld en legt uit waarom dit soort gegevens ertoe doet, zelfs wanneer ze onschuldig lijken.
Wat er bij het DHS-lek is blootgelegd
Op basis van de berichtgeving omvat de blootgelegde informatie meer dan 40.000 DHS-medewerkers en blijft deze beperkt tot drie gegevenstypen: namen, telefoonnummers en e-mailadressen. Het rapport beschrijft, in het materiaal dat ons ter beschikking staat, niet hoe de gegevens zijn verkregen, wie erachter zat, wanneer het gebeurde, of andere categorieën zoals burgerservicenummers of financiële gegevens erbij betrokken waren. We zullen daar niet naar gissen.
Dat gat is het vermelden waard. Vroege berichten over datalekken zijn vaak onvolledig, en de omvang kan veranderen naarmate instanties onderzoek doen. Beschouw het huidige aantal als de gemelde basislijn en niet als een definitieve telling, en let op officiële verklaringen van DHS.
Een patroon van overheidsdatalekken
Het DHS-incident staat niet op zichzelf. Het rapport kadert het als het derde overheidsdatalek dat in één maand het nieuws haalt. Twee andere recente gevallen die op vpn.social zijn behandeld, geven nuttige context. In het ene zei de FBI dat het een datalek met gevoelige gegevens van zijn medewerkers aanpakte en beloofde het degenen die het verantwoordelijk acht te vervolgen. In het andere arresteerden Franse autoriteiten een 15-jarige die ervan wordt verdacht ANTS te hebben gehackt, het agentschap dat identiteitsdocumenten beheert.
Deze gevallen betreffen verschillende instanties en landen, dus we moeten niet aannemen dat ze verband houden. Wat ze gemeen hebben, is het doelwit: grote overheidsdatabases vol persoonlijke informatie over medewerkers of burgers. Overheidsinstanties bezitten gegevens die waardevol zijn voor criminelen en, in sommige gevallen, voor vijandige actoren, waardoor ze voortdurend doelwit zijn.
Waarom contactgegevens phishing en social engineering aanwakkeren
Het is verleidelijk om een lek van namen, telefoonnummers en e-mails als gering af te doen. Geen wachtwoorden of financiële gegevens, dus wat is het kwaad? Het antwoord is dat contactgegevens de grondstof vormen voor gerichte aanvallen.
Met een geverifieerde naam, een werke-mailadres en een telefoonnummer dat aan een bekende werkgever is gekoppeld, kan een aanvaller:
- Overtuigende phishing-e-mails opstellen die iemand bij naam aanspreken en naar hun instantie verwijzen.
- Voicephishing (vishing)-gesprekken voeren waarin ze zich voordoen als IT-support, een collega of een leverancier.
- Sms-lokmiddelen versturen die ontvangers naar valse inlogpagina's leiden.
- Zich voordoen als insiders om informatie te ontfutselen van collega's die een bekende klinkende naam vertrouwen.
Voor medewerkers van een op veiligheid gerichte instantie is het risico dat aanvallers precies weten wie daar werkt en hoe ze hen kunnen bereiken. Zelfs een klein aantal succesvolle berichten kan een aanvaller een voet aan de grond geven. Het risico beperkt zich trouwens niet tot die medewerkers. Familieleden, contractanten en iedereen die met DHS-personeel communiceert, kunnen berichten ontvangen die van een betrouwbare bron lijken te komen.
Lekken met alleen contactgegevens worden ook vaak hergebruikt. Lijsten met geverifieerde e-mails en telefoonnummers kunnen worden gecombineerd met gegevens uit andere incidenten. Onze berichtgeving over de LimeLeads-blootstelling van 49,4 miljoen zakelijke contacten laat zien hoe contactdatabases kunnen circuleren en worden benut lang na het oorspronkelijke incident.
Wat dit voor jou betekent
Je werkt misschien niet voor DHS, maar de lessen gelden voor iedereen. De meesten van ons hebben hun namen, e-mails en telefoonnummers in tal van databases staan: werkgevers, winkels, datamakelaars en overheidsinstanties. Wanneer een daarvan wordt getroffen, wordt hetzelfde phishing-draaiboek tegen gewone mensen gebruikt.
Als je een DHS-medewerker bent of met een van hen samenwerkt, verwacht dan meer ongevraagde berichten dan gewoonlijk en behandel onverwachte verzoeken met argwaan, zelfs als ze je naam gebruiken of je werkplek vermelden. Ben je dat niet, gebruik dit dan als aanleiding om na te gaan hoeveel van je eigen contactgegevens openbaar beschikbaar zijn en wie je kan bereiken.
Hoe je je eigen blootstelling van persoonsgegevens kunt beperken
Je kunt niet bepalen of een organisatie wordt getroffen, maar je kunt de schade beperken. Praktische stappen zijn:
- Gebruik unieke e-mailaliassen voor verschillende diensten, zodat een lek op één plek niet naar alles anders linkt.
- Houd een apart telefoonnummer aan voor aanmeldingen en openbare vermeldingen, in plaats van je primaire mobiele nummer.
- Schakel multi-factorauthenticatie in, idealiter met een authenticator-app of hardwarematige sleutel in plaats van sms.
- Verifieer voordat je vertrouwt. Als een telefoontje, sms of e-mail om inloggegevens of dringende actie vraagt, neem dan contact op met de organisatie via een kanaal waarvan je al weet dat het echt is.
- Klik niet op links in onverwachte berichten. Navigeer rechtstreeks naar de site in plaats daarvan.
- Controleer tools voor datalekmeldingen om te zien welke van je adressen in bekende lekken zijn verschenen, en wijzig wachtwoorden dienovereenkomstig.
- Vraag verwijdering aan bij sites van datamakelaars waar je gegevens worden vermeld.
Het doel is niet blootstelling te elimineren, wat onrealistisch is, maar om elk gelekt detail minder bruikbaar te maken voor een aanvaller.
De conclusie
Het gemelde DHS-datalek van contactgegevens van medewerkers lijkt misschien bescheiden naast lekken met wachtwoorden of financiële gegevens, maar contactgegevens zijn precies wat phishing en social engineering laat werken. Met drie gemelde overheidslekken in een maand is het nu een verstandig moment om na te gaan waar je eigen contactgegevens zijn blootgesteld en je gewoonten aan te scherpen. Lees voor bredere context over het patroon onze berichtgeving over het datalek met FBI-medewerkersgegevens en de hack van ANTS-identiteitsgegevens, en neem dan een paar minuten om je eigen accounts te beveiligen.
