Categorie: Security

About Security

Subscribe Feeds

Ben ik verantwoordelijk voor wat de buren op mijn gedeelde wifi netwerk doen?

Geplaatst op in Security, Uitingsvrijheid, 17 reacties
OLYMPUS DIGITAL CAMERA

Een lezer vroeg me:

Ik heb het wachtwoord van mijn Wifi gedeeld met mijn buren. Ben ik nu ook verantwoordelijk voor wat zij op het internet uitspoken?
De Digital Services Act (DSA, voorheen de Ecommercerichtlijn) beschermt partijen die aan anderen de dienst internettoegang verlenen. Zo’n partij is niet aansprakelijk voor wat die ander er mee doet. En de bewoordingen zijn breed genoeg om ook niet-professionele partijen hier onder te rekenen, zoals het delen van je internetverbinding met de buren.

Als de buurman stelselmatig auteursrechten gaat schenden, bv. door illegaal downloaden, dan mogen rechthebbenden of hun vertegenwoordiger stichting BREIN bij jou eisen dat jij maatregelen neemt om daar een einde aan te nemen. Verder ben je niet echt tot maatregelen verplicht. Schadeclaims hoef je niet te vergoeden.

Het lastige is natuurlijk dat van buitenaf het erop lijkt dat jij al die acties begaat. Dat kan lastig uit te leggen zijn als de politie aanklopt vanwege een verdenking van strafbaar gedrag online, want “de buren hebben het wifi wachtwoord” is natuurlijk een veelgehoorde smoes. Waarmee niet gezegd is dat jij dus veroordeeld gaat worden, maar een hoop gedoe geeft het wel.

Verstandig is dus een manier te zoeken waarmee jouw netwerkverkeer en dat van de buren gescheiden is. (Misschien ook zodat ze niet per abuis printen op jouw netwerkprinter of je NAS als eigen opslag gebruiken.) Dat zou dan in ieder geval aanwijzingen geven dat er op dat tijdstip alleen vanaf het gastennetwerk is gewerkt, en dat kan in jouw voordeel werken als je wilt aantonen dat de buren het waren.

Sluitend is dat natuurlijk niet – je kunt zelf het gastennetwerk hebben gebruikt voor je snode activiteiten – maar het is beter dan niets. En voel je je hier niet senang bij, dan kun je verdergaande maatregelen nemen. Iemand suggesties?

Arnoud

Nederlandse ambtenaren mogen Chinese chatbot DeepSeek niet gebruiken

Geplaatst op in Security, nog geen reacties
Photo by Solen Feyissa on Unsplash

Nederlandse ambtenaren mogen de Chinese chatbot DeepSeek niet gebruiken, bevestigt een woordvoerder van staatssecretaris Zsolt Szabó. Dat meldde Nu.nl vorige week. De reden is niet de zorg om persoonsgegevens, maar “China is een van de landen met een offensief cyberprogramma gericht tegen Nederland.” Software uit dergelijke landen gebruiken wij niet.

Bij Tweakers leggen ze uit:

De Rijksoverheid hanteert sinds 21 maart 2023 een appbeleid dat ontraadt om apps uit landen met een offensief cyberprogramma tegen Nederland te gebruiken op mobiele werkapparatuur, omdat deze spionagegevoelig kunnen zijn. Voor zakelijke mobiele apparaten uitgegeven door de Rijksoverheid wordt dan ook vooraf bepaald welke apps kunnen worden geïnstalleerd en gebruikt.
Dit staat dus geheel los van de zorgen over censuur, beveiliging van persoonsgegevens of schending van vertrouwelijkheid, waar de meeste afnemers van AI-diensten zich zorgen maken.

Dergelijke zorgen zijn er natuurlijk net zo goed bij DeepSeek als bij zeg ChatGPT. We lezen er vooral meer over omdat ook de Amerikanen deze keer verbaasd zijn – hoezo zijn het andere landen die persoonsgegevens stelen en bedrijfsgeheimen hergebruiken?

DeepSeek is in zoverre uniek dat het onderliggende model ook als open weights model beschikbaar is. Je kunt het dus in een eigen datacenter draaien, afgeschermd tegen meekijken door wie dan ook.

Wel blijven dan zorgen over auteursrechtinbreuk (net zoals bij alle grote modellen) en hier specifiek de alignment van de antwoorden: het lijkt erop dat pro-China standpunten verwerkt zijn in de trainingsdata, wat niet noodzakelijkerwijs overeenkomt met fundamentele Europese normen en waarden.

Arnoud

PS: in de praktijk aan de slag met AI, compliance & governance? Word dan AI compliance officer met onze unieke driedaagse opleiding.

Italië verbiedt DeepSeek, meer privacytoezichthouders willen opheldering

Geplaatst op in Innovatie, Security, 2 reacties
Photo by Solen Feyissa on Unsplash

De Italiaanse privacytoezichthouder GPDP heeft vandaag chatbot DeepSeek verboden om naar eigen zeggen de privacy van gebruikers te beschermen. Dat meldde Security.nl onlangs. De Ierse, Belgische en Franse privacytoezichthouders hebben DeepSeek daarnaast om opheldering gevraagd over de manier waarop gegevens van gebruikers worden verwerkt.

Op 10 januari lanceerde het Chinese bedrijf Hangzhou DeepSeek AI haar taalmodel DeepSeek-R1. De eerste reacties waren verbijstering: het model is een stuk kleiner en goedkoper om te produceren, maar levert met GPT-4o vergelijkbare resultaten. De aandelenkoers van AI-trainingschipsmaker Nvidia crashte direct bijna 10 procent, al trok dat snel bij.

Vlak daarna gingen mensen de voorwaarden lezen, en bleek dat het bedrijf alle invoer mag gebruiken om het AI model te trainen en dat geheimhouding niet aan de orde is. Ook had het model een ingebouwde pro-PRC bias, naast de verplichte filters die je als internetdienstverlener in de PRC moet hebben.

Die bias daargelaten: heel bijzonder is dit niet, want alle grote Amerikaanse aanbieders doen dat ook. (Mijn kantoor doet onderzoek naar de juridische kwaliteit én compliance van die modellen, abonneer je op onze nieuwsbrief en je hoort de resultaten als eerste.) Maar voor veel Amerikanen is het nieuw dat een buitenlands bedrijf er met je data vandoor gaat, dus dat geeft de nodige ophef.

In Europa was er al langer ophef vanuit AVG-perspectief. Italië nam het voortouw door ChatGPT te verbieden, wat al vrij snel werd teruggedraaid na enkele optische maatregelen van het bedrijf. Het verbod op Deepseek is gebaseerd op dezelfde zorgen.

En ja, je kunt Deepseek ook lokaal hosten in Europa want het is een open weights model met een licentie die dat toestaat. Dan ben je vrij van de censuurfilter in de uitvoer en is data-doorgifte naar de PRC niet meer aan de orde. Securityzorgen en bias blijven een aandachtspunt.

Arnoud

 

Mag een provider netwerkdata analyseren als daar IP-adressen (en dus persoonsgegevens) in zitten?

Geplaatst op in Privacy, Security, 12 reacties
Illustratie van sampled netflow monitoring. Bron: Plixer

Een lezer vroeg me:

Veel IT transit providers houden zogeheten sampled netflow data bij van alle data door hun netwerk. Ze kunnen daarmee DDOS aanvallen en andere problemen in het netwerk detecteren. Hierin staat echter metadata zoals source/destination IP addressen. Sampled betekent dat niet alle verbindingen worden opgeslagen maar alleen een fractie hiervan. Dit lijkt een standaardpraktijk te zijn binnen de netwerk-wereld, maar ik vroeg me toch af hoe dat zit onder de AVG? IP-adressen zijn toch persoonsgegevens?
De vraag of IP-adressen persoonsgegevens zijn, is een buitengewoon complexe omdat ze uitgaat van een kwalificatie die de techniek overstijgt. Het korte antwoord is: een IP-adres is een persoonsgegeven als je het, gebruikmakend van context, kunt koppelen aan een levend mens. Het lange antwoord gaat in op het hoe dan.

In veel gevallen gaat die discussie over zaken waarin een partij wil weten wie er ‘achter’ een IP-adres zit, zoals bij schadeclaims wegens auteursrechtinbreuk of opsporing van criminaliteit door Justitie. Die IP-adressen zijn dan meestal in beheer bij internetproviders, die uit eigen logs kunnen zien tussen welke tijdstippen deze bij welke klant in gebruik was, en vervolgens de NAW gegevens van die klant kunnen afgeven.

Sinds het Breyer-arrest uit 2014 (C-582/14) is voor juristen vaststaand dat IP-adressen persoonsgegevens zijn, zelfs als alleen een derde partij (die ISP dus) ze aan nadere identificerende gegevens kan verbinden. De vraag voor jou is of het redelijkerwijs haalbaar is dat jij die derde over kunt halen om dat te doen.

Natuurlijk ligt dat anders bij IP-adressen die niet aan abonnees te verbinden zijn, zoals dat van zakelijke routers of machines. Alleen: hoe wéét je wie of wat er achter een IP-adres zit? Veilig is daarom er van uit te gaan dat het IP-adres door een persoon wordt gebruikt. Oftewel, inderdaad: ‘ieder IP-adres is te allen tijde een persoonsgegeven’ is het enige veilige standpunt vanuit compliance perspectief.

Betekent dit dat de AVG het gebruik van persoonsgegevens verbiedt? Zeer zeker niet.

De in de vraag geschetste techniek is inderdaad een verwerking van persoonsgegevens, maar past duidelijk in de AVG via de route van het eigen gerechtvaardigd belang. “De verwerking van persoonsgegevens voor zover die strikt noodzakelijk en evenredig is met het oog op netwerk- en informatiebeveiliging” is expliciet in de AVG genoemd (overweging 49) als een voorbeeld van zo’n belang. Dat mag dus, mits je kunt onderbouwen dat je gegevensgebruik “strikt noodzakelijk en evenredig” is. Oftewel: je kunt deze analyse niet met minder data doen zonder je niveau fors omlaag te laten gaan.

In dit specifieke geval lijkt me de uitkomst positief. Je moet voor een beetje adequate security echt meer weten dan enkel op hoofdlijnen wat er langs komt op je netwerk. Het gaat daarbij feitelijk alleen om actueel verkeer, informatie over flows die stil komen te liggen worden uit het systeem verwijderd. En het doel is niet het volgen van de personen die via dat IP adres opereren, maar het analyseren van netwerkverkeer en het identificeren van netwerkbedreigingen.

Arnoud

Een rijbewijs is een geldig identiteitsbewijs en toch hoeft de bank dat (soms) niet te accepteren

Geplaatst op in Security, 18 reacties
Voorkant rijbewijs 2014

Al sinds 2005 staat in de wet dat het rijbewijs geldt als “document waarmee in bij de wet aangewezen gevallen de identiteit van personen kan worden vastgesteld”. Ik kom echter anno 2025 nog steeds organisaties tegen die dit roze kaartje afwijzen als je je moet identificeren. U begrijpt dat ik dus even opkeek van deze uitspraak van het Kifid: een bank hoeft geen rijbewijs te accepteren omdat daar de volledige voornamen van de betreffende persoon niet op staan vermeld.

In deze zaak had de consument een bankrekening geopend, maar (her)identificatie lukte niet omdat zijn rijbewijs niet werd herkend. Daarop blokkeerde de bank de rekening, wat tot renteverlies leidde en de consument een klacht indiende.

De bank stelde vervolgens dat zij toch echt een paspoort of Nederlandse identiteitskaart nodig heeft, omdat daar alle voornamen van de betrokkene op staan. Een rijbewijs bevat alleen je voorletters, vaak wel je eerste naam zoals op het specimen hierboven (dat van de RDW afkomstig is en afgelopen november verliep).

Bij het aanvragen van de rekening had de consument wél een paspoort (met alle namen) overlegd. Bij de heridentificatie ontbraken er dus een of meer voornamen. Ik geef toe dat er een káns is dat een voorletternaamgenoot met zelfde geboortedatum én sterk gelijkende pasfoto kan zijn, maar dat heeft wel een sterk “kom nou toch” gehalte.

Toch is het standpunt van het Kifid juist, zij het zeer formeel. Het eerste argument daarvoor is dat artikel 33 Wwft eist dat de bank “de geslachtsnaam, de voornamen, de geboortedatum [etc]” vastlegt. En met een rijbewijs kun je niet alle voornamen vaststellen.

Daar staat tegenover dat artikel 4 Uitvoeringsregeling Wwft expliciet “een geldig Nederlands rijbewijs” noemt als instrument waarmee je je identificeert onder de Wwft. Je zou zeggen dat je er dan bent: de wet zegt dat dit genoeg is, dus is het genoeg.

Echter, je mag als bank strengere regels stellen, en “wij willen alle voornamen van klanten weten” is in dat kader toegestaan. Een iets diepgravender reden voor die afwijzing lees ik in een uitspraak uit 2022:

De bank voert daartoe aan dat de app de NFC-chip uitleest en dat een rijbewijs niet over een dergelijke chip beschikt. Bovendien bevat het rijbewijs niet de volledige voornamen en geen gegevens over verblijfsstatus en nationaliteit, aldus de bank. Dit verweer slaagt. Zoals hiervoor onder 3.25 is overwogen staat het de bank vrij om bij het cliëntenonderzoek gebruik te maken van de chip op het identiteitsdocument. De bank mag er dus voor kiezen om vanwege die reden geen rijbewijzen te accepteren.
Als een bank het handig of wenselijk vindt dat mensen uitsluitend via een app bankieren, dan mogen ze daarbinnen dus invullen dat identificatie gebeurt door uitlezen van de NFC chip daarvan. Dan valt het rijbewijs als vanzelf af, geheel los van de discussie over voornamen.

Meelezende CISO’s en andere beveiligingsmensen die nu reden zien om het rijbewijs weer af te gaan keuren bij de identiteitscontrole: bovenstaande gaat specifiek over banken. Een andere organisatie moet zelf motiveren waarom voornamen écht nodig zijn bij het identificeren van (medewerkers van) je klanten.

Arnoud

Wetsvoorstel geeft Nederlandse politie toegang tot besloten appgroepen voor ordehandhaving

Geplaatst op in Regulering, Security, 4 reacties

Er is een wetsvoorstel in de maak om de Nederlandse politie de bevoegdheid te geven om besloten appgroepen te infiltreren voor handhaving van de openbare orde. Dat meldde Tweakers afgelopen maandag. Dat gaf enige ophef in de inbox, want wat wordt hier dan mee beoogd?

Een en ander is te herleiden tot het recentste halfjaarbericht van het ministerie van J&V over de staat van de politie. Hierin wordt onder meer gereageerd op een motie van Kamerlid Dilan Ye?ilgöz over de politie “meer mogelijkheden te bieden undercover mee te kijken in (besloten) telegramgroepen”. En dat is weer te herleiden tot de gebeurtenissen van 7 op 8 november waarbij de politie aangaf niet zomaar in allerlei groepen te kunnen kijken.

Op zich is het al mogelijk dat de politie online onderzoek doet, wat de wetgever “stelselmatig informatie inwinnen” noemt. Alleen vereist dat een verdenking van een misdrijf (art. 126j Strafvordering):

In geval van verdenking van een misdrijf kan de officier van justitie in het belang van het onderzoek bevelen dat een opsporingsambtenaar als bedoeld in de artikelen 141, onderdelen, b, c en d, en 142, zonder dat kenbaar is dat hij optreedt als opsporingsambtenaar, stelselmatig informatie inwint over de verdachte.
Bij een (dreigende of gaande) openbare-ordeverstoring is niet perse altijd sprake van strafbare feiten. Dit is dezelfde discussie als bij online ordeverstoringen – die zijn echt een lichtere categorie dan de ‘misdrijven’ waar het wetboek van strafvordering het over heeft, en zelfs van de ‘overtredingen’ die daar in staan. Een ordeverstoring hoeft niet strafbaar te zijn.

Dat is in zoverre een probleem dat de politie deze bevoegdheid alleen mag inzetten als sprake is van een (verdenking van een) misdrijf. Immers, wanneer handelen van de politie in “meer dan geringe mate” de grondrechten van burgers inperkt moet daar een specifieke wettelijke regeling voor zijn. Dat weten we van het doorzoeken van mobiele telefoons, bijvoorbeeld.

De politie heeft de algemene taakstelling van “daadwerkelijke handhaving van de rechtsorde en het verlenen van hulp aan hen die deze behoeven” (art. 3 Politiewet), maar die heeft dus als grens dat de grondrechten daarbij niet meer dan gering mogen worden geraakt.

Bij online rondstruinen op zoek naar informatie is in principe niet snel sprake van schending van grondrechten. Althans, zolang het gaat om publieke informatie. Die mag ook een agent gewoon lezen. Als het achter een login zit, dan wordt het iets spannender – ben je undercover, ga je een besloten plaats binnen, allemaal dingen die we normaal een serieuze grondrechtenkwestie vinden.

In de praktijk wordt de grens getrokken bij wel of niet voor het publiek toegankelijk. Bij wachtwoorden of accounts gaat het niet perse om het aantal leden, maar om het toegangscriterium. Wanneer mag je bij de groep? Als dat antwoord neerkomt op een inhoudelijk beperkt criterium, dan is de groep besloten en dan mag de agent niet naar binnen.

Een groot forum dat posts afschermt van zoekmachines en daarom accounts vereist om te mogen lezen, is dus niet ‘beperkt’. Iedereen mag lid worden en ieder lid mag alles lezen. In theorie kan de hele wereld lid worden. Een WhatsApp-groep waar alleen de mensen in mogen die Bul Super persoonlijk kent, is natuurlijk wél ‘beperkt’. Een agent zou het kunnen vragen, maar als deze zich dan voordoet als de heer Bommel in plaats van de heer Snuf, dan mag dat formeel niet.

Het wetsvoorstel is overigens bij lange na nog niet af:

Het streven is om in de eerste helft van 2025 een wetsvoorstel in consultatie te brengen waarin de bevoegdheid tot stelselmatige informatievergaring in publiek toegankelijke online bronnen wordt geregeld. Dit voorstel wordt met een zorgvuldige onderbouwing van nut en noodzaak en een kader van checks and balances voorbereid. Met prioriteit wordt parallel gewerkt aan de mogelijkheid om in het kader van de openbare-ordehandhaving de politie ook toegang tot besloten app- en chatgroepen te geven, indachtig de motie Ye?ilgöz-Zegerius c.s.
Arnoud

 

Politie maakte vorig jaar veel vaker gebruik van gezichtsherkenning, mag dat van de AI Act?

Geplaatst op in Privacy, Security, 10 reacties
"Facial Recognition" by mikemacmarketing is licensed under CC BY 2.0

De politie maakte vorig jaar veel vaker gebruik van gezichtsherkenningssoftware dan in 2022, meldde Security.nl vorige week. Dat blijkt uit de jaarcijfers van herkensysteem Centrale Automatische TeChnologie voor Herkenning van personen (CATCH). Het riep bij diverse lezers vragen op, mag dat nog wel nu de AI Act eraan komt in februari?

Het persbericht van de politie legt uit:

Er is een database met strafrechtafbeeldingen – foto’s die politiemensen van aangehouden verdachten en veroordeelden maken – en een voor vreemdelingenafbeeldingen. Als omstanders of slachtoffers beelden hebben gemaakt van bijvoorbeeld oplichters aan de deur of een straatmishandeling, dan kunnen deze worden vergeleken met de foto’s in CATCH. Immers heeft een verdachte vaak al eerder strafbare feiten gepleegd.
De AI Act is afgelopen zomer wet geworden, en treedt gefaseerd in werking. Op 2 februari zullen een aantal gebruiksvormen van AI verboden worden, en dat is relevant want eentje daarvan gaat over biometrie bij de politie (art. 5.1(h) AIA):
het gebruik van systemen voor biometrische identificatie op afstand in real time in openbare ruimten met het oog op de rechtshandhaving, tenzij en voor zover een dergelijk gebruik strikt noodzakelijk is voor [gericht zoeken naar slachtoffers/vermisten, verijdelen van aanslagen of de lokalisatie of identificatie van een persoon die ervan wordt verdacht een [ernstig] strafbaar feit te hebben gepleegd.]
Het CATCH systeem zoals hier beschreven gaat echter niet over biometrie op afstand in real time, maar over wat de AI Act “biometrische verificatie” noemt:
de geautomatiseerde één-op-éénverificatie, met inbegrip van de authenticatie, van de identiteit van natuurlijke personen door hun biometrische gegevens te vergelijken met eerder verstrekte biometrische gegevens;
Het systeem werkt immers op achterafbasis, een foto van het verleden wordt vergeleken met opgeslagen gegevens. Het verbod betreft real-time scannen van ‘iedereen’ in een bepaalde openbare ruimte om zo live te kunnen reageren als je iemand herkent. Dat zijn twee heel verschillende dingen.

Dat het niet onder de AI Act verboden is, wil natuurlijk niet zeggen dat het nietzomaar wel mag. Sterker nog, in Nederland hebben we de omgekeerde regel – bij zulke diep de privacy rakende technieken moet er een wet zijn die zegt dat het wél mag, en hoe. En die wet lijkt te ontbreken, zoals Bits of Freedom al in maart aankaartte.

De minister ziet dat anders, overigens. Daarbij werd opgemerkt dat dit zou worden herzien als de AI Act definitief was. Alleen zegt die dus helemaal niets over de risico’s van biometrische verificatie, dus de bal komt direct weer terug bij de AVG en de Wet politiegegevens.

Arnoud

 

Is geen nieuwe auto krijgen ook al schade onder de AVG?

Geplaatst op in Privacy, Security, 18 reacties
Photo by taichi nakamura on Unsplash

Stel je koopt een nieuwe auto, krijgt betalingsinstructies van de garage gemaild en betaalt. Vervolgens blijken die instructies van een ‘hacker’ te komen. Kun je daar wat mee onder de AVG? Ja, volgens het Hof Arnhem-Leeuwarden in een recent arrest. Het gaat er om spannen of de garage haar mail goed beveiligd had.

De zaak is in de kern als volgt:

[Koper] heeft een auto van [het autobedrijf] gekocht. Na een betaalinstructie vanuit het e-mailadres van [het autobedrijf] stelt [de koper] het grootste deel van de koopprijs te hebben betaald op een Duitse bankrekening. Achteraf bleek dat een derde via het e-mailaccount van [het autobedrijf] een valse betaalinstructie had gestuurd.
Die derde was kennelijk goed voorbereid: forensisch onderzoek op de logs liet zien dat er een paar wachtwoorden waren geprobeerd, en toen met succes kon worden ingelogd. Daarna is meegelezen in de mailbox, gespot dat iemand nog moest betalen en gauw een Duits IBAN gestuurd waar het geld naartoe kon. Slim en snel geschakeld, riekt wel ergens naar een inside job.

De koper gooit zijn claim op de AVG: hij wil zijn schade vergoed, namelijk de € 26.900 die hij betaald had voor de auto die hij vervolgens niet kreeg. (Zou je dit via de gewone regels spelen, dan had je de derde aansprakelijk moeten stellen en dat heeft uiteraard weinig kans.)

Slaat dat ergens op? Ja, ik zie hem wel en het Hof ook:

Op grond van artikelen 5 lid 1 onder f, 24 en 32 AVG dient [het autobedrijf] haar e-mailaccount waarop persoonsgegevens – zoals in ieder geval namen en e-mailadressen van haar klanten – worden verwerkt, passend te beveiligen. … De artikelen 24 en 32 AVG verplichten [het autobedrijf] technische en organisatorische maatregelen te nemen die passen bij haar bedrijfsvoering en bij de daarbij horende verwerking van persoonsgegevens om een inbreuk op persoonsgegevens zoveel mogelijk te voorkomen.
Als een onbevoegde een mail van een klant kan lezen en daarop kan reageren namens jou, met als gevolg een omgeleide betaling, dan zie ik wel hoe daar de beveiliging van de persoonsgegevens (mailadres, betalingsstatus) wordt omzeild.

Echter, het is niet zo dat íedere fout automatisch een schending van deze beveiligingsplicht is. De AVG kent een inspanningsplicht, dat “zoveel mogelijk” zinnetje. Maar heeft het autobedrijf hieraan voldaan? De ict-leverancier (Autosociaal) had alvast vastgesteld dat er geen malware op de computers van het bedrijf zat.

Uit de toelichting van [het autobedrijf] blijkt dat zij in ieder geval de instelling en het beheer van het wachtwoord van haar e-mailaccount heeft overgelaten aan Autosociaal in plaats van zelf een (moeilijk te achterhalen) wachtwoord te kiezen en te beheren. Het hof betwijfelt of dit een passende maatregel is voor de beveiliging van haar e-mailaccount.
Het wachtwoord was lang, maar vooringevuld vanaf de computer van de garagemedewerker. Zo te lezen was geen sprake van 2FA. Ik zie hoe je beheer over wilt laten aan een specialist, dus ik ben een tikje verrast dat nu net dát aspect eruit gelicht wordt voor de twijfel; zelf had ik meer vraagtekens gehad bij het ontbreken van tweefactorauthenticatie, iets dat toch standaard is bij Microsoft.

De garage mag nu bewijzen dat zij wél de boel adequaat beveiligd had.

Arnoud

 

Als jij zegt dat het via Wetransfer moet, dan is het niet-aankomen jouw risico

Geplaatst op in Ondernemingsvrijheid, Security, 18 reacties
Photo by Zlatko ?uri? on Unsplash

In coronatijd kiest De Alliantie voor het systeem WeTransfer voor het aanleveren van benodigde stukken voor het verkrijgen van een huurwoning. Zo opent een recent vonnis uit Amsterdam over waar het risico ligt bij het niet aankomen van documenten. Spoiler: bij De Alliantie, in dit geval.

De Alliantie is een woningcorporatie, en die had de eiser uitgekozen als kandidaat voor een woning op Zeeburgereiland. Daarvoor moeten dan diverse documenten worden aangeleverd, en vanwege corona had De Alliantie een online systeem opgezet. Uit het vonnis:

“Om te controleren of u in aanmerking komt voor deze woning wordt u gevraagd enkele documenten in te leveren. U kunt deze documenten uploaden op deze website (website blauw gedrukt, vzr.). Vermeld a.u.b. in het bericht het adres van de woning én uw IBAN-nummer. Om elk risico op verdere verspreiding van het corona-virus te voorkomen, hebben wij besloten om onze balie aan de [adres 3] te sluiten tot 28 april. Dit betekent dat de Alliantie alleen via de digitale kanalen en/of telefonisch bereikbaar is.
De website-link verwees naar een eigen Wetransfer-omgeving (“dealliantie.wetransfer(.)com”) waarmee je extra grote bestanden kunt versturen, doch alleen naar de Alliantie zelf. Dat deed men dan ook, en na versturen was te lezen “dat de huurovereenkomst en de inkomensverklaring zijn verstuurd, maar nog niet gedownload”. Daarop klom men in de telefoon:
Op 20 april 2020 heeft (de vriendin van) [eiser] gebeld met De Alliantie met de vraag of de documenten zijn aangekomen en of ze kloppen. Daarop is geantwoord dat De Alliantie vijf werkdagen de tijd heeft om de documenten te beoordelen en dan zal reageren. Op de vraag of de medewerker kan controleren of de documenten wel ontvangen zijn antwoordt de medewerker: “Nee, dat kan ik helaas niet maar in principe als u gewoon de link heeft gevolgd die in de mail bijgesloten is dan kunt u ervan uitgaan dat we alle documentatie hebben ontvangen”.
U voelt hem al aankomen: een week later bleek dat de organisatie “geen documenten van [eiser] heeft gezien en dat de woning inmiddels aan de eerstvolgende kandidaat op de ranglijst is aangeboden”. Rechtszaak dus.

Wat was hier misgegaan? Bij Wetransfer was niets meer te achterhalen. De Alliantie speculeerde dat men mogelijk het formulier niet goed had ingevuld, maar als de statusmelding “verzonden/nog niet gedownload” wordt gegeven dan is dat niet logisch. Voor mij ligt meer voor de hand dat de melding van Wetransfer bij de Alliantie was kwijtgeraakt (in de spam) en dat men het daarom simpelweg nooit gedownload had.

Natuurlijk heb je als afzender een verantwoordelijkheid om te zorgen dat stukken aankomen. Maar die werd hier ook genomen: de stukken werden opgestuurd via het aangewezen kanaal, en er is meerdere malen gebeld om te vragen of het aangekomen is. Veel meer kun je niet doen.

Het steekt dan dat de organisatie alleen lijkt te hebben gereageerd dat “indien de link in de e-mail is gevolgd, [u] ervan uit mag gaan dat de documenten ontvangen zijn.” Zijn ze er dan of niet? Even kijken in de map met ingekomen stukken was een logischer stap geweest.

De rechter is niet mals:

Dat de Alliantie dan niet in staat is te controleren of de stukken zijn binnengekomen, dient voor rekening en risico van De Alliantie te komen. Overduidelijk is dat [eiser] alles wat in zijn vermogen lag, heeft gedaan om te zorgen dat de benodigde stukken tijdig bij De Alliantie zouden komen.  … Indien De Alliantie op 20 april 2020 wél had nagekeken of de stukken waren ontvangen en vervolgens [eiser] had meegedeeld dat zij ze níet had ontvangen, had [eiser] direct nogmaals de stukken kunnen aanleveren via WeTransfer. Deze kans heeft [eiser] nu niet gekregen. Niet acceptabel is dat de negatieve gevolgen van een niet waterdicht alternatief aanleversysteem zonder controlemogelijkheden worden afgewenteld op de woningzoekende.
De organisatie moet binnen drie maanden een met de eerdere aangeboden woning gelijkwaardige woning aanbieden.

Arnoud

 

Man krijgt jaar celstraf voor verkoop van ‘enorme hoeveelheid persoonsgegevens’

Geplaatst op in Security, 8 reacties

De rechtbank in Gelderland heeft een 26-jarige man veroordeeld tot een gevangenisstraf van twaalf maanden, onder meer vanwege het ‘verspreiden van een enorme hoeveelheid persoonsgegevens’. Dat meldde Tweakers vorige week. Het gaat om zo’n 5.000 gegevens (personen) die werden verhandeld om cryptodiefstal op te kunnen plegen.

Uit het vonnis haal ik dat een undercoveragent een pseudokoop is aangegaan:

Op 21 september 2021 heeft een verbalisant in het kader van een pseudokoop via de app Telegram contact gelegd met gebruiker [account 1] . Deze reageerde door te vragen wat de koper precies wilde en deelde mee voor hem rond te vragen. De koper wilde volgens het chatbericht “full info 65+”. … Vervolgens kocht de verbalisant 5.000 targetleads van [account 3] voor een bedrag van € 50,- in bitcoins. Na de betaling ontving de verbalisant van [account 3] via Telegram een bestand, genaamd ‘ [bestandnaam] ’ met de leads.
Mag dat? Ja, dat mag: art. 126i Strafvordering regelt de pseudokoop, die zowel goederen als diensten kan betreffen (en de agent zowel als klant en als leverancier kan aanwijzen). In dit geval was de agent koper en kreeg “telefoonnummer, mogelijk Facebook ID, voornaam, achternaam, geslacht, woonplaats, werkgever en relatiestatus” van zo’n 5000 personen.

Account 3 hierboven bleek te herleiden tot de verdachte, die ook bekende dat hij de gegevens had verkocht. Hij zag daar geen probleem in, ik veronderstel omdat “het gewoon gegevens zijn” en hij zich niet verantwoordelijk achtte voor wat kopers daarmee zouden doen. Daar kan de rechtbak niets mee:

Het is een feit van algemene bekendheid dat persoonsgegevens (leads) veelal worden gebruikt bij oplichting en diefstal, zoals Whatsapp- of bankhelpdeskfraude. Verdachte zat in de openbare Telegramgroep met de naam ‘FraudeHandel’, waarin naar zijn account werd verwezen voor de koop van persoonsgegevens. Verdachte kreeg regelmatig geld voor de verkoop van de persoonsgegevens. Het kan dan ook niet anders dan dat verdachte wist dat de door hem verstrekte persoonsgegevens bestemd zijn voor het plegen van oplichtingen en diefstallen.
Dat maakt je strafbaar (art. 234 Strafrecht):
Hij die stoffen, voorwerpen of gegevens vervaardigt, ontvangt, zich verschaft, verkoopt, overdraagt, verwerft, vervoert, invoert, uitvoert, verspreidt, anderszins ter beschikking stelt of voorhanden heeft waarvan hij weet dat zij bestemd zijn tot het plegen van een [trits misdrijven zoals diefstal of oplichting], voor zover deze feiten betrekking hebben op de verkrijging van een niet-contant betaalinstrument, wordt gestraft met gevangenisstraf van ten hoogste vier jaar of geldboete van de vierde categorie.
De rechtbank ziet weinig omstandigheden om de straf te matigen en komt uit op een jaar gevangenisstraf.

Arnoud