Hackers slaan toe via de leveranciersingang

Hackers die azen op de klantgegevens van banken, creditcardmaatschappijen of grote winkelketens komen steeds vaker binnen door de leveranciersingang. In eenderde van de aanvallen op grote ondernemingen vorig jaar richtten criminelen zich op de computersystemen van een onderaannemer of leveranciers.

DUBLIN - De Amerikaanse computerbeveiliger Symantec maakte dit dinsdag in Dublin bekend op een bijeenkomst over cybermisdaad. In sommige gevallen braken hackers in op de systemen waarmee de leverancier van printers bijvoorbeeld in de gaten houdt of er storingen zijn. In een specifiek geval kraakten criminelen de website van een Chinees restaurant waar veel werknemers van een bedrijf eten bestelden, om 'spionnetjes' op hun bedrijfscomputers te verbergen.


De sluiproute via een leverancier is volgens onbevestigde berichten toegepast bij een van de grootste datalekken van 2013. Daarbij werden de gegevens van 110 miljoen klanten onderschept via de elektronische kassa's van de Amerikaanse winkelketen Target. In veertig miljoen gevallen ging het om de data over betaalpassen van klanten.


Volgens de onafhankelijke beveiligingsexpert Brian Krebs hebben hackers kwaadaardige software geïnstalleerd op de kassa's van Target, waarmee de gegevens op de kaarten is gekopieerd. De malware zou naar de kassa's zijn gestuurd via computersystemen van Fazio Mechanical, dat de airconditioning- en cv-installaties van Target beheert. Daarvoor zou de leverancier inloggen op de computers van Target.


Onderzoeker Candid Wüest van Symantec denkt dat cybercriminelen niet per ongeluk stuiten op fouten in de beveiliging bij leveranciers, maar er actief naar op zoek gaan. 'Het is niet zo vreselijk ingewikkeld om erachter te komen wie spullen aan het bedrijf verkoopt waar je wilt inbreken.'


Sociale media zijn ook een goede bron, aldus Wüest. Als iemand twittert dat hij bij een saaie instructiebijeenkomst zit voor een beveiligingsproduct, weet je wat voor software ze gebruiken.' Ook via LinkedIn is achter de namen van leveranciers te komen, net als via persberichten over contracten. 'Daarom willen regeringen en grote bedrijven soms niet dat er publiciteit wordt gegeven aan sommige orders.'


Aan de aanvallen zoals die bij Target gaan maanden van voorbereidingen vooraf. 'Hackers doen hun huiswerk', zegt Wüest. 'Deze cybercriminelen gaan niet meer voor het laaghangende fruit, de beveiligingsproblemen die makkelijk te misbruiken zijn, maar weinig geld of gegevens opleveren.'


In een analyse van cybercrime komt Symantec tot de conclusies dat 2013 het jaar was van de 'mega-datalekken'. Bij acht aanvallen werden de gegevens van meer dan 10 miljoen klanten achterhaald, in sommige gevallen inclusief creditcardnummers.Van meer dan een half miljard klanten en internetters kwamen privacygevoelige gegevens op straat te liggen.

undefined

Meer over

Wilt u belangrijke informatie delen met de Volkskrant?

Tip hier onze journalisten


Op alle verhalen van de Volkskrant rust uiteraard copyright. Linken kan altijd, eventueel met de intro van het stuk erboven.
Wil je tekst overnemen of een video(fragment), foto of illustratie gebruiken, mail dan naar copyright @volkskrant.nl.
© 2021 DPG Media B.V. - alle rechten voorbehouden