Testen jullie de beveiliging van de webshop waar je koopt?

[Pikoe]

*ik hoop dat dit het goede forum is voor dit topic*

Bij veel webshops waar ik spullen koop zet ik vraagtekens bij de beveiliging. Nu ben ik zelf niet gespecialiseerd in hacken, maar heb persoonlijk ondervonden dat met het simpel veranderen van een cijfertje in de url al best wat kan bereiken. (lees: facturen van anderen inzien, e-tickets van anderen krijgen)

Nu is dus mijn vraag of ik de enige ben die de beveiliging test van de webshops waar hij dingen koopt.

En zo niet, wat jullie bevindingen zijn.

[ Voor 11% gewijzigd door Pikoe op 19-08-2013 12:16 ]

[LnC]

Ik heb zelf geen ervaringen hiermee. Wat ik je wel kan aanraden is bij een webshop waar het mogelijk is om gegevens van anderen zijn in te zien, dit bijn hun aan te geven.
Veelal zijn ze je dankbaar dat je dit aan het licht brengt.

Mocht je dit niet willen doen onder je eigen naam, dan kan je er altijd nog voor kiezen om dit anoniem te doen.

[Pikoe]

Ja ik heb het nu de twee keren dat ik een lek vond gemeld, al was het alleen al om mijn eigen gegevens te beschermen.
Eerste keer een kadobon van 25€ gekregen en het tweede bedankje zou nu op de post moeten zijn.

[w4rguy]

Lijkt me een goed initiatief en zeker fijn om te weten. Ik wil je echter wel de risico's meegeven die je accepteert als je dit blijft doen. Volgens de wet is het namelijk strafbaar. Je benadert bestanden die niet voor jou bedoeld zijn, daarmee omzeil je een beveiliging en kun je in het ergste geval vervolgd worden voor hacking.

Ik weet het, erg krom want je probeert iets goeds te doen en je bent "ter goeder trouw" maar niet iedereen is het daar altijd mee eens...

[Compizfox]

w4rguy schreef op maandag 19 augustus 2013 @ 15:29:
Lijkt me een goed initiatief en zeker fijn om te weten. Ik wil je echter wel de risico's meegeven die je accepteert als je dit blijft doen. Volgens de wet is het namelijk strafbaar. Je benadert bestanden die niet voor jou bedoeld zijn, daarmee omzeil je een beveiliging en kun je in het ergste geval vervolgd worden voor hacking.

Volgens mij niet. Dat was juist het punt: Die webshops hebben geen beveiliging.

[photofreak]

Compizfox schreef op maandag 19 augustus 2013 @ 16:39:
[...]

Volgens mij niet. Dat was juist het punt: Die webshops hebben geen beveiliging.

Maar dan hoef je nog niet te bevestigen dat een webshop zijn beveiliging niet op orde heeft ...

Ook al zal het grootste deel van de webshops het waarderen, er zal altijd een klein deel zijn dat direct met aangifte dreigt en dan sta je niet zo sterk meer.

Ook al kan ik me het bijna niet voorstellen dat een apostrof in de url stoppen kan lijden tot een veroordeling. Nog steeds ga ik het niet proberen, als nog een beetje risicovol.

Helaas denken nog steeds genoeg webshops dat het gebruiken van een ssl certificaat een bescherming is tegen alles, terwijl de grootste probleem niet bij het aftappen ligt maar bij de software en configuratie draaiende op de webserver zelf.

[Compizfox]

Aangifte? Tegen wat, een gratis security audit? Kom op, geen rechter die dat serieus neemt. Al helemaal als het gaat om een id veranderen in de URL.

[psy]

@Compiizfox dus een huis zomaar binnenwandelen mag ook volgens jou als de deur niet op slot is?

ik zou er mee uitkijken.

"Per 1 september 2006 is de uit 1993 stammende wetgeving over computercriminaliteit of ook wel cybercrime ingrijpend veranderd. Met name is de definitie van computervredebreuk (soms ook wel "hacken" genoemd) uitgebreid: elk opzettelijk en wederrechtelijk binnendringen in computersystemen strafbaar, ook als daarbij geen beveiliging wordt gekraakt."

"De bekendste vorm van computercriminaliteit is het opzettelijk en wederrechtelijk binnendringen in een computersysteem of netwerk. Dit heet computervredebreuk (soms ook wel computerinbraak of hacken) en is een misdrijf. Hierop staat een straf van maximaal 1 jaar cel of geldboete van 16.750 euro (art. 138ab lid 1).
Onder de oude wetgeving was computervredebreuk alleen strafbaar wanneer een beveiliging werd doorbroken. Deze eis is komen te vervallen. Computerinbraak is nu strafbaar wanneer de dader wist dat hij op verboden terrein was."

[Compizfox]

Ik weet wel wat de wet is op dat gebied

Maar als je geen kwaad in zin hebt hoef je daar echt niet bang voor te zijn. Grote bedrijven zoals Google en Facebook loven zelfs grote geldprijzen uit voor mensen die lekken weten te vinden.

Wikipedia: White hat (computer security)

[begintmeta]

En wanneer weet je dat je op verboden terrein bent? Toch vooral vanwege borden/hekken etc.

[Pikoe]

Het zou inderdaad als computervredebreuk kunnen worden bestempeld, maar ik heb op zich nooit toegang gehad tot hun computer. Alleen klantgegevens die op straat lagen.
Mwah ik denk dat je niet echt fout zit als je de beveiliging van je eigen gegevens test. Ik doe het dan ook alleen bij bedrijven waar ik klant ben.
Iedereen die een beetje inzicht heeft zal wel snappen dat het verschrikkelijke anti-reclame is als je iemand die je helpt aanklaagt. Al helemaal als je eigenlijk zelf totaal fout zit.

[mrc4nl]

nou noem geen namen maar ik heb wel eens een webshop gehad die heel basic in elkaar zat.
en je in een formuliertje je telefoonnummer in moest voeren "voor de koerier" Dat was ik niet van plan en heb doodleuk "ga ik niet invullen" ingevuld. na submit bestelling was geslaagd. en ik kreeg doodleuk mijn bestelling binnen met mijn naam adres en als laatste regel "ga ik niet invullen"

ook heb je websites waarvan als je je wachtwoord vergeet die gewoon plaintext naar je toesturen
dat zegt al genoeg over de beveiliging

maar over de beveiliging testen, nee daar hou ik mij niet mee bezig. ik zou eerder zorgen maken over oplichting en dat de webshop slechte bedoelingen heeft dan dat de beveiliging ondermaat zou zijn.

[Tsurany]

Ik kan me er niet druk om maken, de webshop krijgt niet meer gegevens dan voor hun strikt noodzakelijk is. Liefst bestel ik artikelen onder een andere naam, dan hebben ze nog minder aan die gegevens. Dat iemand die gegevens dan in handen krijgt, tja, in een telefoonboek staan meer adressen.

[anandus]

Pikoe schreef op dinsdag 20 augustus 2013 @ 11:15:
Mwah ik denk dat je niet echt fout zit als je de beveiliging van je eigen gegevens test. Ik doe het dan ook alleen bij bedrijven waar ik klant ben.

Volgens mij blijft inbraak gewoon inbraak hoor

[Pikoe]

Soms heeft een webshop gewoon wel waardevolle informatie. Als je bijvoorbeeld een ticket koopt en hij laat die openbaar online staan. Dan wil je toch niet dat iemand anders ook dat ticket kan inzien en uitprinten?..

[mrc4nl]

Pikoe schreef op dinsdag 20 augustus 2013 @ 11:30:
Soms heeft een webshop gewoon wel waardevolle informatie. Als je bijvoorbeeld een ticket koopt en hij laat die openbaar online staan. Dan wil je toch niet dat iemand anders ook dat ticket kan inzien en uitprinten?..

hangt er een beetje vanaf, want soms word je naam op het ticket gezet en moet je je legitimeren.
(ns dagkaart,vliegtickets)

een ander zal dan niet jouw kaartje kunnen gebruiken

[ Voor 5% gewijzigd door mrc4nl op 20-08-2013 11:32 ]

[Standeman]

anandus schreef op dinsdag 20 augustus 2013 @ 11:28:
[...]
Volgens mij blijft inbraak gewoon inbraak hoor

Als mijn voordeur openstaat en iemand staat binnen op de deurmat en roept "hallo", is dan het ook gelijk huisvredebreuk?

Overigens, door een dergelijke fout, publiceert de webshop gewoon de gegevens op het internet en een publicatie is, tja, publiek.

[ Voor 18% gewijzigd door Standeman op 20-08-2013 11:37 ]

[W1LL3M]

Een kleine opstartende ticketservice waarbij ik andermans tickets kon inzien door middel van het aanpassen van de url heb ik dat netjes gemeld. Het bleek een debug functie te zijn die niet was uitgezet, want er zat wel een hash in de url, maar werd niet gecheckt.

Na een gesprekje met de directeur, die even wilde checken of er kwade bedoelingen waren, heb ik er toen tickets voor een festival aan overgehouden.

Meldt het, maak er geen misbruik van, en hopelijk wordt er iets mee gedaan, zo niet dan kun je het melden bij een eventueel webwinkel-keurmerk of het College bescherming persoonsgegevens (CBP). En misschien houd je er zelfs wat leuks aan over!

[ChojinZ]

Compizfox schreef op maandag 19 augustus 2013 @ 23:03:
Ik weet wel wat de wet is op dat gebied

Maar als je geen kwaad in zin hebt hoef je daar echt niet bang voor te zijn. Grote bedrijven zoals Google en Facebook loven zelfs grote geldprijzen uit voor mensen die lekken weten te vinden.

Wikipedia: White hat (computer security)

De intentie's van Henk Krol waren ook niet slecht:

http://blog.iusmentis.com...-journalistieke-hack-epd/

Overigens controleer ik nooit de webshops waar ik wat koop.

[ Voor 4% gewijzigd door ChojinZ op 20-08-2013 11:42 ]

[Pikoe]

ChojinZ schreef op dinsdag 20 augustus 2013 @ 11:42:
[...]


De intentie's van Henk Krol waren ook niet slecht:

http://blog.iusmentis.com...-journalistieke-hack-epd/

Overigens controleer ik nooit de webshops waar ik wat koop.

Ik ga dan ook niet als ik het gevonden heb nog eventjes door met zoeken tot ik sappige info heb.

[Hero of Time]

Als ik zoiets zou zien, zou ik het melden en het advies geven om een apart bedrijf in de arm te nemen om meer te vinden zodat ze hun klanten de veiligheid kunnen garanderen die ze claimen te geven. Ik heb bij een webwinkel ook eens aangemeld en kreeg plaint text m'n wachtwoord in de mail ter bevestiging dat ik mij had aangemeld. Vond ik niet zo fijn, dat gemeld maar werd vziw niet veel mee gedaan. Bij een ander had ik de wachtwoord vergeten optie gebruikt en kreeg hier ook plain text m'n wachtwoord terug, die ik toen had ingevuld, ipv een nieuwe. Ook gemeld dat dit uiterst onveilig is en mijn vertrouwen ernstig heeft geschaad. Nu weet ik niet meer welke winkel het precies was, hiervoor moet ik in m'n mail archief zoeken, maar ik vermeid die winkel nu.

Webwinkels hebben bij mij 1 kans. Als ze geen goede beveiliging hebben met het een en ander, dan kom ik er niet meer.

[w4rguy]

Toch grappig hoe te zien dat aannames als "ik had geen toegang tot hun computers" leiden tot de gedachte dat je geen strafbaar feit hebt gepleegd ten aanzien van artikel 138ab Sr.

Ik ben zelf werkzaam in de sector van penetratietesten en security audits. Voor de duidelijkheid: je hoeft geen toegang tot een desktop te hebben om computervredebreuk te plegen. Je hoeft ook geen beveiliging te doorbreken om een strafbaar feit te plegen, daar is de wet voor aangepast. Het gaat om het toegang verschaffen tot gegevens die niet voor jou bestemd zijn.

Er worden vaak vergelijkingen met huizen gedaan. Stel een huis heeft geen slot, geeft jou dat het recht om naar binnen te gaan? Het antwoord daarop is "Nee". Datzelfde geldt voor een website. Als je ziet dat het onveilig is, geeft jou dat het recht om informatie op te vragen die niet voor jou bestemd is? "Nee".

De reden hierachter is dat je niet van tevoren weet wat je krijgt te zien. Zeker met webshops heb je het bijna altijd om persoonsgegevens, en laat een rechter dat nou over het algemeen heel belangrijk vinden.

Hoe dan ook, er zijn weinig bedrijven die het niet erg vinden als je goede bedoelingen hebt, maar niet iedereen is zo. Je hoeft maar één keer tegen de verkeerde aan te lopen en je hebt zo een aangifte aan je broek. De 750 euro boete die Henk Krol heeft gekregen is niet veel, maar je krijgt er gratis en voor niets een strafblad bij .

Trouwens, als we het over aangifte en vervolgen hebben, er zit nog een belangrijk aspect aan vast. Aangifte is bij dit soort zaken niet de enige manier om over te gaan tot vervolging. Het OM kan namelijk zelf besluiten om vanuit maatschappelijk belang te vervolgen. Stel dat je een factuur hebt geopend van Pietje Puk dan mag Pietje Puk ook aangifte doen en kun je ook vervolgd worden.

Oftewel, lastig parket... Wel interessant onderwerp

[LnC]

En wat nou als je met de betreffende webwinkel in contact treed en het hele verhaal meld en daarbij je ip adres geeft zodat ze zelf kunnen zien in de logs dat je niks "fout" hebt gedaan. Mijn inziens zou dat een mooie insteek zijn om zo aan te kloppen bij het bedrijf. Je geeft aan dat er iets fout zit in de webpagina en je laat zien dat je geen kwade zin hebt.

[Pikoe]

w4rguy schreef op dinsdag 20 augustus 2013 @ 11:54:
Toch grappig hoe te zien dat aannames als "ik had geen toegang tot hun computers" leiden tot de gedachte dat je geen strafbaar feit hebt gepleegd ten aanzien van artikel 138ab Sr.

Ik ben zelf werkzaam in de sector van penetratietesten en security audits. Voor de duidelijkheid: je hoeft geen toegang tot een desktop te hebben om computervredebreuk te plegen. Je hoeft ook geen beveiliging te doorbreken om een strafbaar feit te plegen, daar is de wet voor aangepast. Het gaat om het toegang verschaffen tot gegevens die niet voor jou bestemd zijn.

Er worden vaak vergelijkingen met huizen gedaan. Stel een huis heeft geen slot, geeft jou dat het recht om naar binnen te gaan? Het antwoord daarop is "Nee". Datzelfde geldt voor een website. Als je ziet dat het onveilig is, geeft jou dat het recht om informatie op te vragen die niet voor jou bestemd is? "Nee".

De reden hierachter is dat je niet van tevoren weet wat je krijgt te zien. Zeker met webshops heb je het bijna altijd om persoonsgegevens, en laat een rechter dat nou over het algemeen heel belangrijk vinden.

Hoe dan ook, er zijn weinig bedrijven die het niet erg vinden als je goede bedoelingen hebt, maar niet iedereen is zo. Je hoeft maar één keer tegen de verkeerde aan te lopen en je hebt zo een aangifte aan je broek. De 750 euro boete die Henk Krol heeft gekregen is niet veel, maar je krijgt er gratis en voor niets een strafblad bij .

Trouwens, als we het over aangifte en vervolgen hebben, er zit nog een belangrijk aspect aan vast. Aangifte is bij dit soort zaken niet de enige manier om over te gaan tot vervolging. Het OM kan namelijk zelf besluiten om vanuit maatschappelijk belang te vervolgen. Stel dat je een factuur hebt geopend van Pietje Puk dan mag Pietje Puk ook aangifte doen en kun je ook vervolgd worden.

Oftewel, lastig parket... Wel interessant onderwerp

Als die persoonsgegevens echt zo belangrijk zijn. Waarom klaag ik dan die webshop niet aan omdat ze onzorgvuldig met mijn gegevens omspringen.

[w4rguy]

LnC schreef op dinsdag 20 augustus 2013 @ 12:12:
En wat nou als je met de betreffende webwinkel in contact treed en het hele verhaal meld en daarbij je ip adres geeft zodat ze zelf kunnen zien in de logs dat je niks "fout" hebt gedaan. Mijn inziens zou dat een mooie insteek zijn om zo aan te kloppen bij het bedrijf. Je geeft aan dat er iets fout zit in de webpagina en je laat zien dat je geen kwade zin hebt.

omdat het wetsartikel daar geen rekening mee houdt. Het wetsartikel spreekt van "willens en wetens", oftewel, je weet wat je wilt bereiken en kent de gevolgen daarvan (bewust handelen). Het artikel kent geen uitsluiting voor de "goeder trouw", wat bijvoorbeeld bij heling wel sprake van is.

Pikoe schreef op dinsdag 20 augustus 2013 @ 12:14:
[...]

Als die persoonsgegevens echt zo belangrijk zijn. Waarom klaag ik dan die webshop niet aan omdat ze onzorgvuldig met mijn gegevens omspringen.

Omdat je het dan hebt over een civiele procedure, en geen strafzaak. Een civiele procedure heeft geen zin als je geen aantoonbare schade geleden hebt. Het enige wat je daarmee bereikt is een berg aan advocaatkosten en dat het bedrijf wordt gemaand de beveiliging te verbeteren. Kost je alleen wat

Don't get me wrong, ik denk ook dat er iets moet veranderen in de wetgeving zoals die er nu is. Minister Opstelten heeft een richtlijn gemaakt waarbij "white hat hackers" niet zomaar vervolgd zullen worden. Het lijkt er echter op dat het OM die richtlijn naast zich heeft gelegd omdat het de wet op wil volgen. De minister weigert om een wet te ontwikkelen die "white hat hackers" uitsluit van vervolging omdat het te lastig is om aan te geven wie nou een white-hat is en wie black-hat.

Overigens, als een website/bedrijf een beleid heeft opgesteld met betrekking tot Responsible Disclosure, dan zit je wel goed. Bedrijven als FaceBook, Google en ook Marktplaats hebben zo'n beleid. Zij belonen je als je een lek aanmeld bij hen. Vaak hebben zij in het beleid opgenomen dat zij jou niet zullen aangeven voor computervredebreuk. Enige nadeel is dat je dan nog steeds het OM te vrezen hebt vanwege het maatschappelijke belang en de andere eindgebruikers die schade kunnen ondervinden.

[Foxl]

w4rguy schreef op dinsdag 20 augustus 2013 @ 11:54:
Er worden vaak vergelijkingen met huizen gedaan. Stel een huis heeft geen slot, geeft jou dat het recht om naar binnen te gaan? Het antwoord daarop is "Nee". Datzelfde geldt voor een website. Als je ziet dat het onveilig is, geeft jou dat het recht om informatie op te vragen die niet voor jou bestemd is? "Nee".

Ik vind die vergelijking altijd vrij krom, van een woonhuis weet je per definitie dat dit privégebied is, internet is juist gemaakt om te "surfen", dus kun je er niet meteen vanuit gaan dat je ergens niet mag komen. Als je het dan toch wil vergelijken; Je hebt b.v. een kantoor in een omgebouwde winkel, midden in een drukke winkelstraat. Is het dan vreemd dat er zo nu en dan iemand per vergissing binnenloopt, er van uitgaande dat het pand een winkel, en dus publiekelijk toegankelijk, is?

[Verwijderd]

Ik merk wel vaak bij webshops dat ik mijn wachtwoord gewoon in plaintext toegestuurd krijg. Een beetje fatsoenlijke winkel hasht het wachtwoord toch gelijk en zou, in principe, nooit toegang moeten hebben tot mijn wachtwoord toch?

[w4rguy]

Foxl schreef op dinsdag 20 augustus 2013 @ 12:30:
[...]

Is het dan vreemd dat er zo nu en dan iemand per vergissing binnenloopt, er van uitgaande dat het pand een winkel, en dus publiekelijk toegankelijk, is?

Nee, en dat is bij een website dus ook niet strafbaar. Maar dan heb je het over "per vergissing". In dit topic hebben we het niet over het "per vergissing" testen van de beveiliging. We hebben het over het bewust proberen binnen te komen

[psy]

Foxl schreef op dinsdag 20 augustus 2013 @ 12:30:
[...]

Ik vind die vergelijking altijd vrij krom, van een woonhuis weet je per definitie dat dit privégebied is, internet is juist gemaakt om te "surfen", dus kun je er niet meteen vanuit gaan dat je ergens niet mag komen. Als je het dan toch wil vergelijken; Je hebt b.v. een kantoor in een omgebouwde winkel, midden in een drukke winkelstraat. Is het dan vreemd dat er zo nu en dan iemand per vergissing binnenloopt, er van uitgaande dat het pand een winkel, en dus publiekelijk toegankelijk, is?

TS heeft het over "het simpel veranderen van een cijfertje in de url"
dat staat natuurlijk gelijk aan wat deuren uitproberen he dat is geen toeval meer "hé, die deur is open, wat raar"

[ Voor 3% gewijzigd door psy op 20-08-2013 12:37 ]

[Pikoe]

Even een vervolgvraag.

Nu heb ik dus een webshop waar ik een lek vond. Dat lek hebben ze gedicht. (ik vond overigens net nog eenzelfde lek bij die shop en weer gemeld, maar dat niet terzake)
Nu is er de nieuwe toch wetgeving van toepassing die het verplicht datalekken te melden? Ik ben daar persoonlijk zeer groot voorstander van, maar als ik het bedrijf dwing het naar buiten te brengen is het dan chantage? En ik was volgens de wet onduidelijk bezig, is het dan wel slim zoiets aan te kaarten bij het bedrijf omdat ze me anders misschien gaan aanklagen?
Wat denken jullie hierover?

[ Voor 54% gewijzigd door Pikoe op 22-08-2013 03:49 ]

[OmeJoyo]

Hoezo was je volgens de weet onduidelijk bezig?

[Pikoe]

OmeJoyo schreef op donderdag 22 augustus 2013 @ 03:47:
Hoezo was je volgens de weet onduidelijk bezig?

Ik zat op content die niet voor mij bedoeld was, dat is officieel computervredebreuk. Ookal had ik absoluut geen verkeerde bedoelingen en heb ik het meteen gemeld etc. Ik zat volgens de wet zegmaar in een grijs gebied.


Wat ik me nu trouwens opeens bedenk: Als ik het lek niet meld volgens de datalek-wet, wordt ik dan niet opeens medeplichtig aan het verborgen houden van het datalek?

[ Voor 12% gewijzigd door Pikoe op 22-08-2013 03:51 ]

[WhizzCat]

Pikoe schreef op donderdag 22 augustus 2013 @ 03:50:
[...]

Ik zat op content die niet voor mij bedoeld was, dat is officieel computervredebreuk. Ookal had ik absoluut geen verkeerde bedoelingen en heb ik het meteen gemeld etc. Ik zat volgens de wet zegmaar in een grijs gebied.


Wat ik me nu trouwens opeens bedenk: Als ik het lek niet meld volgens de datalek-wet, wordt ik dan niet opeens medeplichtig aan het verborgen houden van het datalek?

Geld dat laatst niet alleen voor overheidsinstanties en ambtenaren enzo? Zou wel krom zijn als dat niet zo is, maar ja, er is wel meer krom in NL

Ik bestel lekker bij webshops en af en toe krijg ik ook wel eens een plain tekst pwd opgestuurd. Daar heb ik dus wel een speciaal zootje pwd's voor. De betalingen doe ik óf via PayPal óf iDeal (voorkeur voor PayPal) en daarvan mag je toch enigszins uitgaan van het feit dat ze hun zaakjes op orde hebben. Anders waren ze ook nooit zo groot geworden

Voor de rest zitten de meeste "hacks" nog altijd op de interface tussen het scherm en de stoel

[w4rguy]

Pikoe schreef op donderdag 22 augustus 2013 @ 03:50:
[...]

Ik zat op content die niet voor mij bedoeld was, dat is officieel computervredebreuk. Ookal had ik absoluut geen verkeerde bedoelingen en heb ik het meteen gemeld etc. Ik zat volgens de wet zegmaar in een grijs gebied.


Wat ik me nu trouwens opeens bedenk: Als ik het lek niet meld volgens de datalek-wet, wordt ik dan niet opeens medeplichtig aan het verborgen houden van het datalek?

Je bevond je niet in een grijs gebied, je pleegde simpelweg computervredebreuk. Je geeft zelf aan dat je goede bedoelingen had en de webshop heeft eerder je bevindingen opgelost dus ik zou me in dat geval niet zo een zorgen maken. Houd er dus wel rekening mee dat het OM kan vervolgen vanuit het maatschappelijke belang (als je bijvoorbeeld een grote webshop hackt) en de eventuele slachtoffers kunnen ook aangifte doen.

Overigens, is er geen datalek-wet. Er is een meldplicht voor bedrijven. Die meldplicht is voor alle bedrijven in Nederland geldig.. De meldplicht datalekken is nog een wetsvoorstel. De wet houdt in dat als je weet dat je gehackt bent of gegevens verloren bent, je dat meld bij het Nationaal Cyber Security Centrum (NCSC). Overigens staan er geen sancties op als je het niet doet, en niemand die controleert of je dat wel doet. Het NCSC wil simpelweg geen politietaak maar een ondersteunende taak. De meldingen die zij binnen krijgen gebruiken zij om andere bedrijven te helpen bij mogelijk vergelijkbare hacks.
bron: http://webwereld.nl/bevei...ten-cyberaanvallen-melden

**edit**
misschien wel handig om het artikel voor computervredebreuk even er bij te pakken in dit topic

Artikel 138ab
1. Met gevangenisstraf van ten hoogste een jaar of geldboete van de vierde categorie wordt, als schuldig aan computervredebreuk, gestraft hij die opzettelijk en wederrechtelijk binnendringt in een geautomatiseerd werk of in een deel daarvan. Van binnendringen is in ieder geval sprake indien de toegang tot het werk wordt verworven:
a. door het doorbreken van een beveiliging,
b. door een technische ingreep,
c. met behulp van valse signalen of een valse sleutel, of
d. door het aannemen van een valse hoedanigheid.

2. Met gevangenisstraf van ten hoogste vier jaren of geldboete van de vierde categorie wordt gestraft computervredebreuk, indien de dader vervolgens gegevens die zijn opgeslagen, worden verwerkt of overgedragen door middel van het geautomatiseerd werk waarin hij zich wederrechtelijk bevindt, voor zichzelf of een ander overneemt, aftapt of opneemt.

3. Met gevangenisstraf van ten hoogste vier jaren of geldboete van de vierde categorie wordt gestraft computervredebreuk gepleegd door tussenkomst van een openbaar telecommunicatienetwerk, indien de dader vervolgens a. met het oogmerk zichzelf of een ander wederrechtelijk te bevoordelen gebruik maakt van verwerkingscapaciteit van een geautomatiseerd werk; b. door tussenkomst van het geautomatiseerd werk waarin hij is binnengedrongen de toegang verwerft tot het geautomatiseerd werk van een derde.

[ Voor 35% gewijzigd door w4rguy op 22-08-2013 09:15 ]

[Verwijderd]

Wat w4rguy zegt. Het aanpassen van een URL of zelfs een verkeerde karakter intypen waardoor (bijv.) een foutmelding komt, kan al worden gezien als een hack/aanval. Gevaarlijk terrein, want als je het meld moet je uitgaan van een brief van een advocaat en niet op een bedankje. Of het goed of slecht bedoeld is, daar ziet de huidige wet géén verschil in. Als jij de deurdrempel oversteekt maakt het niet uit of je de deur open heb geblazen met lucht, of met een stuk explosief. Het mag gewoonweg niet.

De RD's die nu op steeds meer (meestal grote, internationale/USA) websites zijn te vinden, geven (white-hat) hackers in vrijwel alle gevallen een zekerheid dat er geen aangifte word gedaan, mits het via de 'spelregels' wordt gedaan. Niet verder dan daadwerkelijk nodig, geen user-data ophalen/verspreiden.

Neemt niet weg dat ik overigens gewoon test. Als ik binnen de minuut een SQL/XSS-injectie tegenkom (en je wilt niet weten hoe vaak dat nog steeds voorkomt..) ben ik weg. Moed beetje opgegeven qua meldingen versturen..

[iisschots]

Wat je beter kan doen in dat soort gevallen is contact zoeken met een journalist en deze de comminucatie laten doen. Dan bouw je een stuk veiligheid in. Binnen Tweakers kun je het beste contact zoeken met: joost

[Pikoe]

iisschots schreef op donderdag 22 augustus 2013 @ 12:40:
Wat je beter kan doen in dat soort gevallen is contact zoeken met een journalist en deze de comminucatie laten doen. Dan bouw je een stuk veiligheid in. Binnen Tweakers kun je het beste contact zoeken met: joost

Moet je alleen niet vergeten 'in te breken' via TOR.

[begintmeta]

Ik vind de analogie tussen een 'url opvragen' en 'ergens binnenlopen' niet helamaal passend, het is eerder 'ergens aanbellen'

[Pikoe]

begintmeta schreef op donderdag 22 augustus 2013 @ 14:26:
Ik vind de analogie tussen een 'url opvragen' en 'ergens binnenlopen' niet helamaal passend, het is eerder 'ergens aanbellen'

Ik zou het dan eerder zien als begluren. Aangezien ik data zie die ik zou kunnen misbruiken.

[w4rguy]

begintmeta schreef op donderdag 22 augustus 2013 @ 14:26:
Ik vind de analogie tussen een 'url opvragen' en 'ergens binnenlopen' niet helamaal passend, het is eerder 'ergens aanbellen'

Ergens aanbellen is vergelijkbaar met een poortscan. Dat wordt verstaan onder de voorbereiding van een strafbaar feit en dat is an sich niet strafbaar. Voorbereidingen zijn pas strafbaar bij misdrijven die gericht zijn tegen de integriteit van het leven van een mens. Oh en terroristische aanvallen zijn ook bij voorbereiding al strafbaar (ik meen dat de maximumstraf bij voorbereiding wel wordt gereduceerd tot 2/3e van de normale maximumstraf).

Wat ook wordt aangegeven is het spelen via een journalist. Aan de ene kant, goed, maar maak juiste afspraken! Een journalist is tot zekere hoogte vrijgesteld van vervolging omdat hij het recht heeft op vrije nieuwsvergaring. Houd er echter wel rekening mee dat een journalist niet zomaar de informatie op internet moet zetten, voordat contact is gezocht met de partij waar het lek is gevonden.

[begintmeta]

Ergens aanbellen (of een url opvragen) is IMHO mijlenver verwijderd van het voorbereiden van een strafbaar feit, ook is een poortscan wel wat anders dan ergens aanbellen, bij een poortscan onderzoek je systematisch alle toegangswegen tot een huis.

Pikoe, als je een url opvraagt begluur je niet, wat het gevolg is van het url-opvragen/aanbellen ligt volledig in de hand van de url-beheerder.

Maar goed huis-analogieën zijn misschien even zinloos als auto-analogieën

[ Voor 37% gewijzigd door begintmeta op 22-08-2013 15:13 ]

[Pikoe]

begintmeta schreef op donderdag 22 augustus 2013 @ 15:10:
Ergens aanbellen (of een url opvragen) is IMHO mijlenver verwijderd van het voorbereiden van een strafbaar feit, ook is een poortscan wel wat anders dan ergens aanbellen, bij een poortscan onderzoek je systematisch alle toegangswegen tot een huis.

Pikoe, als je een url opvraagt begluur je niet, wat het gevolg is van het url-opvragen/aanbellen ligt volledig in de hand van de url-beheerder.

Maar goed huis-analogieën zijn misschien even zinloos als auto-analogieën

Ik heb dus een ticketsite waar ik mijn ticket krijg met www.site.nl/ticket/1
Nu pas ik het cijfer aan, een bewuste poging een ander ticket te zien, www.site.nl/ticket/2, niet op een link van hen geklikt, bewust ticket van een ander opgevraagd -> computervredebreuk.
Je begluurt dus eigenlijk, en de site is zo stom om zijn gordijn open te hebben staan.

Maar de beheerder van de site beseft zelf gelukkig ook wel dat deze fout ZÓ dom is dat hij me maar beter kan bedanken. Als een fout als dit naar buiten komt kan je denk ik even goed je bedrijf opdoeken..

[ Voor 4% gewijzigd door Pikoe op 22-08-2013 15:25 ]

[Verwijderd]

iisschots schreef op donderdag 22 augustus 2013 @ 12:40:
Wat je beter kan doen in dat soort gevallen is contact zoeken met een journalist en deze de comminucatie laten doen. Dan bouw je een stuk veiligheid in. Binnen Tweakers kun je het beste contact zoeken met: joost

'voordeel' van de journalistiek inderdaad

Programmeurs die overigens niet snappen dat ze naast nee ticket_id ook nog moeten controleren op een user_id maken imho de grootste basis fout die er is

[begintmeta]

Pikoe schreef op donderdag 22 augustus 2013 @ 15:24:
... een bewuste poging een ander ticket te zien, ...

Dit maakt het anders, zo is het bewust aanbellen om eventueel huisvredebreuk te gaan plegen. maar dergelijke kleine verschillen kunnen ook typefouten zijn, dan is het gewoon bij het verkeerde numer aanbellen.

[ Voor 18% gewijzigd door begintmeta op 22-08-2013 20:05 ]

[w4rguy]

begintmeta schreef op donderdag 22 augustus 2013 @ 20:05:
[...]

Dit maakt het anders, zo is het bewust aanbellen om eventueel huisvredebreuk te gaan plegen. maar dergelijke kleine verschillen kunnen ook typefouten zijn, dan is het gewoon bij het verkeerde numer aanbellen.

Eens, maar daar hebben we het niet over in dit topic .

[iisschots]

Vind de vergelijking op zich wel een beetje passen. Of het juridisch stand houd is weer vraag twee.