Cybercriminelen kunnen heel eenvoudig klantgegevens van bewindvoerders buitmaken, aldus RTL Nieuws maandag. Daardoor kunnen persoonsgegevens van mensen met financiële problemen, een groep die extra kwetsbaar is voor fraude en uitbuiting, in verkeerde handen vallen. Het gevaar schuilt in slecht beveiligde oude e-mailadressen.
De aanleiding voor het onderzoek was het Odido-datalek, waarbij ethisch Hacker Wesley Neelen zag dat “veel mensen het e-mailadres van hun bewindvoerder gebruiken”. Niet raar als je onder bewind staat. En inderdaad een groep die extra kwetsbaar is voor criminelen die ze “snel extra geld verdienen” voorhouden.
Het echte probleem is echter diepen, zoals Neelen toelicht:
Deze mailadressen waren alleen niet meer in gebruik, en met een druk op de knop kon hij de website en bijbehorende mailbox registreren en overnemen: “Technisch gezien is het heel makkelijk. Ik stond ervan te kijken dat er nog zo veel e-mails binnenkwamen terwijl de inbox al een tijd niet meer in gebruik is.”Dit probleem is an sich niet nieuw; elke paar jaar zie ik wel een nieuwsbericht of onderzoek dat gevoelige mails kunnen worden onderschept als je een oud domein van [organisatie X|bedrijven in branche Y|overheid Z] registreert en een catchall mailadres inricht. De impact is natuurlijk wel groot als dit écht een malafide partij is.
De onderliggende reden waar we het écht over moeten hebben, is de gedachte dat je oude domeinnamen opheft. Waarom? Ik citeer weer even RTL:
Veel bewindvoerders zijn de afgelopen jaren gefuseerd of overgenomen door andere organisaties. De bewindvoerder moet zijn eigen website en e-mailbox, zoals @bewindvoerder .nl, beveiligd afsluiten om misbruik te voorkomen. Dat kost ongeveer tien euro per jaar. Veel bewindvoerders betalen die kosten niet en laten de domeinnaam van hun website verlopen.Dat “beveiligd afsluiten” wil zoveel zeggen als de domeinnaam actief houden maar zorgen dat alle mails teruggestuurd worden met een autoreply of een technische foutmelding. Dit is op zich een eenmalige moeite, en dat tientje per jaar is vooral de administratieve overhead van de betrokken partijen.
Misschien wordt het tijd voor een nieuwe AVG-meme: domeinnamen opheffen mag niet van de AVG, want het veroorzaakt datalekken wanneer (niet als) ze door een ander worden geregistreerd. En de kostenbatenanalyse valt zó duidelijk in het voordeel van “geregistreerd houden” uit, dat ik geen tegenargument meer weet.
Arnoud
Helemaal mee eens, maar wie gaat dat regelen als de bewindvoerder ZZPer is en komt te overlijden? Ligt er dan een eeuwige claim op de erfenis?
Hoe dan om te gaan met domeinen die bewust verkocht worden? Als je daar hetzelfde argument doorzet betekent dat defacto dat een domein naam nóóit meer doorgegeven kan worden.
Nooit is nooit een argument. Garandeer maar gewoon dat bij verkoop er geen mailverkeer naar dat domein te verwachten valt. Durf je dat niet? Dan is het nog te vroeg. Jouw commerciële belang weegt niet op tegen gegevensbescherming van nota bene jóuw klanten en relaties, waar jij nul maatregelen bij nam om ze te dwingen naar je nieuwe domein te mailen.
Dat is toch nooit te garanderen? Je kunt 10 jaar lang een autoreply sturen ‘Wij zijn verhuisd van info@jansen.nl naar info@jansen-autogarage.nl.’ En dan nog is het aannemelijk dat klanten je in jaar 11 gaan mailen op info@jansen.nl als die dat 12 jaar geleden ook al eens heeft gedaan en dat email adres dus in zijn contacten heeft staan.
Klopt, maar de impact wordt wel steeds kleiner. Je mag opheffen, maar je krijgt een boete voor iedere mail die nog binnenkwam.
Hoe zou het anders moeten? Ik ben zelf wel voor een totaalverbod maar dat mag dan ook weer niet.
Je zou ook kunnen zeggen dat de verzender van een e-mail zelf verantwoordelijk is voor het verifiëren of dat nog het juiste e-mail is.
Volgens mij werkt het in de fysieke wereld niet anders. Autogarage Jansen kan ook verhuizen van de kerkstraat 1 naar de kloosterlaan 54. Dan is het toch ook aan de verzender van een brief om het huidige adres van Autogarage Jansen te verifieren. Én dan nog zullen er brieven voor Autogarage Jansen aankomen bij kerkstraat 1. Maar dat is schijnbaar al decennia geen enkel probleem.
In de fysieke wereld sturen we verhuisberichten, kunnen we PostNL vragen de post voor een paar weken automatisch door te sturen en is het mogelijk om aan de nieuwe “bewoner” te vragen de post voor de oude bewoner op een stapeltje te leggen en die af en toe op te halen.
Maar we gebruiken in de fysieke wereld enveloppen voor vertrouwelijke zaken. Email zonder PGP is als een briefkaart. Mogen zaken die je in de fysieke wereld niet op een briefkaart mag of wilt versturen wel onversleuteld via email verstuurd worden?
Een relevant verschil met gewone adressen zijn de kosten van het overnemen van het adres. Een verlopen domein koop je voor een schijntje, maar als je daadwerkelijk kerkstraat 1 wilt kopen ben je een paar ton of miljoen verder. Daarmee is het veel aantrekkelijker voor kwaadwillenden om een gokje te doen op interessante post op een domeinnaam dan op een fysiek adres, waardoor de kans op misbruik in de tweede situatie ook een stuk kleiner is.
Het gaat niet alleen om commerciele belangen bij de latende eigenaar. Er zal nog heel wat mail zijn gegaan naar bijvoorbeeld @MikeRoweSoft.com
Maar goed, uitzonderingen io uitzonderingen zijn altijd te bedenken. MS zal er geen probleem mee hebben gehad om al die mails te bouncen.
Goed idee. De organisatie waar ik werk bewaart voor zover ik weet ‘altijd al’ alle in onbruik geraakte domeinen. Ik zou zelf het liefst nog een stapje verder gaan: alleen mail @organisatieX.nl en subdomeinen *.organisatieX.nl en organisatieX.leverancier.com. Dan heb je dit probleem al een stuk minder.
Dezelfde lekken en problemen bestaan bij heruitgifte/hergebruik van emailadressen door mailproviders, telefoonnummers, accounts/handles voor sociale media, persoonsgebonden emailadressen in bedrijfsdomeinen.
Ik vind hier wel een mooie taak voor de registrar of hosting provider liggen: een sundown-service waar je bij opzeggen een vast bedrag betaalt en voor X jaar je domein niet verkocht wordt
Dergelijke opties zijn al wel te vinden en anders op aanvraag vaak genoeg mogelijk. Maar dan moet iemand die kosten wel willen betalen voor die jaren een registratie aanhouden zonder te gebruiken.
De enige optie die ik zie zou een lijst met domeinen zijn die nadat ze opgeheven zijn nooit meer geregistreerd zouden mogen worden. Dus als ik pietjepuk.nl geregistreerd heb en opzeg, dat geen enkele provider dat domein opnieuw uit mag geven, of wellicht dat een domein pas na x jaar opnieuw geregistreerd kan worden. Maar goed, hoe ga je dat wereldwijd afdwingen voor grote TLD’s…
Elke oplossing die je bij de registrant neerlegt gaat tegen issues aanlopen bij faillissement, overlijden, etc. Hetzelfde issue geldt volgens mij overigens ook bij het heruitgeven van mobiele telefoonnummers, zeker met zaken als WhatsApp en MFA in het achterhoofd.
Ok, ik zie dat het bedrijf foobar.com snel aan populariteit aan het winnen is in de VS en ik verwacht dat ze in de toekomst naar Nederland komen. Ik registreer foobar.nl voor een jaar en hef het dan op. En vervolgens heeft het bedrijf een enorme handicap iom de Nederlandse markt op te komen.
Hoe is dat anders dan domeinsquatters die nu ook het domein registreren en het alleen voor absurd veel geld willen verkopen aan het bedrijf wat de naam wil hebben?
Enige verschil is hooguit dat het dan gratis is om de naam bezet te houden in plaats van een tientje per jaar.
Klopt, maar dat is hetzelfde als iemand anders je gewenste domein geregistreerd heeft en het niet op mag zeggen, waar Arnoud het in zijn post over heeft. De achterliggende gedachte is mail die niet bij een andere partij terecht mag komen, dus het domein overdragen kan in dat geval net zo min.
SIDN stuurt de laatste jaren herinneringen als er nog mailverkeer is op een domeinnaam dat in quarantaine staat.
Het moet natuurlijk wel mogelijk zijn om domeinnamen over te dragen aan een andere organisatie. Niet alle domeinnamen doen ook email, bij zogenaame “ijdelheidsdomeinen” (denk aan “debesteloodgieterinjuinen.nl” die niets anders doet dan je verzoek redirecten naar loodgieterjansen.nl”, of “voordeligautoleasen.nl” dat je naar de private-lease pagina op de site van een autofabrikant redirect) is er verder weinig gevaar als zo’n domein niet gebruikt is om email te versturfen of authenticatie af te handelen.
Dus als de oude eigenaar akkoord is met het overdragen van een domein dan is er geen probleem.
Het enige probleem zit hem er in als zo’n domein wel actief gebruikt werd en de registratie daarna verloopt. Het domein enige tijd “deprecated” of “idle” houden en alle mail bouncen is dan inderdaad een goed idee, maar wie moet het regelen en betalen? Wat als er geen erfgenaam is?
Misschien is het een goed idee om bij de registratie een soort borg in rekening te brengen waarmee, als de registratie verloopt, de registrar het enige tijd idle kan houden. Als het domein op de nette manier wordt overgedragen krijg je natuurlijk wel je borg terug.
Veel langer dan een jaar zou het ook niet hoeven duren. Voor altijd en eeuwig vind ik veel te lang. We accepteren deze problemen ook bij fysieke verhuizingen en telefoonnummers, en van sommige domeinen is het ook vervelend als die nooit meer gebruikt zouden kunnen worden omdat iemand ooit 20 jaar geleden in een opwelling dat domein heeft geregistreerd en er nooit wat mee heeft gedaan.
Het tegenargument is een faillisement van de domein-eigenaar. Of het overlijden van een eigenaar, als het een klein bedrijf betreft. Zo heb ik het domein van een vorige werkgever kunnen overnemen nadat deze failliet ging. En een domein van een overleden radio-presentator.
Het domein van mijn ex-werkgever was goed gesaneerd en daar kwam eigenlijk alleen nog spam op, op de mailboxen van drie collegas. Van een bedrijf dat ooit 50 medewerkers had, valt dat dus mee.
Het domein van die radio-man was echter nog gekoppeld aan enkele sociale media, waaronder Twitter. Omdat ik geen contact kon maken met de nabestaanden, en deze ook verder niets hadden geregels, waren die accounts nu opeens van mij, min of meer. Ik kreeg spam van die accounts, dus even via “wachtwoord vergeten” ingelogd en de accounts verwijderd zonder naar de inhoud te kijken. Dat ging het snelste, omdat die bedrijven gewoon niet reageerden.
En zodiende ben ik dus al ruim 12 jaar op de hoogte van dit soort problemen met domeinnamen. En dus ook de domeinnamen op mijn eigen naam, waar mijn mailbox op staat. Maar ik ben geen bewindvoerder.
Dus de vraag is of een bewindvoerder zelf failliet kan gaan. Of dat deze ophoudt te bestaan in geval van overlijden. Veel van die bewindvoerders zijn kleine bedrijfjes met vijf og minder medewerkers. Soms selfs alleen de bewindvoerder. Er zijn enkele middelgrote kantoren tot 20 medewerkers en een paar die nog groter zijn. De aanname is dat een enkele beheerder zo’n 60 klanten kan beheren, zonder assistent. Bijna het dubbele als er een administratieve assistent is.
Gelukkig wordt het dossier door andere bewindvoerders overgenomen als een bewindvoerder dus wegvalt. En een domein gaat meestal in quarantine, hoewel de curator kan beslissen om deze direct door te verkopen! Dat zou dus absoluut niet mogen gebeuren!
Je zou je zelfs kunnen afvragen of dit soort domeinnamen via de SIDN misschien extra beveiliging nodig hebben. Maar dat werkt alleen voor domeinnamen waar de SIDN controle over heeft.
IK ben over het algemeen behoorlijk tegen ‘meer regels’. Die moeten er alleen zijn indien noodzakelijk.
In dit voorbeeld zou ik zeggen ‘laat de instantie die zich bezighoudt met de gedragsregels van de betreffende beroepsgroep maar een paar sancties uitdelen wegens onprofessioneel gedrag’. Voor een tientje per jaar zal die bewindvoerder dat risico niet willen nemen.
Dat is een beetje lastig bij kleine bedrijven en zeker eenmanszaken indien het bedrijf failliet gaat of als de eigenaar overlijdt en de erfgenamen het domein negeren. De vraag is of de executeur of curator wel beseft dat het domein niet zomaar doorverkocht kan worden. Of beseft dat het laten verlopen van de registratie ook voor problemen kan zorgen. Er moet gewoon een extra beschermlaag bij komen om dit soort fraude te voorkomen. Die is er eigenlijk al met de quarantine die meestal geldt voor verlopen domeinnamen, maar ook als die quarantine is verlopen kunnen er problemen ontstaan.
Een oplossing is misschien om te controleren of de kopers van domeinnamen wel legitieme doelen hebben voor het domein. Gewoon een wat strictere controle op de persoonsgegevens om fraudeurs beter te weten. Nu kan echt iedereen een domein registreren en dat wordt flink misbruikt door hackers.
We kunnen nu wel doen alsof dit iets nieuws is. Maar als die bewindvoerder fysiek verhuist naar een ander adres heb je exact hetzelfde probleem. Dan zeggen we toch ook niet ‘er mag nooit meer iemand op dat adres gaan wonen’?
Tot op zekere hoogte wordt het datalek veroorzaakt door de verzender. Die heeft het immers gestuurd aan een ongeautoriseerd persoon. Dat is zeker hoe we het zouden beschouwen bij fysieke adressen.
Bij email lijkt me niet dat je moet zeggen dat het nooit opgeheven kan worden. Maar mijns inziens kan je best zeggen dat na het buiten dienst stellen van een domeinnaam, je als bewindvoerder of zorgaanbieder nog 5 jaar lang de emailboxen van dat domeinnaam moet monitoren. Iedere keer als er een (niet-spam) email op binnenkomt gaat de 5-jaar teller opnieuw lopen. Vijf jaar lang geen inhoudelijke mail gehad? Dan is opheffing van het domeinnaam toegestaan.
De kosten en het gedoe van een oud huis aanhouden zijn onvergelijkbaar met kosten en gedoe van een oude domeinnaam.
Je idee van 5 jaar met monitorplicht lijkt me een prima compromis. Enig risico van smokkelen kan (heel gek, in één keer vijf jaar geen mail, zegt logboek.txt op de laptop van de beheerder) maar zou je kunnen oplossen door de logs bij de provider te laten bestaan. Of SIDN laten verklaren dat er 5 jaar lang geen MX records aan het domein zaten?
Zoiets als dit kan je niet lokaal regelen met alleen SIDN lijkt me. Ik denk dat ICANN hier een standaard voor zou moeten opstellen waar gedelegeerde entiteiten als SIDN en registrars zich dan aan kunnen committeren. Ik opperde eerder het idee van een borgsom bij het registreren van een domeinnaam; als je alles netjes afsluit en opruimt en je domein bijv een jaar lang idle laat dan krijg je je brogsom terug, anders gebruikt de registrar die borgsom om dat voor je te doen.
Want hoe moet SIDN precies verklaren dat er geen MX records aan het domein hingen? Dan zouden ze dat 5 jaar lang geregeld moeten pollen en dat bijhouden, anders kunnen ze het niet weten; de MX-records van domein foobar.nl zitten bij de nameserver van foobar, niet bij SIDN. Als het domein ophoudt te bestaan en de nameserver stopt met antwoorden dan kan SIDN alleen dat feit loggen, en als de nameserver wel antwoord geeft kan SIDN niet bepalen of de domeinoverdracht wel of niet netjes geregeld is en er afspraken zijn gemaakt (die worden nagekomen) over oude email. Je moet immers nog wel op de nette manier een domein kunnen overdragen, en tegelijkertijd kan de eigenaar ook stoppen, overlijden, failliet gaan of het bedrijf verkopen.
Bijkomen probleem is dat er twee goede redenen zijn om voorzichtig te zijn met oude domeinnamen. De eerste is onbedoelde datalekken, door mensen die onbewust dingen sturen naar een oud email-adres. Meerdere genoemde opties zullen hier een goede oplossing tegen zijn. De tweede reden is bescherming tegen kwaadwillenden, dat wil zeggen mensen die bewust een oud domein opkopen om informatie te vergaren, toegang te krijgen etc. Je moet er niet van uit gaan dat die zich bij het inrichten van hun DNS server netjes aan alle standaarden zullen houden, het is tamelijk eenvoudig om op die polling door SIDN een ander antwoord te geven (nee, we hebben geen MX-records) dan op verzoeken die van potentiele slachtoffers (Jazeker, dit zijn onze MX-records) vandaan komen. Het is nog eenvoudiger om je voor te doen als een legitieme partij en te zeggen dat je afspraken hebt gemaakt over oude email.
Een standaard, opgesteld door ICANN, waar partijen zich vrijwillig aan kunnen houden zodat de adoptie geleidelijk aan kan gebeuren lijkt mij de enige werkbare optie. Ook dan blijft beschermen tegen bewust kwaadwillenden hier erg lastig; de combinatie met meerdere onafhankelijke partijen die geautomatiseerd via open protocollen mail willen versturen maakt dit gewoon lastig.
Dat is misschien waar maar dat was niet de casus die Arnoud besprak.
Curators zijn hoogopgeleide professionals die zich sowieso al aan veel regeltjes moeten houden. Eentje erbij, daar zullen ze echt niet wakker van liggen.
Zoals iemand anders al opmerkte: Het is in eerste instantie de gebruiker zelf die niet oplet. Moet de hele samenleving zich maar in bochten wringen om een paar luierikken/dommeriken tegen zichzelf in bescherming te nemen? Als die al tegen zichzelf in bescherming genomen moeten worden, met zo weinig mogelijk neveneffecten voor de normale gebruiker graag.
Dat lijkt me lastig. Wie gaat definieren wat ‘legitiem’ is? En wie gaat controleren of de legitimiteitscheck wel serieus wordt uitgevoerd? En is het in een democratische rechtsstaat sowieso wel wenselijk dat koop/verkoop van zaken aan een legitimiteitscheck wordt onderworden? En is zo’n legitimiteitscheck niet makkelijk te omzeilen door een wenselijk antwoord te geven?
Je gaat toch ook kopers van een koksmes aan een legitimiteischeck onderwerpen? Of kopers van allerlei drugs-hulpmiddelen? En zie hoe moeilijk/onmogelijk het momenteel is om grenzen te stellen aan de fatbike overlast.
Daar ben ik het dan wel weer mee eens. Maar goed, dan gebruik je een stroman, of een rechtspersoon in een ver weg land. Dus dat zal ook niet makkelijk worden, en ook niet waterdicht.
En dan komt er ook nog bij: In het artikel staat dat het KAN, en dat het gemakkelijk is. Dat wil niet zeggen dat het grootschalig gebeurt. (immers, de cybercriminelen zoeken naar geld. Iemand met een bewindvoerder en medische en sociale problemen, daar hebben ze volgens mij niet veel interesse in, want daar valt weinig geld te halen)
Ik denk echt dat de koksmes-analogie gepast is. Ook daar kun je gemakkelijk aankomen en veel schade mee aanrichten, maar om nu hinderpalen voor wannabe-hobbykoks op te gaan werpen? Zo werkt onze samenleving niet.