Kort antwoord: Het meest opvallende nieuws van de week van 12 juli 2023 is de vermeende ransomware-aanval op Barts Health NHS (National Health Service) Trust, waarbij de ALPHV-ransomwarebende beweert 70 terabyte aan patiëntgegevens te hebben gestolen. Zorginstellingen en organisaties in de publieke sector zouden de toegang van derden tot klinische systemen moeten controleren en moeten zorgen voor offline, geteste back-ups.
De verhalen van deze week:
- Beschuldiging van ransomware-aanval op Barts Health NHS Trust: ALPHV-bende beweert 70 terabytes aan Britse zorggegevens te hebben gestolen.
- Microsoft heeft de rebranding van Azure AD naar Microsoft Entra ID voltooid en presenteert een voorproefje van twee nieuwe beveiligde toegangsdiensten.
- De aan de Chinese staat gelieerde groep Storm-0558 heeft via een beveiligingslek in de Microsoft Cloud e-mailaccounts van Amerikaanse en West-Europese overheden gehackt.
- Het datalek bij Cl0p MOVEit heeft Deutsche Bank, ING, Postbank en Comdirect bereikt via de gezamenlijke leverancier Majorel.
- Volgens Cisco Talos vervalsen aanvallers digitale handtekeningen van kernel-modusstuurprogramma's door misbruik te maken van een maas in het codeondertekeningsbeleid van Windows.
Gepubliceerd: juli 2023. Bijgewerkt: augustus 2026 (opmaak, structuur en analyse vernieuwd; de onderstaande nieuwsberichten vormen een nauwkeurig historisch overzicht en zijn niet gewijzigd). Beoordeeld door het Threat Intelligence-team van Encryption Consulting.
Over deze serie
Deze editie maakt deel uit van de Data Privacy Weekly-serie van Encryption Consulting, een terugkerend overzicht van belangrijk nieuws op het gebied van gegevensbescherming en cyberbeveiliging. Lees de vorige editie (1 juli 2023) of ga verder naar de volgende editie (27 juli 2023).
Methodologie: Elke editie wordt samengesteld door het onderzoeksteam van Encryption Consulting op basis van gevestigde, onafhankelijke nieuwsbronnen over cybersecurity en gegevensprivacy die in die kalenderweek zijn gepubliceerd. Artikelen worden geselecteerd op relevantie voor doelgroepen die zich bezighouden met bedrijfsbeveiliging, identiteit, encryptie en compliance, en vervolgens samengevat met een bronvermelding en datum voor gemakkelijke raadpleging.
01. Britse National Health Service wordt geconfronteerd met de grootste ransomware-aanval ooit
Het Verenigd Koninkrijk kampt met een toenemende golf cyberaanvallen, terwijl Barts Health NHS Trust een vermeend ransomware-incident onderzoekt. De ALPHV-ransomwarebende claimt 70 terabytes aan gevoelige gegevens te hebben gestolen, waaronder paspoorten en vertrouwelijke e-mails, in wat zij de grootste inbreuk op zorggegevens in het Verenigd Koninkrijk noemen.
Dit volgt op een recente ransomware-aanval op de Universiteit van Manchester, waarbij hackers toegang kregen tot een NHS-dataset met informatie over 1.1 miljoen patiënten. De Britse publieke sector, waaronder Ofcom en de University of the West of Scotland, is de afgelopen maanden het doelwit geweest van cyberaanvallen.
Gevolgen voor bedrijven: Zorg- en overheidsnetwerken die patiëntendossiers delen met derden of academische partners vormen één waardevol doelwit; één gecompromitteerde leverancier of onderzoeksdataset kan in één klap miljoenen gegevens blootleggen.
Aanbevolen actie: Controleer welke derden en onderzoekspartners kopieën van patiënt- of burgergegevens bewaren en bevestig dat onveranderlijke, offline back-ups zijn getest en herstelbaar zijn.
02. Microsoft verandert de naam van Azure Active Directory in Microsoft Entra ID
Microsoft verandert de naam van Azure Active Directory (Azure AD) in Microsoft Entra ID. De naamswijziging, die naar verwachting eind 2023 voltooid zal zijn, heeft geen invloed op de mogelijkheden van de service, waaronder single sign-on en multifactorauthenticatie. Microsoft introduceerde ook twee nieuwe services, Entra Internet Access en Entra Private Access, in een openbare preview.
Entra Internet Access beveiligt openbare webservices, terwijl Entra Private Access externe toegang tot interne bedrijfsbronnen mogelijk maakt. Het bedrijf wil Microsoft Entra uitbreiden om de beveiliging te verbeteren en realtime toegangsbeslissingen mogelijk te maken.
Implicaties voor de onderneming: Een naamswijziging alleen vermindert het identiteitsrisico niet; organisaties die geen centraal beleid hebben voor single sign-on (SSO) en multi-factor authenticatie (MFA) in Azure AD/Entra ID blijven kwetsbaar, ongeacht de rebranding.
Aanbevolen actie: Gebruik de rebranding als aanleiding om het toegangsbeleid van Entra ID te herzien, MFA (multi-factor authenticatie) in te voeren voor alle beheerdersaccounts en Entra Internet Access en Entra Private Access te testen voordat de oude VPN-toegang wordt uitgefaseerd.
03. Chinese hackers hacken e-mails van de Amerikaanse overheid via Microsoft Cloud-exploit
Chinese hackers hebben via een Microsoft Cloud-exploit e-mails van de Amerikaanse overheid gehackt en zich een maand lang ongeoorloofd toegang tot e-mailaccounts verschaft voordat ze werden ontdekt. ​​De hack, uitgevoerd door een Chinese hackersgroep genaamd "Storm-0558", was gericht op e-mailsystemen voor het verzamelen van inlichtingen en trof ongeveer 25 organisaties, waaronder overheidsinstanties in West-Europa en de VS. Microsoft heeft maatregelen genomen en werkt samen met de autoriteiten om getroffen gebruikers te beschermen. Het exacte aantal gecompromitteerde organisaties en overheidsinstanties blijft onbekend.
Gevolgen voor bedrijven: Een maandlang onopgemerkt inbreuk op e-mailaccounts in de cloud laat zien dat zwakke plekken in de token- en sleutelvalidatie bij een cloudprovider de eigen beveiligingsmaatregelen van een organisatie volledig kunnen omzeilen, ook voor overheidsinstellingen en Fortune 500-bedrijven.
Aanbevolen actie: Controleer de logboeken voor e-mailaanmeldingen en tokenuitgifte in de cloud op afwijkingen, vervang en beperk de toegang tot API- of ondertekeningssleutels die langdurig in gebruik zijn en gekoppeld zijn aan Microsoft-cloudservices, en controleer of de door Microsoft gepubliceerde oplossingen voor risicobeperking op uw tenant zijn toegepast.
04. MOVEit-cyberaanval treft Deutsche Bank, ING, Postbank en Comdirect
Deutsche Bank, ING, Postbank en Comdirect hebben te maken gehad met lekken van klantgegevens als gevolg van een inbreuk op de Cl0p MOVEit-hacks. De banken maakten gebruik van dezelfde externe leverancier, Majorel, die het slachtoffer werd van een cyberaanval. De gelekte informatie omvat de namen van klanten en internationale bankrekeningnummers, wat mogelijk ongeautoriseerde automatische incasso's mogelijk maakte.
Alleen klanten die gedurende specifieke periodes gebruik hebben gemaakt van de overstapservice, zijn getroffen. ING Bank en Comdirect hebben ook hun betrokkenheid bij het lek bevestigd. De banken raden klanten aan hun rekeningen te controleren op ongeautoriseerde transacties. De MOVEit-aanvallen hebben wereldwijd talloze bedrijven getroffen.
Gevolgen voor bedrijven: Cl0p, de ransomware- en data-extortiongroep achter de MOVEit-campagne, bereikte vier banken via één enkele leverancier, Majorel. Dit laat zien hoe één onbeveiligde tool voor bestandsoverdracht van derden de blootstelling van klantgegevens over de gehele toeleveringsketen kan verspreiden. Zie het overzicht van grote aanvallen op de toeleveringsketen van Encryption Consulting voor vergelijkbare incidenten.
Aanbevolen actie: Inventariseer alle externe leveranciers die toegang hebben tot persoonsgegevens van klanten, inclusief onderaannemers zoals Majorel, en eis bewijs dat MOVEit en andere beheerde software voor bestandsoverdracht zijn gepatcht.
05. Hackers misbruiken Windows-beleidslek en vervalsen kernelmodusdriverhandtekeningen
Hackers misbruiken een lek in het Windows-beleid om handtekeningen op drivers voor de kernelmodus te vervalsen, waarbij ze zich voornamelijk richten op Chineestalige hackers. Cisco Talos meldde dat de aanvallers open-sourcetools gebruiken om de ondertekeningsdatum van drivers te wijzigen en schadelijke drivers te laden met verlopen certificaten. Microsoft heeft stappen ondernomen om alle certificaten te blokkeren en heeft verklaard dat er geen inbreuk op Microsoft-accounts is vastgesteld.
De zwakte komt voort uit een uitzondering die cross-signed drivers onder specifieke omstandigheden toestaat. Kwaadwillenden gebruiken software voor het vervalsen van handtekeningen en tijdstempels om duizenden niet-ondertekende drivers te implementeren, waarmee ze het verificatieproces van Microsoft omzeilen. Deze methode vormt een aanzienlijke bedreiging, omdat volledige toegang wordt verleend en het systeem in gevaar wordt gebracht.
Gevolgen voor bedrijven: Vervalsde driverhandtekeningen maken het mogelijk dat kwaadwillende code op kernelniveau wordt geladen met volledige systeemrechten, waardoor codeondertekening als vertrouwensanker voor zowel beveiligingssoftware als besturingssysteemcomponenten wordt ondermijnd.
Aanbevolen actie: Breng de blootstelling aan codeondertekeningscertificaten in kaart binnen uw driver- en software-releaseproces en volg de best practices voor codeondertekening van Encryption Consulting om de bewaring van ondertekeningssleutels en de validatie van tijdstempels te versterken.
Deze week in één oogopslag
| Over bitcoindiploma | Categorie | Impact in de echte wereld |
|---|---|---|
| Aanklacht wegens ransomware tegen Barts Health NHS Trust | Gezondheidszorg / Ransomware | Vermoedelijke diefstal van 70 terabyte aan Britse patiëntengegevens, waaronder paspoorten en interne e-mails. |
| Azure AD is hernoemd naar Microsoft Entra ID. | Identity en Access Management | Geen functionele wijzigingen aan SSO/MFA; twee nieuwe beveiligde toegangsdiensten gaan in openbare preview. |
| Storm-0558 Microsoft Cloud e-mailinbreuk | Nationale staat / Cloudbeveiliging | Onopgemerkte, maandlange toegang tot e-mailaccounts van de overheid bij ongeveer 25 organisaties. |
| MOVEit/Cl0p-inbreuk via leverancier Majorel | Risico's van derden/leveranciers | Klantennamen en bankrekeningnummers gelekt bij vier grote Europese banken. |
| Vervalsing van Windows-stuurprogrammahandtekeningen | Codeondertekening / Malware | Het laden van stuurprogramma's op kernelniveau via vervalste handtekeningen, voornamelijk gericht tegen Chineessprekende doelwitten. |
Beperkingen
- Deze samenvatting is een selectie van openbaar gerapporteerde berichten uit de week van 10 tot en met 12 juli 2023, en geen volledig overzicht van alle incidenten op het gebied van gegevensprivacy of -beveiliging gedurende die periode.
- Alle feiten, citaten en cijfers zijn afkomstig van de hieronder genoemde externe bronnen (TechCrunch, BleepingComputer, The Verge, Cybernews, The Hacker News) en weerspiegelen de berichtgeving zoals die beschikbaar was op het moment van de oorspronkelijke publicatie in juli 2023.
- Sommige details, zoals het totale aantal organisaties dat getroffen is door het datalek Storm-0558, waren ten tijde van de berichtgeving niet bekend en zijn mogelijk sindsdien door de oorspronkelijke bronnen verduidelijkt.
- Deze reeks weerspiegelt het redactionele oordeel van Encryption Consulting over welke verhalen het meest relevant zijn voor beveiligings-, privacy- en compliance-teams, en is geen vervanging voor het rechtstreeks volgen van adviezen van leveranciers of wettelijke kennisgevingen die van invloed zijn op uw organisatie.
Veelgestelde Vragen / FAQ
Wat is er precies gebeurd bij het ransomware-incident bij Barts Health NHS Trust?
De ALPHV-ransomwarebende beweerde de Barts Health NHS Trust in het Verenigd Koninkrijk te hebben gehackt en 70 terabytes aan gegevens te hebben gestolen, waaronder paspoorten en vertrouwelijke e-mails. De trust onderzocht de claim medio juli 2023. Deze aanval volgde op een eerdere ransomware-aanval op de Universiteit van Manchester, waarbij al een dataset van de NHS met gegevens van 1.1 miljoen patiënten was blootgelegd.
Heeft de naamsverandering van Entra ID bij Microsoft de werking van Azure AD-beveiliging veranderd?
Nee. Microsoft heeft Azure Active Directory hernoemd naar Microsoft Entra ID, maar de kernfunctionaliteiten zoals single sign-on (SSO) en multi-factor authenticatie (MFA) zijn ongewijzigd gebleven. Tegelijk met de naamswijziging introduceerde Microsoft twee nieuwe services in openbare preview: Entra Internet Access en Entra Private Access, respectievelijk gericht op het beveiligen van internetgerichte en interne bedrijfsbronnen.
Wie werd getroffen door het Storm-0558 datalek in de Microsoft Cloud?
Een in China gevestigde groep, die bekendstaat als Storm-0558, heeft gedurende ongeveer een maand toegang gekregen tot e-mailaccounts van zo'n 25 organisaties, waaronder Amerikaanse en West-Europese overheidsinstanties, voordat de aanval werd ontdekt. ​​Microsoft heeft sindsdien maatregelen genomen om de situatie te verbeteren, maar de volledige lijst met getroffen organisaties is niet openbaar gemaakt.
Hoe bereikte het datalek bij MOVEit/Cl0p Deutsche Bank en andere banken?
Deutsche Bank, ING, Postbank en Comdirect werden indirect getroffen via Majorel, een gedeelde externe leverancier die betrokken was bij de bredere Cl0p MOVEit-aanval. De blootgestelde gegevens omvatten klantnamen en internationale bankrekeningnummers van klanten die in bepaalde periodes gebruik hadden gemaakt van een overstapservice, maar niet de volledige bankgegevens.
Meer van Data Privacy Weekly
Lees verder in de serie: Data Privacy Weekly, 1 juli 2023 (vorige editie) en Data Privacy Weekly, 27 juli 2023 (volgende editie).
Referenties
- TechCrunch: Britse hacks, publieke sector, ransomware voor de NHS
- BleepingComputer: Microsoft hernoemt Azure Active Directory naar Microsoft Entra ID
- The Verge: Beveiligingslek, China, e-mails van de Amerikaanse overheid, exploit in Microsoft Cloud
- Cybernieuws: Deutsche Bank, ING en Postbank getroffen door MOVEit-hack, Cl0p
- Hacker News: Hackers misbruiken een beveiligingslek in Windows-beleid.
