Categorie Nieuwsberichten

ENISA rapport over cybersecurity dreigingen

jjoerlemans Een reactie plaatsen

Posted on 04/02/2018 op Oerlemansblog

Op 15 januari 2018 heeft het Europese cybersecurityagentschap ENISA een interessant rapport gepubliceerd over cybersecuritydreigingen. In het rapport worden de bevindingen van een grote hoeveelheid andere rapporten van cybersecuritybedrijven geanalyseerd en de resultaten daarvan gepresenteerd. Het rapport biedt ook enige technische diepgang. In deze blog post deel ik de zaken die mij uit het rapport opvielen.

Algemeen

In het rapport wordt er op gewezen dat in 2017 cybercriminelen de grootste bedreiging op het gebied van cybersecurity vormen. Twee derde van de aanvallen zijn van deze actor afkomstig. Hierbij wordt opgemerkt dat in plaats dat zij zeer massale meer ongerichte malware-aanvallen uitvoeren, cybercriminelen nu vaker op zoek gaan naar (financieel) aantrekkelijke doelwitten en daar hier gerichte aanvallen op uitvoeren. Cybercriminelen verdienen daarnaast volgens ENISA veel geld met advertentiefraude (clicks genereren en daarmee geld verdienen) en het leveren van diensten voor andere cybercriminelen (cybercrime-as-a-service). Volgens ENISA is er een toenemende interactie tussen cybercriminelen en statelijke actoren bij het uitvoeren van aanvallen.

De ‘insider-dreiging’ (medewerkers van bedrijven of instellingen) worden als tweede grootste bedreiging geïdentificeerd. ENISA zegt dat het motief bij deze interne actoren in de regel financieel van aard is.

Statelijke actoren worden als derde grootste bedreiging gesignaleerd. Staten maken van computers en internet gebruik voor bijvoorbeeld economische spionage en om aan (politieke) beïnvloeding te doen. ENISA wijst er op dat steeds meer staten investeren in de “cybercapaciteiten” van overheidsinstanties en dit leidt tot een grotere cybersecurity leidt. Ook wordt ondersteuning gevonden voor de claim dat deze statelijke actoren vaker dan andere actoren gebruik maken van zero day-kwetsbaarheden bij hun aanvallen. Het lekken van deze zero days kan op zijn beurt grote gevolgen hebben, zoals de WannaCry-aanval laat zien.

Op p. 98 van het rapport is een mooi overzicht van de betrokken actoren en hun manier van werken te vinden.

Cybercrime-specifiek

De meest in het oog springende resultaten met betrekking tot cybercrime zou ik als volgt samenvatten:

  1. Toename in ernst en complexiteit van aanvallen

In het algemeen wordt er op gewezen dat cybercrime in enge zin – kort gezegd (1) computervredebreuk (hacken), (2) de verspreiding van malware en (3) ddos-aanvallen – in ernst en complexiteit stijgt. Interessant is bijvoorbeeld de stijging in ‘clickless’ malware, waarbij geen interactie (zoals een klik op een knop of bestand) is vereist ten behoeve van de installatie van malware en de verdere verspreiding ervan. In het rapport wordt ook gewezen op het gebruik van kwetsbaarheden in webbrowsers (incl. plugins) en kwaadaardige linkjes via phishingmails als populaire infectiemethode.

In het rapport uiteraard ook gewezen op de stevige stijging van malware-incidenten en zeer zware ddos-aanvallen die zijn uitgevoerd met behulp van het Mirai-botnet (dat misbruik maakt van kwetsbare IoT-apparaten). De dos-aanval op DNS-provider Dyn leidde tot grote en merkbare schade door het tijdelijk uitvallen van populaire diensten zoals Netflix.

ENISA komt tot de zorglijke conclusie het opsporen van de daders achter aanvallen (zoals criminelen en statelijke actoren) “welhaast onmogelijk” is en de acties en motieven van de aanvallen achteraf vaak onduidelijk blijven. Dat maakt het op zijn beurt volgens het agentschap bijzonder moeilijk de actoren achter cyberaanvallen en werkwijze te profileren.

De Nederlandse politie krijgt nog een “eervolle vermelding”  (afhankelijk hoe je het bekijkt) van een ‘sophisticated, yet risky way to prosecute cyber-criminal offences’ in het kader van het overnemen van de Hansa-marktplaats op het darkweb.

  1. Ransomware

Ransomware wordt een ‘prominent threat’ genoemd. In het rapport wordt mooi weergegeven wat de tijdlijn is geweest met betrekking tot de WannaCry-aanval die in Nederland tot uitval van (onder andere) de Tweede Maasvlakte heeft geleid. Het verwonderd mij overigens dat de regering in een Kamerbrief laat weten dat deze aanval niet ‘maatschappelijk ontwrichtend’ is geweest. Welke aanvallen zijn dat dan wel, vraag ik mij af. En wat voor een rol speelt het NCSC hierbij nu precies? Is deze enigszins effectief?

Ten slotte werd een interessant nieuwe trend genoemd waarbij gespecialiseerde ransomware zich richt op medische apparaten. Als deze onbruikbaar worden kan dit natuurlijk ook (meestal indirect) de gezondheid van mensen in gevaar brengen. Dit past in de genoemde trend in het rapport waarbij meer gerichte ransomware aanvallen plaatsvinden om geld af te persen van bedrijven of overheidsinstellingen.

Leidraad sexting

jjoerlemans Een reactie plaatsen

Sinds 1 november 2017 is de leidraad sexting (.pdf) gepubliceerd. De leidraad is noemenswaardig, omdat de politie en het Openbaar Ministerie steeds vaker worden geconfronteerd met sextingzaken. Sexting is eenvoudig gesteld het vervaardigen en verspreiden van seksueel getint materiaal.

Als bij sexting een minderjarige betrokken is, is sprake van het vervaardigen, verspreiden of bezitten van kinderpornografie (art. 240b Sr). Er is echter een grote variatie in de ernst van deze sextingzaken, die onder andere gerelateerd is aan de mate van vrijwilligheid waarmee het beeldmateriaal tot stand is gekomen, de aard van het beeldmateriaal, de wijze en mate van verspreiding en de relatie tussen de betrokkenen. Daardoor valt de gedraging juridisch vaak tevens onder andere strafbaarstellingen. De leidraad maakt inzichtelijk op basis van welke criteria bepaald kan worden wat de mate en wijze van onderzoek en vervolgens de afdoening van deze zaken door politie en OM kan zijn.

In de leidraad staat onder andere dat een strafrechtelijke vervolging niet opportuun is in het geval alles op basis van vrijwilligheid tussen twee minderjarigen gebeurt. Strafrechtelijke vervolging ligt daarentegen meer voor de hand als er sprake is van bedreiging, afpersing, misleiding of intimidatie.  De gedraging kan dan eventueel worden gekwalificeerd als belediging (artikel 266 Sr) of smaad (artikel 261 Sr).

Bij een minderjarige verdachte dienen ook de gevolgen van een vervolging te worden meegewogen bij het nemen van een vervolgingsbeslissing, zoals  een aantekening als zedendelinquent op de justitiële documentatie. Als gevolg daarvan kan een Verklaring Omtrent Gedrag (VOG) in de toekomst worden geweigerd. In minder ernstige gevallen kan ook worden volstaan met de nieuwe HALT interventie ‘Sexting: Respect Online’.

Inzet wietdrones

jjoerlemans Een reactie plaatsen

Op 14 november 2017 heeft staatssecretaris een brief naar de Tweede Kamer gestuurd over de inzet van ‘wietdrones’. De staatssecretaris verwijst naar een handleiding over privacy en het gebruik van drones. Daar in staat dat drones mogen worden ingezet op een bepaald terrein dat eigendom van die burger of dat bedrijf is, waar regelmatig diefstal plaatsvindt of zaken worden vernield, voor zover dat dat noodzakelijk en subsidiair is.

Verder zal dit ook kenbaar moeten worden gemaakt, zoals met bordjes. De staatssecretaris merkt op dat de controle van maisvelden met behulp van drones op aanwezigheid van wietplantages moet in een andere context moet worden gezien.

De kans dat de inzet van drones in dat geval tot het verwerken van persoonsgegevens leidt, is vrijwel nihil. Van belang is wel dat de drones zo worden ingezet dat zij zo min mogelijk beelden van wegen en paden om en door deze velden maken, omdat anders de kans toeneemt dat ook beelden van mensen worden gemaakt.

Verder geeft de bewindsman mee dat ‘overwogen kan worden’ een camera te gebruiken die beelden van gezichten kan ‘blurren’. Een en ander betekent dat er aanmerkelijk meer ruimte voor de inzet van drones voor controle van maisvelden, aldus staatssecretaris Dekker.

Europol rapport ‘Drugs and the darknet’

jjoerlemans Een reactie plaatsen

Europol heeft in november 2017 het rapport ‘Drugs and the darknet’ uitgebracht. Het rapport biedt veel informatie en belangrijke inzichten in online drugshandel, dat zich voornamelijk afspeelt via internetmarktplaatsen die via Tor bereikbaar zijn.

Hierbij moet meteen worden opgemerkt dat het aandeel van online drugshandel in de totale omvang van drugshandel wereldwijd vooralsnog klein is. Wel stelt Europol dat het de verwachting is dat online drugshandel een verdere groei zal doormaken. Dat kan worden verklaard door de manier waarop het darkweb deze vorm van criminaliteit faciliteert, met name door de anonimiteit die het Tor netwerk biedt, de mogelijkheden om versleuteld te communiceren, de mogelijkheden om te betalen in cryptocurrencies zoals Bitcoin (en in toenemende mate Monero en ZCash).

In het rapport wordt met veel openheid uitgelegd hoe online drugsmarkten werken en welke drugsmarkten actief zijn geweest. Daarbij wordt bijvoorbeeld uitgebreid ingegaan op de drugsmarkt AlphaBay, dat op enig moment naar schatting 28% van gehele omzet op online drugshandel voor zijn rekening nam. Grote operaties waarbij darknet markets offline zijn gehaald, hebben volgens Europol de drugsmarkten verstoord. Tegelijkertijd is duidelijk dat de drugshandelaren en kopers tegenmaatregelen nemen, zoals het aanbrengen van versleuteling op de marktplaatsen en het vereiste verschillende sleutels in te voeren voor het autoriseren van bitcointransacties. In het rapport wordt opgemerkt dat de politiedienst een goed beeld heeft van de Westerse drugsmarkten, maar vooralsnog (te) weinig zich heeft op online drugsmarkten met een niet-Engelse voertaal, zoals Russisch.

Duitsland, Nederland en het Verenigd Koninkrijk hebben het grootste aandeel met betrekking tot het aanbod van drugs binnen de Europese Unie via darknet markets. Nederlandse verkopers zijn bekend om hun aanbod van MDMA, dat vaak van goede kwaliteit is.

Europol geeft aan dat het dataretentie-arrest van het Hof van Justitie van de Europese Unie grote problemen veroorzaakt in cybercrime onderzoeken naar online drugshandel, omdat de gegevens bij internet access providers niet verplicht beschikbaar worden gemaakt voor opsporingsinstanties. Ook levert de toepassing van ‘carrier-grade NAT’ technologie bij mobiele internet dienstverleners grote problemen op, omdat sommige aanbieders hun eigen klanten op hun netwerk niet meer kunnen identificeren door de gebruikte poorten niet te loggen en aangezochte IP-adressen niet vast te leggen. Carrier-grade NAT is een technologie waarbij verschillende internetgebruikers gebruik kunnen maken van hetzelfde IP-adres. De techniek wordt gebruikt door 95% van de mobiele telecomaanbieders en bijna 50% van de internet service providers wereldwijd.

De toename in het gebruik van encryptie (bijvoorbeeld door het gebruik van het PGP-sleutels) en het gebruik van anonimiseringsdiensten voor bitcoins (met zogenaamde ‘bitcoin-mixing diensten’ of ‘tumblers’) daagt ook de opsporing uit. In het rapport wordt tevens (wederom) aangegeven dat de jurisdictieproblemen in opsporingsonderzoeken naar cybercrime groot zijn. De problemen doen zich voor vanwege verschillende strafbaarstellingen, verschillende voorwaarden voor de inzet van bevoegdheden, problemen met betrekking tot de lokalisering van computers op het darkweb en een gebrek aan eenduidigheid over het uitvoeren van digitaal forensisch onderzoek.

Het ‘European Investigation Order’, dat een nieuw instrument biedt voor een meer directe vorm van rechtshulp binnen de EU, biedt volgens Europol onvoldoende mogelijkheden om effectief bewijs over de grenzen te verzamelen. Vanwege de vereiste specialistische kennis die is vereist en grensoverschrijdende aard van de criminaliteit heeft Europol een speciaal ‘darknet team’ opgericht. Zij raadt aan dat andere Lidstaten ook dergelijke teams oprichten.

In het rapport wordt ten slotte opgemerkt dat de Europese Commissie in het begin 2018 een voorstel zal doen voor een ‘nieuw juridisch instrument’ om elektronisch bewijs te vergaren

Wet gegevensverwerking en meldplicht cybersecurity

jjoerlemans Een reactie plaatsen

Wet gegevensverwerking en meldplicht cybersecurity aangenomen

Op 11 juli 2017 heeft de Eerste Kamer de Wet gegevensverwerking en meldplicht cybersecurity aangenomen. De wet is op 1 oktober 2017 in werking getreden (Stb. 2017, 316). De wet biedt een wettelijke grondslag voor de verwerking en uitwisseling van gegevens van publieke en private partijen met het Nationaal Cybercrime Security Centrum.

Meldplicht vitale infrastructuren

Daarnaast is in de wet een meldplicht opgenomen voor ernstige digitale veiligheidsincidenten die de samenleving kunnen ontwrichten. De meldplicht geldt voor aanbieders van vitale infrastructuren. In de nadere memorie van antwoord werden organisaties binnen de volgende sectoren genoemd: (1) drinkwater; (2) energie; (3) nucleair; (4) financieel; (5) elektronische communicatienetwerken- en diensten; (6) mainport Rotterdam; (7) mainport Schiphol; en (8) keren en beheren (waterkeringen). Deze lijst wordt later nog aangevuld met organisaties die horen bij de sector ‘digitale overheid’.

Inhoud meldplicht

Op grond artikel 6 van de wet moet de vitale aanbieder de minister onverwijld in kennis stellen van ‘een inbreuk op de veiligheid of een verlies van integriteit van zijn informatiesysteem waardoor de beschikbaarheid of betrouwbaarheid van een product of dienst in belangrijke mate wordt of kan worden onderbroken’. Deze kennisgeving omvat in ieder geval: (a) de aard en omvang van de inbreuk of het verlies; (b) het vermoedelijke tijdstip van de aanvang van de inbreuk of het verlies; (c) de mogelijke gevolgen van de inbreuk of het verlies; (d) een prognose van de hersteltijd; (e) zo mogelijk, de door de vitale aanbieder genomen of te nemen maatregelen om de gevolgen van de inbreuk of het verlies te beperken of herhaling hiervan te voorkomen; en (f) de contactgegevens van de functionaris die verantwoordelijk is voor het doen van de kennisgeving.

De ratio van de meldplicht is dat het NCSC op deze manier op de hoogte raakt van ernstige incidenten en hulp kan verlenen (ook aan andere organisaties binnen dezelfde branche). Bijzonder is het uitgangspunt bij deze meldplicht dat in principe geen handhaving hier op zal plaatsvinden, omdat hulpverlening volgens de wetgever centraal moet staan. Het NCSC kan de informatie verstrekken aan computercrisisteams en de AIVD en MIVD.

(d)dos-er van ‘grootste aanval ooit’ veroordeeld

jjoerlemans Een reactie plaatsen

Op 14 november 2016 is een verdachte door de Rechtbank Rotterdam (ECLI:NL:RBROT:2016:8664) veroordeeld voor zijn ‘substantiële bijdrage aan de grootschalige DDos-aanval’ op de servers van Spamhaus.

Spamhaus is een non-profitorganisatie die zich bezighoudt met de bestrijding van spam. De aanval werd door de media destijds bestempeld als de ‘grootste ddos-aanval ooit’. Webwereld legde uit dat de datatsunami 300 miljard bits per seconden (300 Gigabit/s) bereikt werd door het gebruik van een zogenaamde ‘DNS-amplificatieaanval’. Daarmee worden valse DNS-aanvragen naar duizenden DNS-servers op het internet verstuurd, die afkomstig leken van Spamhaus. Hun antwoord werd automatisch naar de servers van Spamhaus teruggestuurd, waardoor de servers vijf dagen lang overbelast waren.

Uit Skype chatgesprekken is gebleken dat de verdachte opdrachten heeft gegeven en noodzakelijke informatie (zoals IP-adressen) heeft verstrekt aan degenen die de aanvallen daadwerkelijk uitvoerden. Daarnaast blijkt uit de gesprekken dat de verdachte onderdeel uitmaakte van de organisatie die de aanval uitvoerde en zeggenschap had over wat er gebeurde. Een medeverdachte die de aanvallen daadwerkelijk uitvoerde, zag de verdachte zelfs als één van de leiders van de groep.

Gelet hierop is de rechtbank van oordeel dat de verdachte een (intellectuele) bijdrage aan de verwezenlijking van de ddos-aanvallen heeft geleverd. De verdachte wordt om die reden door de rechtbank aangemerkt als medepleger. Vrijspraak volgt wel van de ten laste gelegde deelname aan een criminele organisatie. De ‘IP-hijack’ van een mailserver bij Spamhaus waardoor intern binnen de organisatie spam werd verstuurd, was daarnaast niet juist ten laste gelegd.

De verdachte wordt veroordeeld tot een onvoorwaardelijke gevangenisstraf, gelijk aan het voorarrest en een voorwaardelijke gevangenisstraf van 310 dagen met 2 jaar proeftijd.

Internet organised threat assessment 2017

jjoerlemans Een reactie plaatsen

Op 28 september 2017 heeft Europol zijn ‘Internet Organised Crime Threat Assessment 2017’ rapport uitgebracht. Het rapport geeft ieder jaar een bijzondere inkijk in de laatste ontwikkelingen op het gebied van ‘internet organised crime’. De belangrijkste conclusies uit het rapport worden hieronder kort besproken.

Ransomware

Ransomware vormt volgens Europol de belangrijkste malware dreiging, gelet op de slachtoffers en de schade die het met zich meebrengt. Met ransomware wordt relatief eenvoudig geld verdiend. Door het gebruik van cryptocurrencies, zoals Bitcoin, zijn de verdiensten bovendien relatief eenvoudig wit te wassen. Naast Bitcoin worden ook Monero, Etherium en ZCash in toenemende mate door cybercriminelen gebruikt. ‘Kirk’ is de eerste ransomware waarbij Monero werd gebruikt voor het losgeld (in plaats van Bitcoin).

Niet alleen individuen worden door cybercriminelen met ransomware aangevallen, maar ook ziekenhuizen, de politie en overheidsinstellingen. MKB-bedrijven worden steeds vaker aangevallen, mede vanwege hun beperkte budget om voldoende beveiligingsmaatregelen te nemen. Europol spreekt van een ‘explosie’ van ransomware dat op de markt komt, waarbij sommige rapporten spreken van een toename van 750% in 2016 ten opzichte van 2015.

‘Information stealers’ vormen de op een na grootste bedreiging met betrekking tot malware. Het kost cybercriminelen aanzienlijk meer moeite de benodigde informatie (zoals financiële gegevens) te stelen en het is voor criminelen lastiger met deze malware geld te verdienen vergeleken met ransomware. In het rapport wordt terecht opgemerkt dat Europol een vertekend beeld krijgt van de malwaredreiging, omdat mensen vaak de gevolgen van het gebruik van malware rapporteren. De IT beveiligingsindustrie geeft daarom noodzakelijke input voor het rapport. Binnen deze industrie bestaat een meer volledig beeld van de dreiging.

Internet of things

Europol signaleert ook de dat zwakke beveiliging van ‘Internet of Things’-apparaten cyberaanvallen in de hand werkt. Het Mirai-botnet, dat werd gevormd door lekke en misbruikte IoT-apparaten, heeft in 2016 met een zeer sterke (d)DoS-aanval de Amerikaanse DNS-provider Dyn platgelegd, waardoor populaire diensten als Twitter, SoundCloud, Spotify, Netflix, Reddit en PayPal ongeveer 2 uur onbereikbaar waren. Denial-of-service aanvallen zijn eenvoudig uit te voeren. Een botnet die in staat is een denial-of-service aanval van 5 minuten op een webshop uit te voeren, kan slechts voor 5 dollar op websites worden gehuurd.

Kinderporno

Kinderporno op internet blijft een groot probleem. Het aanbod, de verspreiding en vervaardiging van het materiaal lijkt niet af te nemen. Daarnaast worden enorme hoeveelheden kinderporno in beslag genomen. Volgens Europol zijn hoeveelheden 1-3 Terabyte niet ongebruikelijk met 1 tot 10 miljoen afbeeldingen met kinderpornografie. Peer-to-peer programma’s, zoals GigaTribe, worden nog steeds door kinderpornogebruikers misbruikt voor de verspreiding en het binnenhalen van kinderporno. Europol signaleert dat ook populaire apps en sociale mediadiensten in toenemende mate worden misbruikt voor de distributie van kinderporno. Het is ook helder dat websites op het darkweb worden gebruikt voor toegang en verspreiding van kinderpornografie. Het rapport haalt aan hoe de hack op het hosting bedrijf ‘Freedom Hosting II’ 10.000 darknet websites blootlegde, waarvan 50% kinderpornografische afbeeldingen bevatte. Deze websites zijn overigens vaak gespecialiseerd in kinderporno, omdat online marktplaatsen geen kinderporno accepteren. Zowel op het ‘Surface web’ als op het ‘dark web’ zijn er pay-per-view-diensten beschikbaar waarop kinderpornografisch materiaal wordt aangeboden. Volgens Europol maken veel Westelingen gebruik van de diensten, waarbij vooral minderjarigen uit de Zuidoost-Azië en Afrika worden misbruikt. De opsporing van deze misdrijven wordt bemoeilijkt door het gebruik van gratis WiFi-diensten die bijvoorbeeld in de Filipijnen aan arme wijken worden aangeboden. Het is daardoor lastig op basis van het IP-adres de slachtoffers te identificeren.

Cobalt

Het gebruik chipbetaalkaarten met de EMV-standaard is nog niet alle staten gemeengoed geworden. Betaalkaarten en betaalautomaten die niet van de standaard gebruik maken, worden op grote schaal misbruikt om fraude en andere delicten zoals de aankoop van drugs mee te plegen. In het rapport worden spectaculaire hacks beschreven waarbij pinautomaten of het systeem dat de pinbetalingen faciliteert worden gehackt, waarna de pinautomaten automatisch geld uitspuwen of geld tot een veel hoger bedrag (tot 200.000 euro) kan worden opgenomen. Verwezen worden naar de ‘Carnabak’-groep die in 2014-2015 op deze manier 1 miljard dollar buit heef gemaakt. Meer recent is volgens Europol de ‘Cobalt’-groep actief geweest met het infecteren van pinautomaten met malware om frauduleuze pinopnamen te doen binnen de Europese Unie, waaronder Nederland.

Darknet markets

In het rapport wordt veel aandacht besteed aan de groei van ‘darknet markets’. De online handelsplatformen op het darkweb zijn toegankelijk via Tor, I2P en Freenet, waarbij de illegale activiteiten zich nog voornamelijk via Tor afspelen. In juni 2017 had het Tor netwerk 2.2 miljoen actieve gebruikers en bevatte het bijna 60.000 unieke .onion domeinnamen. De gebruikmaking van deze diensten zijn nog niet de standaard geworden voor de distributie van illegale goederen. Maar de darknet markets groeien snel met een eigen klantenkring in de gebieden van illegale drugshandel, wapenhandel en kinderporno. Daarnaast worden ook veel persoonsgegevens, in het bijzonder gegevens over betaalkaarten en login gegevens voor online bankieren, op het dark web aangeboden.

Volgens Europol maken de volgende drie factoren het gebruik van Tor voor criminelen aantrekkelijk: (1) een bepaalde mate van anonimiteit, (2) een diverse markt aan kopers die minder lijflijk risico lopen en kunnen betalen met cryptocurrencies en (3) een goede kwaliteit van producten die worden verkocht door aanbieders die worden beoordeeld op basis van reviews. 

Maatregelen

Voor het tweede jaar achtereen geeft Europol in het rapport ook de boodschap af encryptie de opsporing voor cybercrime belemmert. Het maakt het aftappen van telecommunicatieverkeer minder effectief en belemmert digitaal forensisch onderzoek. Daarnaast is het helder dat de onrechtmatig verklaring van de dataretentierichtlijn op 8 april 2014 door het Hof van Justitie van de EU een ‘aanzienlijke negatieve invloed’ heeft op de mogelijkheden van opsporingsautoriteiten om bewijsmateriaal veilig te stellen. In sommige lidstaten is nog steeds dataretentieregelgeving voor telecommunicatiedienstverleners (waaronder ISP’s) van kracht, maar in veel andere EU lidstaten niet meer. Deze fragmentatie belemmert de internationale opsporing van cybercrime. Europol doet geen voorstellen tot maatregelen op dit gebied, wellicht omdat het te politiek gevoelig is, maar benadrukt de problematiek die het met zich meebrengt.

Internet organised threat assessment report 2016

jjoerlemans Een reactie plaatsen

In oktober 2016 is het meeste recente rapport van het ‘Internet Organised Crime Threat Assessment’ (IOCTA) door Europol gepubliceerd. In het rapport wordt een overzicht van trends binnen cybercrime verschaft en wordt door Europol aangegeven welke maatregelen moeten worden genomen om cybercrime te bestrijden. Beide aspecten worden hieronder kort toegelicht.

Ransomware

De opkomst van ransomware is de belangrijkste trend. Deze vorm van cybercrime overschaduwt volgens het rapport andere vormen van cybercrime waar men in het verleden veel last van had, zoals banking malware. Met betrekking tot betalingen tussen criminelen wordt het in rapport opgemerkt dat bitcoin hoofdzakelijk als (virtueel) betaalmiddel wordt gebruikt. Het gebruik van het virtuele betalingsmiddel is ook de standaard geworden bij afpersingen, die plaatsvinden met behulp van ransomware- of denial-of-service-aanvallen. In dit kader is het ook van belang dat het WODC in december 2016 een rapport heeft gepubliceerd over ransomware, banking malware en het witwassen met digitale betalingsmiddelen. Het witwasproces dat plaatsvindt bij gebruikmaking van bitcoins en de betrokken actoren worden uitvoerig in het rapport besproken.

Daarnaast is ook zogenaamde ‘CEO fraude’ sterk in opkomst. Bij deze vorm van fraude zijn bedrijven het doelwit van een georganiseerde groep van oplichters. Nadat op afstand toegang is verschaft tot de systemen van een bedrijf wordt een e-mail in naam van de baas van een bedrijf verstuurd naar een werknemer van de afdeling van financiële administratie, waarbij deze werknemer ertoe wordt bewogen een groot bedrag over te maken naar een door de criminelen opgeven rekening.

Ten slotte waarschuwt Europol voor de steeds sterker worden ddos-aanvallen die worden uitgevoerd. De aanvallen fungeren soms als rookgordijn om gegevens uit gehackte systemen te exfiltreren. Steeds vaker worden daarbij ook medische gegevens en intellectuele eigendomsrechten van bedrijven en instellingen gestolen.

Witwassen

In het IOCTA-rapport wordt verder opgemerkt dat cybercriminelen van veel verschillende elektronische communicatiemiddelen gebruikmaken. Deze verschillen van eenvoudig te gebruiken e-mail tot versleutelde gesprekken via chatdiensten, zoals Jabber. Ook blijken forums op het darkweb een belangrijk communicatiemiddel voor criminelen.

Een groeiend aantal forums en peer-to-peernetwerken wordt ook gebruikt om materiaal met betrekking tot kindermisbruik uit te wisselen. Zelfvervaardigd materiaal en materiaal dat afkomstig is van live-webcamseks met minderjarigen, dragen sterk bij aan de beschikbare hoeveelheid materiaal op internet. Versleutelde online mediadiensten en het gebruik van nagenoeg anonieme betalingsnetwerken faciliteren volgens Europol de livestreaming van filmpjes van kindermisbruik. Net als vorig jaar wordt door Europol gesignaleerd dat het gebruik van versleuteling van communicatie (gegevens in transport) en het gebruik van versleuteling van gegevens op een computer (in opslag) een grote uitdaging voor opsporingsdiensten vormen. Het gebruik van standaard versleuteling op mobiele telefoons versterkt dit probleem, aldus Europol.

Maatregelen

In het IOCTA-rapport worden de volgende juridische maatregelen gesuggereerd. Europol raadt aan om undercoveroperaties binnen de EU te harmoniseren. Opsporingsinstanties blijken in de praktijk moeilijkheden te ondervinden in het legitiem inzetten van undercoverbevoegdheden op het darkweb. Ook wordt aangeraden het vastleggen van elektronisch bewijs binnen de EU te harmoniseren. Het gaat daarbij om het vergaren van bewijs van internetserviceproviders, het gladstrijken van procedures met betrekking tot rechtshulp en een mogelijk nieuwe kijk op ‘jurisdictie in cyberspace’.

Europol iOCTA report 2017

jjoerlemans Een reactie plaatsen

Posted on 06/10/2017 op Oerlemansblog

Europol brengt elk jaar het ‘internet organised threat assessment’ (iocta) rapport uit. Het rapport komt tot stand aan de hand van vragenlijsten aan politieorganisaties binnen de EU en door input van bedrijven. Het biedt een interessant en gedetailleerde inzicht in de actuele stand van cybercrime. Ook dit jaar sprak het rapport mij aan en daarom heb ik een samenvatting gemaakt van de belangrijkste bevindingen. Deze samenvatting wil ik de geïnteresseerde lezer natuurlijk niet onthouden.

Ransomware

Ransomware vormt volgens Europol de belangrijkste malware dreiging, gelet op de slachtoffers en de schade die het met zich meebrengt. Met ransomware wordt relatief eenvoudig geld verdiend. Door het gebruik van cryptocurrencies, zoals Bitcoin, zijn de verdiensten bovendien relatief eenvoudig wit te wassen. Naast Bitcoin worden ook Monero, Etherium en ZCash in toenemende mate door cybercriminelen gebruikt. ‘Kirk’ is de eerste ransomware, waarbij Monero werd gebruikt voor het losgeld (in plaats van Bitcoin).

Niet alleen individuen worden door cybercriminelen met ransomware aangevallen, maar ook ziekenhuizen, de politie en overheidsinstellingen. MKB-bedrijven worden steeds vaker aangevallen, mede vanwege hun beperkte budget om voldoende beveiligingsmaatregelen te nemen. Europol spreekt van een “explosie van ransomware” dat op de markt komt, waarbij sommige rapporten spreken van een toename van 750% in 2016 ten opzichte van 2015.

Information stealers

‘Information stealers’ vormen de op een na grootste bedreiging met betrekking tot malware. Het kost cybercriminelen aanzienlijk meer moeite de benodigde informatie te stelen (zoals financiële gegevens) en het is voor criminelen lastiger met deze malware geld te verdienen vergeleken met ransomware. In het rapport wordt terecht opgemerkt dat Europol een vertekend beeld krijgt van de malwaredreiging, omdat mensen vaak de gevolgen van het gebruik van malware rapporteren. De IT beveiligingsindustrie geeft daarom noodzakelijke input voor het rapport. Binnen deze industrie bestaat een meer volledig beeld van de dreiging.

Slechte beveiliging IoT-apparaten

Europol signaleert ook de dat zwakke beveiliging van Internet of Things-apparaten cyberaanvallen in de hand werkt. Het Mirai-botnet, dat werd gevormd door lekke en misbruikte IoT-apparaten, heeft in 2016 met een zeer sterke (d)DoS-aanval de Amerikaanse DNS-provider Dyn platgelegd, waardoor populaire diensten als Twitter, SoundCloud, Spotify, Netflix, Reddit en PayPal ongeveer 2 uur onbereikbaar waren. Denail-of-service aanvallen zijn eenvoudig uit te voeren. Een botnet die in staat is een denial-of-service aanval van 5 minuten op een webshop uit te voeren, kan slechts voor 5 dollar op websites worden gehuurd.

Kinderpornografie op internet

Kinderpornografie op internet blijft een groot probleem. Het aanbod, de verspreiding en vervaardiging van het materiaal lijkt niet af te nemen. Daarnaast worden enorme hoeveelheden kinderporno in beslag genomen. Volgens Europol zijn hoeveelheden 1-3 Terabyte niet ongebruikelijk met 1 tot 10 miljoen afbeeldingen met kinderpornografie. Peer-to-peer programma’s, zoals GigaTribe, worden nog steeds door kinderpornogebruikers misbruikt voor de verspreiding en het binnenhalen van kinderporno. Europol signaleert dat ook populaire apps en sociale mediadiensten in toenemende mate worden misbruikt.

Het is ook helder dat websites op het darkweb worden gebruikt voor toegang en verspreiding tot kinderporno. Het rapport haalt aan hoe de hack op het hosting bedrijf ‘Freedom Hosting II’ 10.000 darknet websites blootlegde, waarvan 50% kinderpornografische afbeeldingen bevatte. Deze websites zijn overigens vaak gespecialiseerd in kinderporno, omdat online marktplaatsen geen kinderporno accepteren. Zowel op het ‘Surface web’ als op het ‘dark web’ zijn er pay-per-view-diensten beschikbaar waarop kinderpornografische materiaal wordt aangeboden. Volgens Europol maken veel Westelingen gebruik van de diensten, waarbij vooral minderjarigen uit de Zuidoost-Azië en Afrika worden misbruikt. De opsporing van deze misdrijven wordt bemoeilijkt door het gebruik van gratis WiFi-diensten die bijvoorbeeld in de Filipijnen aan arme wijken worden aangeboden. Het is daardoor lastig op basis van het IP-adres de slachtoffers te identificeren.

Fraude met betaalkaarten

Het gebruik chipbetaalkaarten met de EMV-standaard is nog niet alle staten gemeengoed geworden. Betaalkaarten en betaalautomaten die niet van standaard gebruik maken, worden op grote schaal misbruik om fraude en andere delicten zoals de aankoop van drugs mee te plegen. In het rapport worden spectaculaire hacks beschreven waarbij pinautomaten of het systeem dat de pinbetalingen faciliteert worden gehackt, waarna de pinautomaten automatisch geld uitspuwen of geld tot een veel hoger bedrag (tot 200.000 euro) kan worden opgenomen. Verwezen worden naar de ‘Carnabak’-groep die in 2014-2015 op deze manier 1 miljard dollar buit heef gemaakt. Meer recent is volgens Europol de ‘Cobalt’-groep actief geweest met het infecteren van pinautomaten met malware om frauduleuze pinopnamen te doen binnen de Europese Unie, waaronder Nederland.

Groei darknet markets

In het rapport wordt veel aandacht besteed aan de groei van ‘darknet markets’. De online handelsplatformen op het darkweb zijn toegankelijk via Tor, I2P en Freenet, waarbij de illegale activiteiten zich nog voornamelijk via Tor afspelen. In juni 2017 had het Tor netwerk 2.2 miljoen actieve gebruikers en bevatte het bijna 60.000 unieke .onion domeinnamen. De gebruikmaking van deze diensten zijn nog niet de standaard geworden voor de distributie van illegale goederen. Maar de darknet markets groeien snel met een eigen klantenkring in de gebieden van illegale drugshandel, wapenhandel en kinderporno. Daarnaast worden ook veel persoonsgegevens, in het bijzondere gegevens over betaalkaarten en login gegevens voor online bankieren, op het dark web aangeboden. Volgens Europol maken de volgende drie factoren het gebruik van Tor voor criminelen aantrekkelijk: (1) een bepaalde mate van anonimiteit, (2) een diverse markt aan kopers die minder lijflijk risico lopen en kunnen betalen met cryptocurrencies en (3) een goede kwaliteit van producten die worden verkocht door aanbieders die worden beoordeeld op basis van reviews.

Encryptie en dataretentie belemmering de opsporing

Voor het tweede jaar achtereen geeft Europol in het rapport ook de boodschap af encryptie de opsporing voor cybercrime belemmert. Het maakt het aftappen van telecommunicatieverkeer minder effectief en belemmert digitaal forensisch onderzoek. Daarnaast is helder dat de onrechtmatig verklaring van de dataretentierichtlijn op 8 april 2014 door het Hof van Justitie van de EU een ‘aanzienlijke negatieve invloed’ heeft op de mogelijkheden van opsporingsautoriteiten om bewijsmateriaal veilig te stellen. In sommige lidstaten is nog steeds dataretentieregelgeving voor telecommunicatiedienstverleners (waaronder ISP’s) van kracht, maar veel andere EU lidstaten niet. Deze fragmentatie belemmert de internationale opsporing van cybercrime. Europol doet geen voorstellen tot maatregelen op dit gebied, wellicht omdat het te politiek gevoelig is, maar benadrukt de problematiek die het met zich meebrengt.

Kabinetsreactie uitbraak Not-Petya

jjoerlemans Een reactie plaatsen

Op 20 september heeft de staatssecretaris van Veiligheid en Justitie een brief gestuurd naar de Tweede Kamer over de “cyberaanvallen” met de cryptoware ‘Not-Petya’ en ‘Wannacry’. In de brief wordt beschreven hoe op dinsdag 27 juni 2017 wereldwijd organisaties werden getroffen door cryptoware. De initiële besmetting lijkt plaats te hebben gevonden via een update van de boekhoudsoftware van een Oekraïens softwarebedrijf en verspreiding via een Oekraïense nieuwswebsite.

Geen maatschappelijke ontwrichting

Naar aanleiding van de aanval is de Nederlands APM Terminals op de Tweede Maasvlakte enkele dagen gesloten. Toch wordt in de brief opgemerkt dat ‘hoewel er in de media veel aandacht was voor de aanval, dit niet heeft geresulteerd in concrete maatschappelijke ontwrichting binnen Nederland’. Wel heeft het een ‘serieuze impact’ gehad en waren volgens het NCSC vier Nederlandse bedrijven besmet. Volgens de staatssecretaris heeft het NCSC adequaat gewaarschuwd en geadviseerd over te treffen maatregelen naar aanleiding van de malware.

In de nader gewijzigde motie van de leden Hijink (SP) en Tellegen (VVD) van 13 juni jl. (Kamerstukken II 2016/17, 26643, nr. 474) is de regering reeds verzocht om in overleg te treden met maatschappelijke organisaties over de oprichting en vormgeving van een ‘Digital Trust Centre’ teneinde bedrijven en maatschappelijke organisaties te informeren, adviseren en concrete hulp en ondersteuning te bieden voor het verbeteren van cybersecurity. Dit centrum wordt vormgegeven. Door het kabinet wordt voor 2018 een budget van 26 miljoen euro vrijgemaakt. Het geld wordt besteed aan de oprichting van het Digital Trust Centre en aan de ‘verdere verhoging van de digitale weerbaarheid’ in Nederland.