Is met dat cameradatalek die camera zelf nu ondeugdelijk geworden?

| AE 11505 | Security | 9 reacties

Een datalek bij de ‘slimme’ camera’s van merken Apexis en Sumpple treft 14.000 exemplaren in Nederland, meldde onder meer Tweakers en RTL. De database van de fabrikant waarop inloggegevens opgeslagen worden, is slecht beveiligd en de gebruikerswachtwoorden staan er in plaintext, waardoor praktisch iedereen kan meekijken bij willekeurige camera’s. Bepaald pijnlijk, laakbaar en juridisch zonder meer een datalek (en ja dat valt onder de AVG ondanks de Chinese vestigingsplaats), maar het riep ook de vraag op of je met die camera dan terug kan, het ding is immers niet conform de gewekte veiligheidsverwachtingen. Daar heb ik toch enige twijfels over.

RTL legt uit wat er misgegaan is:

Apexis, het moederbedrijf van Sumpple, bewaart de e-mailadressen en wachtwoorden van gebruikers in een [via internet toegankelijke] database. Het wachtwoord voor deze database is zo belabberd dat hij voorkomt in de lijst met slechtste wachtwoorden ooit. Het is daardoor voor kwaadwillenden kinderlijk eenvoudig om toegang te krijgen tot deze zeer gevoelige gegevens.

Dan kun je nog zo’n sterk wachtwoord kiezen, als een fabrikant dat zonder enige noemenswaardige beveiliging in een database noteert dan heb je natuurlijk alsnog nul beveiliging. En door de koppeling met emailadres is het dan leuk zoeken voor een aanvaller.

Die dienst is dus zo lek als een mandje, en ik zou er zeker voor zijn als de Europese importeur van deze gluurcamera’s een forse boete van de AP of bevoegde buitenlandse collega krijgt. Het is immers een datalek met impact, en omdat er structureel gegevens van Europeanen in die database gaat valt dat onder de Europese AVG ook al staat de server in China.

Mijn twijfel over of de camera ook nonconform is (in de zin dat je nu terug mag en herstel of vervanging eisen, art. 7:17 BW) is dat de camera zelf volgens mij niet slecht ontworpen of geprogrammeerd is. De fout zit in de dienst waarmee de camera via internet met de app communiceert, of beter gezegd met een daarbij behorende database. Betekent dat dat het apparaat zelf ook fout is? In het algemeen denk ik van niet, mijn televisie is ook niet ineens nonconform nu Ziggo het analoge TV signaal heeft gestaakt. Maar misschien hier toch wel, omdat apparaat en dienst onlosmakelijk met elkaar verbonden zijn. Maar ik blijf ermee worstelen, het voelt niet logisch om fouten in dienstverlening als nonconformiteit van een daarbij benodigd product aan te merken.

De Nederlandse overheid werkt samen met de Europese Commissie aan een keurmerk voor slimme apparaten, lees ik dan nog bij RTL. Dat komt er pas in 2021 en mij is nog steeds niet duidelijk wanneer iets a) een slim apparaat is en b) hoe dat keurmerk datalekken gaat voorkomen. Zit er een voorafgaande screening en analyse door TNO aan vast?

Arnoud

Deel dit artikel

  1. Mijn argument voor het retourneren zou zijn: Ik ben verantwoordelijk voor de veiligheid van de verzamelde beelden. Van mijn kant heb ik dat door o.a. een goed wachtwoord gedaan. Echter: Door de fout bij de dienstverlener, waarop ik geen invloed heb, kan ik de veiligheid van de beelden niet langer waarborgen. Daardoor kom ik eventueel in conflict met de AP, zelfs als nadien zou blijken, dat de fout niet aan mij te wijten is EN dat ik daarom geen boete kan krijgen, moet ik om dat aan te tonen wel kosten maken (werktijd etc.). Dit is niet wat men mag verwachten van dit camerasysteem, dus is het niet conform, dus hier heb je je spulletjes weer terug.

  2. Hij wordt verkocht met het argument ‘Slim” en die slimheid is alleen in de software te vinden dus is hij nu nonconform. En diesoftware is nu niet echt slim meer. Je hebt hem gekocht met een bepaalde verwachting, en die verwachting wordt met voeten getreden. Ik zie geen enkel probleem, vergoeden, zelfs een schadevergoeding omdat je veel het moeten doen ivm installatie (uitbesteed) en inlezen om hem te gebruiken, en weer nieuw aan moet schaffen. Want nu is mijn ‘baby’ onveilig. Je hebt ook geen twee aparte zaken gekocht maar één geheel. Dan moeten ze de service en de camera apart verkopen. En China of welk buitenland heeft er niets mee te maken, hij word in NL verkocht en de verkoper is aansprakelijk. Dat de verkoper het niet erg vind dat e.a. op buitenlandse databases word opgeslagen is voor zijn verantwoording en aansprakelijkheid. De klant moet onderzoek doen volgens nl wetgeving maar een verkoper ook en als hij daarna e.a. verkoopt met bepaalde argumenten is dat zijn verantwoording.

  3. De vraag is: is het product non-conform? Wanneer je een product opdeelt in hardware en software, dan is het product non-conform als die software non-conform is. Stel je hebt een product waarvan de hardware conform is en de software non-conform is. Kun je dan dat product conform maken door de software te plaatsen van het product naar de cloud? Zo ja, waarom?

    • Laten we eens naar een ander apparaat kijken. Volgens mij zou je een iPhone non conform noemen als Apple de appstore zou sluiten. Hetzelfde zou je zeggen met de playstore van Google bij een Android telefoon.

      Als consument verwacht je namelijk simpel en redelijk veilig apps te kunnen installeren op de telefoon. Dit zijn beide clouddiensten.

      Hier koop je mogelijk zelfs de camera omdat deze slim zou zijn. Nu dat behoorlijk dom lijkt te zijn en je wachtwoorden mag vervangen heb ik het idee dat het behoorlijk non conform is.

  4. In het algemeen wil ik stellen dat een cloud dienst die met de aankoop van een product meegeleverd wordt onderdeel is van de aankoop van het product. Je mag als koper dan ook conformiteit van de clouddienst verwachten. Als we de gebruikelijke regels van het consumentenrecht toepassen kan de leverancier na een klacht over non-conformiteit de clouddienst (laten) repareren en daarmee de conformiteit herstellen.

    Helaas is het lek van de wachtwoorden bij Apexis niet te herstellen; de gelekte wachtwoorden zijn ondertussen een “publiek geheim” geworden. Nu komt de vraag wie aansprakelijk is voor hoeveel schade aan de orde.

    • Nee , je bent niet de enige! Ik vraag mij dat al jaren af. En reden dat ik geen (vooral MS) cloud gebruik. Ik vond ineens al mijn inlog gevens ( van al mijn pc’s thuis) inclusief certificaten op OneDrive. Heb toen zelf nog een tijdje een schijfkoppeling gemaakt met Truecrypt. en later met Veracrypt maar dat wilden ze niet meer toestaan ivm ‘securiy’??? Vertrouwen in MS komt nooit meer terug. Zelfs als in Word een nieuw .doc aanmaakt weet MS dat, en dat word elke 2 uur geupdate 24/7.

    • Van elke dienst die je op internet afneemt wordt je wachtwoord opgeslagen. Dat wil nog niet zeggen dat de leverancier van die dienst kan meekijken omdat die wachtwoorden doorgaans versleuteld worden opgeslagen. En zelfs als dat zo is is dat géén garantie dat er niet gewoon admin-toegang tot de data mogelijk is.

      In het geval van deze camera denk ik dat het wachtwoord niet voor toegang tot de camera is, maar voor toegang tot de cloud-dienst waarmee je de beelden kunt bekijken.

      Ik zie trouwens niet hoe een jurist (die doorgaans de AVG een goed idee vindt) NIET de non-conformiteit ziet (wil zien) tussen deze camera en de bijbehorende toegang er toe via de lekke dienst.

Laat een reactie achter

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren en <em> en <strong> voor italics en vet.

(verplicht)

Volg de reacties per RSS