Verkeerd gebruik domeinnaam leidt opnieuw tot datalek in jeugdhulpverlening
5 lessen die iedere organisatie uit deze zaak kan trekken
Een systeemlek creëren door in onbruik geraakte domeinnamen niet goed op te ruimen. 3 jaar geleden gebeurde het de Politie, anderhalf jaar geleden berichtte RTL Nieuws al over een lek bij Bureau Jeugdzorg Utrecht en vorige week was Kenter Jeugdhulp in het nieuws, omdat gegevens van duizenden – vaak minderjarige – cliënten toegankelijk bleken via een domeinnaam die niet meer gebruikt werd. Fouten in het beheer van cruciale domeinnamen. Waarom blijft dit gebeuren en hoe voorkom je het?
Een domeinnaam: klein, maar belangrijk
Hoe ontstaan zulke fouten? Dat zit een beetje in de aard van de domeinnaam. Een domeinnaam heb je in een minuut geregistreerd en in een minuut weer opgeheven. Binnen organisaties wordt vaak vrij willekeurig bepaald wie de registratie doet en de domeinnaam wordt vaak gezien als een commodity. Maar dat is het niet. Hoe simpel het registreren van een domeinnaam ook mag zijn, de naam wordt vervolgens gebruikt in talloze mailadressen, websites en applicaties. Het plotseling afsluiten en afstoten van de domeinnaam stelt cybercriminelen in staat deze te bemachtigen en te gebruiken om toegang tot deze applicaties te krijgen.
Voorbeeld: misbruik via wachtwoordreset
Een versimpeld voorbeeld van hoe cybercriminelen hier misbruik van maken is de wachtwoordreset. Stel een organisatie verandert van naam en heft de oude domeinnaam op. Bekend is dat medewerkers toegang hebben tot een systeem dat beveiligd is met een wachtwoord. De cybercrimineel kan dan eenvoudig de door de organisatie opgeheven domeinnaam registreren, een mailadres van een bekende medewerker aanmaken en op het systeem een wachtwoordreset aanvragen. Als het oude mailadres nog bekend is bij het systeem, ontvangt hij de resetlink per mail en is hij binnen. Het recente lek bij Kenter lijkt op deze manier ontstaan te zijn: medewerkers van RTL Nieuws konden met mailadressen op de oude naam (medewerker@jeugdriagg.nl) wachtwoorden en andere inloggegevens opvragen.
5 lessen voor organisaties
Goed beheer van domeinnamen is geen rocket science. Cybersecurity vaak ook niet. Uit de case van Kenter jeugdhulp kunnen de volgende lessen getrokken worden:
1. Hef een domeinnaam niet meteen op als je naar een nieuwe overstapt
Parkeren van een ongebruikte domeinnaam is goedkoop en zolang jij de domeinnaam hebt, kan niemand anders er iets mee doen. Na verloop van tijd verdwijnen de oude mailadressen en referenties vanzelf uit de meeste betrokken systemen, maar dit kan wel enkele jaren duren. Je kunt zelf monitoren of er nog verkeer op de domeinnaam zit en wanneer dit tot nul terug gebracht is.
2. Leg vast welke domeinnamen je hebt en waarvoor je deze gebruikt
Het gebruik van een domeinnaam kan wijdverbreid zijn: adresboeken, e-mailadressen met het domein als login, geautomatiseerde mail naar het domein, etc. Als je weet waar je domeinnaam wordt gebruikt weet je ook op welke plaatsen je een naamswijziging moet doorvoeren en waar je actief moet monitoren. Zorg er ook voor dat je het totaaloverzicht hebt: sommige organisaties hebben duizenden domeinnamen geregistreerd door misschien wel honderden verschillende medewerkers. Ben je het overzicht kwijt? Met de Domeinportfoliochecker kun je in ieder geval weer grip krijgen op je .nl-portfolio.
3. Informeer medewerkers
Maak duidelijk dat vanaf een bepaalde datum mailadressen van het oude domein niet langer geldig zijn en dat ze mails vanaf die adressen dus moeten negeren en hun e-mailcache leeg moeten maken. Dit creëert bewustzijn en beschermt tegen social engineering.
4. Monitor malafide registraties en inlogpogingen
Cybercriminelen kunnen je naam alleen misbruiken als ze de bijbehorende domeinnaam of een naam die erop lijkt (typo) registreren en daarmee proberen zich toegang te verschaffen tot systemen. Tools als SIDN Merkbewaking stellen je in staat te zien wanneer iemand dit doet, waar ook ter wereld. Als je inlogpogingen monitort, zie je bovendien al snel dat iemand met een malafide of verouderd mailadres probeert binnen te komen.
5. Gebruik multifactor-authenticatie
De Kenter-case had waarschijnlijk niet tot een datalek geleid als naast het wachtwoord nog een 2e inlogfactor vereist was geweest. Dan hadden de journalisten naast de inloggegevens ook een telefoon van de betrokken medewerkers moeten hebben.
Bovenstaande lessen kunnen getrokken worden naar aanleiding van – weer - een heel kwalijke zaak, waarbij zeer gevoelige persoonlijke informatie toegankelijk werd voor derden. Gezien de oorzaak was deze situatie voorkomen niet moeilijk geweest. Laten wij hopen dat het de laatste keer was.