Jan Guldentops

Centre for Cybersecurity Belgium waarschuwt voor aanvallen op M365 via SMS-authenticatie CCB stuurt een waarschuwing uit dat bij meerdere Belgische organisaties M365-accounts gecompromitteerd zijn via SMS-authenticatie. Blijkbaar zijn er nog mensen die dit als enige factor gebruiken, zelfs zonder wachtwoord op die account. SMS- en voice-authenticatie kan gephisht, onderschept of ge-SIM-swapt worden en is dus eigenlijk niet geschikt als eerste en enige factor, maar ook niet als tweede factor. Microsoft zet SMS- en voice-authenticatie in Entra ID ook af: voor de meeste gebruikers vanaf 1 februari 2027, voor Global Admins en externe gebruikers vanaf 1 juli 2027. In oktober schreef ik al hoe klassieke MFA een minimale basisregel is, geen garantie. Dus: check of je dit nog aan hebt staan en controleer of je niet veel gebruikers (en eventueel jezelf, misschien zelfs je admin-account) buitensluit als je dit afzet. Zorg dat dit zo snel mogelijk uitstaat en check je logfiles op rare events in het Microsoft Entra-admincentrum, onder Entra ID → Monitoring & health → Sign-in logs en Audit logs. Meer informatie: lnkd.in/er22n2sV

Belangrijk: N-able haalt N-central offline Ik heb niet de tijd vanmorgen om hierover een volledig stukje te schrijven, maar dit is ernstig. N-central/N-insigjt is software die een service provider toelaat om pc's en servers bij hun klanten te monitoren en beheren. Het is software die ingebed zit in alles binnen je organisatie en daar enorm veel schade kan aanrichten. Dit bedrijf heeft de laatste 3 jaar vooral de kleinere service providers getarget om hen hun software te verkopen. Ik weet dat ze enorm veel gebruikt wordt, vooral ook om kmo's te ondersteunen. Wat er is foutgegaan, is dat een onderzoeker 33 kwetsbaarheden publiek gemeld heeft. Hij deed dit naar eigen zeggen omdat het bedrijf niks gedaan had met de kwetsbaarheden die hij voordien via een responsible disclosure gemeld had. Wat zou ik doen als ik deze software gebruikte? Ze overal uitschakelen, eventueel verwijderen en heel goed rondkijken de komende weken of er geen sporen van misbruik zijn. Je kan het ook gewoon wegfilteren met een uitgaande regel op je firewall. Dankjewel, Frank Leest, voor de write-up! Meer informatie volgt later in de comments. 👇 lnkd.in/p/eq_8wCrj

De Microsoft Patch Russische Roulette Vanavond is het weer Patch Tuesday. Iedereen die noodgedwongen of vrijwillig met Microsoft werkt, weet dat dit de spannende dag is waarop Redmond de karrenvracht aan updates voor fouten en bugs in zijn software uitbrengt. De laatste maanden is het, deels door het gebruik van AI om bugs op te sporen, deels door het lamentabele kwaliteitsniveau van de software, een steeds grotere reeks geworden. In augustus waren het er een 400-tal, in september 970 en vorige maand 1414. Het ziet ernaar uit dat het nog een paar maanden erger gaat worden voor het misschien beter wordt. Wat er vanavond in het verrassingspakket van Satya Nadella’s team zit, weten we pas om 10:00 AM PST. Het grootste probleem is dat de quality control van deze patches, om het beleefd te zeggen, niet altijd even goed is. Het dieptepunt was in januari: toen zorgde een slechte patch in Windows 11 23H2 ervoor dat je je pc niet meer kon afsluiten en je niet kon aanmelden via Remote Desktop. Lekker veilig. Om het op te lossen bracht Microsoft enkele dagen later een noodpatch uit, die op zijn beurt Outlook, OneDrive en Dropbox naar de filistijnen hielp. Dit verplichtte Microsoft om de week erna opnieuw een noodpatch uit te brengen. Ondertussen is het niet veel beter. Je kan er bijna gif op innemen dat zeker de helft van alle megapatches wel iets essentieels breekt. In september werkten Remote Desktop, Hyper-V-mappen naar Linux-VM's en USB-audio niet meer. Wie de update daarom verwijderde, verloor ook de fixes voor twee zero-days die al actief misbruikt werden. Zo kan je natuurlijk bezig blijven. Het geeft wel jobzekerheid voor Microsoft-beheerders. Dus: elke Patch Tuesday heeft iedereen die zijn eieren in het Microsoft-mandje gelegd heeft, een moeilijke keuze te maken. Het is als Russische roulette waarbij je, wat je ook doet, het risico loopt om een kogel door je hersens te jagen. Ofwel wil je dat alles blijft werken, wacht je met patchen en laat je anderen proefkonijn spelen. In de tijd die je hiermee verspeelt, kan het zijn dat de kwetsbaarheden ondertussen al gereverse-engineerd zijn en tegen je gebruikt worden. Ofwel sluit je je ogen, kruis je je vingers achter je rug en hoop je dat er deze keer eens niks gebroken wordt. Je kan de risico's niet volledig vermijden, maar wel professioneel proberen te managen. Doe zelf het quality-controlwerk: in je eigen testomgeving alle functionaliteit testen die relevant is voor jouw omgeving. Zelfs met automatisatie en DevOps-technieken kost dit veel tijd en moeite, en het is eigenlijk je werk niet. Heb je die tijd en middelen niet, dan kan je altijd getrapt patchen: een kleine testgroep die meteen patcht, de rest een paar dagen later, zero-days die actief misbruikt worden eerst, en je zorgt dat je een terugvalplan hebt. Ik kan me niet van de indruk ontdoen dat we eens moeten nadenken over met wie we in zee gaan en aan wie we enorm veel geld betalen om dan deze crappy service te krijgen. 👇 #digitalsovereignty #patchtuesday #qualitycontrol lnkd.in/p/eAwPqs_Y

Facepalmmomenten van de techgoden. Vroeg of laat overkomt het hen allemaal. Het moment waarop de helden of goden van de tech de bal laten vallen en je merkt dat het even grote idioten zijn als jij en ik. Gewoon met meer streken, chance en aandelen in door de beurs tot miljardenconglomeraten opgeblazen bedrijven. Bij Bill Gates was het een paar jaar geleden “640K should be enough for anyone”, of hoe hij erin slaagde om flagrant de internetrevolutie te missen voor zijn eigen Microsoft Network. Al schoot hij de hoofdvogel af met zijn omgang met een dubieuze figuur als Epstein. Oplichter Jo Lernout gebruikte in slecht West-Vlaams Engels "There is nothing wrong with being smart" als verdediging toen bleek dat hij de waarde van L&H opgepompt had met grootschalige fraude en creatieve boekhoudpraktijken. Steve Jobs had in 2010 de oplossing voor de iPhone 4, die zijn bereik verloor als je hem op een bepaalde manier vastnam: "Just avoid holding it in that way", mailde hij een klant. De wereld maakte er "You're holding it wrong" van en Apple moest uiteindelijk gratis hoesjes uitdelen. Zuckerberg deed nog beter toen hij zijn gezicht volledig wit volsmeerde met sunblock om minder makkelijk door de paparazzi herkend te worden. Het maakte hem nog wereldvreemder en androide dan iedereen hem al percipieerde. Elon Musk liet in 2019 bij de voorstelling van de Cybertruck een metalen bal tegen het "onbreekbare" pantserglas gooien. De ruit barstte. Live, on stage. Volhardend in de boosheid probeerde hij hetzelfde op de achterruit, die ook barstte. Het Tesla-aandeel zakte de dag erna zo'n 6%. Jensen Huang van Nvidia heeft net het duurste slippertje aller tijden gemaakt, met een beursverlies van 6% voor Nvidia in Frankfurt: 270 miljard dollar in één klap. Gelukkig is hij met zijn maîtresse niet naar een Coldplay-concert geweest. Maar de kampioen met stip is toch wel Sam Altman. Als een omhooggevallen Nero’tje liet hij in een podcast weten hoe schandalig hij het wel vindt dat wij allemaal ongebruikte RAM in onze pc's zitten hebben. Eigenlijk moeten we die allemaal aan OpenAI geven om de wereld te redden. Iedereen die het afgelopen jaar meer RAM nodig had of een nieuwe pc, weet dat door zijn ponzi capriolen die latjes hun gewicht in platina waard zijn. We vinden hem zo wereldvreemd dat een developer een scriptje, Ram-Altman, geschreven heeft dat hem elke dag een rapportje van je niet-gebruikte RAM op je Linuxbox doorstuurt. Het lanceert een ongelooflijke stroom aan memes en andere spot en plaatst dit soort mensen terug op het niveau van wat ze zijn. En het brengt de waardering van hun bedrijven ook van het absurde terug naar een nog veel te hoog maar normaler niveau. Geen helden, geen goden, maar gewone stervelingen. Ik heb een verzameling aan memes en momenten samengebracht, maar ik ga ze zelf aanvullen in de comments. Doe gerust hetzelfde! lnkd.in/p/e7wse8sb

Bongo heeft Bingo Ondertussen heeft ook #Bongo, uw favoriete uitstap- en ervaringsleverancier, prijs. Ze stuurden hun klanten vandaag een mail dat hun moederbedrijf Smartbox Group op 3 november een cyberaanval heeft moeten doorstaan. “Op basis van ons onderzoek tot nu toe is het, door de aard van het incident, mogelijk dat bepaalde persoonsgegevens, waaronder namen en e-mailadressen van klanten, zijn ingekeken. De aanvaller had geen toegang tot betaalkaartgegevens of accountwachtwoorden.” Het is een zeer traditionele melding: laat (6 dagen na de feiten), zeer beperkt qua informatie, en ze weten beter waar ze geen toegang toe hadden dan waar ze wel toegang toe gehad hebben. The usual. Ik vrees dat het weer een salamiverhaal gaat worden, waarin stap voor stap toegegeven wordt hoe erg het werkelijk is. Nu maar hopen dat het hierbij blijft. Ze lijken in feite de long tail van een reeks aanvallen die gericht is op hotels, boekingen en de rest van de toeristische industrie, en die eigenlijk sinds eind maart door die sector raast. Dus: een gewaarschuwd gebruiker is er twee waard. Kijk uit voor allerlei phishing, smishing en andere social engineering die bouwt op specifieke gegevens die mogelijk gelekt zijn in deze aanval. 👇 lnkd.in/p/eJWYccnZ

Schaamte. Twee cases in dezelfde week, telkens een succesvolle aanval op een M365-account. In het ene geval meldde het slachtoffer onmiddellijk en kon de aanvaller gestopt worden in zijn verkenningsfase. In het andere geval haalde de clicker zijn schouders op en wisten we het pas toen zijn adresboek al gedownload was, er een hoop nieuwe phishingmails van zijn account waren uitgestuurd en de alarmen afgingen. Het verschil zat niet in de aanval, maar in de stilte erna. Je voelt je idioot, maar je bent geen idioot als je in social engineering loopt. We hebben ons oordeel vaak snel klaar voor de mensen die door een moment van zwakte of het talent van een scammer in een phishing- of social-engineeringscam lopen. Doe gerust een facepalm, maar geloof me vrij: iedereen is op te lichten, inclusief mezelf. En dat is pijnlijk voor je ego en vooral je zelfvertrouwen. Het zorgt voor een omerta, een schadelijke, onnodige stilte uit schaamte of angst om voor idioot aanzien te worden. Ik kwam het zelf tegen toen een intelligent persoon, die via een telefonische, simpele scam veel geld was kwijtgeraakt, dit absoluut stil wou houden en zelf geen aangifte of melding deed bij politie, CCB of bank. Terwijl hij in principe recht had om zijn geld terug te krijgen van zijn bank. Deze stilte is ongelofelijk schadelijk. Het geeft de criminelen carte blanche om verder te doen en meer slachtoffers te maken. En het maakt slachtoffers diep ongelukkig. Net zoals wanneer er ouderwets wordt binnengebroken bij je thuis, doet een digitale heist iets met je. Daarom is het ook binnen je organisatie belangrijk om een cultuur en mechanisme van openheid en transparantie te creëren en ervoor te zorgen dat medewerkers meteen melden als ze iets fout doen. De snelheid is uitermate belangrijk en heeft een exponentiële impact op de hoeveelheid schade. In cybersecurity moeten we stoppen met onze gebruikers te zien als domme wezens met beperkte capaciteiten die de oorzaak zijn van alle problemen. Met de juiste handvatten zijn je mensen het ultieme security- en monitoringsysteem, dat veel problemen en aanvallen kan onderscheppen vóór je dure SIEM, SOC en/of jijzelf ze gezien hebben. Gebruik je mensen dan ook als ogen en oren, als bewakers, en geef hen een eenduidige manier waarop ze fouten, anomalieën en problemen kunnen rapporteren en waarop snel gereageerd kan worden. En zet dan ook iemand aan de helpdesk die niet onmiddellijk diep zucht, maar hen serieus neemt. Het doet me denken aan Shame, het boek van Salman Rushdie. Het gaat over een fictief land waar schaamte gedragen moet worden door de zwaksten en de schaamtelozen de macht verwerven. Bij digitale oplichting is het niet anders, het slachtoffer draagt de schaamte, de schaamteloze oplichter gaat met de buit aan de haal. Laten we digitale slachtoffers daarom helpen hun schaamte te overwinnen en allemaal veiliger worden. Wie fout klikt, meldt. En wie de melding krijgt, bedankt en doet er iets mee. 👇 lnkd.in/p/ev33YzCZ

Social engineering is gevaarlijker dan AI De grootste online diefstal ooit was niet te danken aan AI, maar begon allemaal met ouderwetse social engineering. 6,3 miljard dollar, dat is waar de digitale bankrovers mee weg zijn bij Binance. Met welke ingenieuze, door AI uitgevonden exploit of door welke gecoördineerde aanval met honderden agents zijn de Noord-Koreaanse hackers binnengeraakt? Geen AI, maar old skool social engineering. Een software engineer werd benaderd via LinkedIn en uitgenodigd voor een sollicitatie door een goed gevuld nepprofiel vol persoonlijke foto's om vertrouwen te wekken. Na twee interviewrondes downloadde hij een programmeeropdracht die eigenlijk malware bleek te zijn, en ze waren binnen. Social engineering, oftewel de online, digitale vorm van oplichting, is nog altijd de ideale manier om bij een bedrijf binnen te breken. Het is vaak low-tech en eenvoudig en kan enorme gevolgen hebben. En iedereen kan opgelicht worden, zij die beweren of denken dat ze immuun zijn in de eerste plaats. Een opgeblazen ego is klei in de handen van een goeie scammer. En dit gaat verder dan alleen phishing. Naast e-mail, sms, WhatsApp of whatever digitaal communicatiekanaal je gebruikt, blijft er de telefoon, of als het doelwit waardevol genoeg is, komt er iemand persoonlijk langs. Want iedereen heeft een zwakke plek, een knopje waarop je kan duwen om de persoon te laten dansen. Vroeger moest je veel research doen om dit knopje te weten te komen, vandaag etaleert iedereen het gratis op sociale media. Hobby's, eenzaamheid, hebzucht, politieke overtuiging en empathie: het zijn allemaal mogelijkheden die een aanvaller kan gebruiken om zijn mark, zijn of haar doelwit, te manipuleren. Tijdens tiger-team-aanvallen is me altijd opgevallen hoe makkelijk je, door gewoon vriendelijk te zijn en met mensen te praten, ze dingen kan laten doen die ze, als ze even nadenken, niet zouden doen. Deuren gaan open, informatie wordt gedeeld, pc's worden even ter beschikking gesteld ("Mijn gsm is plat en ik zou even 30 seconden mijn e-mail moeten lezen want … <excuus>"). Hoe wapen je je hiertegen? Phishingtests, trainingen? De komende dagen ga ik de tips die ik tijdens de @cyssme -sessies met kmo's deel één voor één toelichten. De eerste truc is de Wout van Aert-truc of moet ik mantra zeggen: Na zijn zege in de E3-prijs keek Wout recht in de camera, als antwoord op iedereen die vond dat hij nu zeker de Ronde van Vlaanderen moest winnen: "Ik moet just niks." Gouden regel: Tijdsdruk, a sense of urgency, wordt door scammers en door handige verkopers gebruikt om je dingen te laten doen of kopen die je niet wil. Haal de tijdsdruk eraf: er is bijna niks dat je nu onmiddellijk moet doen en niet even kan wachten. "Ik moet just niks" is dan een goed antwoord. Minder agressief maar even efficiënt is: "Kan u dat even in een e-mail zetten, samen met uw telefoonnummer, en ik bel u terug?" Het werkt zowel bij scammers als bij opdringerige sales. Morgen tip 2. 👇 lnkd.in/p/e2E_K-HK

Objectief beter, subjectief ongelukkiger We hebben het objectief als mensheid en als individu nooit beter gehad in de geschiedenis, en toch, toch zijn we subjectief volgens mij nooit ongelukkiger geweest. Iedereen denkt, om Brigitte Kaandorp te parafraseren, dat ze “een zwaar leven” hebben terwijl dat eigenlijk, buiten in ons eigen hoofd en gevoelens, duidelijk niet het geval is. In de vroege ochtend is het een tegenstelling die me boos en verdrietig maakt. Extreme emotie is goed, maar ze mag nooit ontaarden in een destructief nihilisme zonder de ratio toe te laten en proberen te begrijpen waarom zo’n contradictie dominant geworden is in onze samenleving. Ik wil weten waarom we ons zo ongelukkig, onvoldaan voelen. Waarom vindt een generatie jongeren die letterlijk de meeste educatieve mogelijkheden ooit heeft, dat ze het slecht hebben en dat ze dit gaan oplossen door niet naar school te gaan en te protesteren? En wat wordt er voor hen beter door in Nantes je eigen school in de fik te steken? En misschien is dat al wel het eerste probleem: we hebben niet zoveel meer waar we ons echt zorgen over moeten maken op het vlak van direct fysiek overleven, dus moeten we iets vinden om ons zorgen over te maken en ons op te winden. Ons brein leeft volgens mij van het oplossen van problemen, dus als die er niet meer zijn moeten we er een paar uitvinden. Liefst dingen op afstand, ver van ons bed. Het World Happiness Report koppelt de daling van ons geluk aan het groeiende gebruik van sociale media. Jongeren die meer dan zeven uur per dag op sociale media zitten, hebben een veel lager welzijn dan wie minder dan een uur per dag scrollt. Technologie is de reden dat we het vandaag zo objectief goed hebben, ze geeft ons macht en mogelijkheden die zelfs Genghis Khan niet had. Tegelijkertijd maakt ze ons hulpeloze wezens die niks kunnen zonder technologie en depressief worden als hun ochtend-selfie geen 10 likes haalt. Terwijl we zoveel hulpmiddelen tot onze beschikking hebben, hebben we steeds minder intrinsieke vaardigheden. Ik schreef een paar weken geleden dat 3 op 10 van de 15-jarigen het basisniveau lezen niet haalt, misschien 5% van de bevolking onder 30 jaar nog in staat is om met alleen een landkaart van ergens in België naar de Grote Markt in Brussel te rijden, of gewoon een fietsband te plakken, een telefoonnummer uit het hoofd te kennen, te koken zonder recept of video, of uit het hoofd te rekenen aan de kassa. Wie denkt er bij elke praktische of levensvraag nog zelf na in plaats van het te vragen aan één of andere searchengine of AI op zijn smartphone? We zijn met technologie supermensen geworden. Zonder technologie zijn we hulpeloos. 👇 lnkd.in/p/eeNxsSzc

NVIDIA beperkt bewust de prestaties van zijn consumer-GPU's voor AI Sinds eind oktober tonen een paar open-sourceprojecten op GitHub dat NVIDIA bewust een rem zette op de prestaties van de NVIDIA-GPU's voor consumenten (RTX 20-, 30- en 40-kaarten) voor de tensor cores die voor AI-taken gebruikt worden. Ze doen dit door een low-level wijziging te maken bij het booten, dus voordat de driver met je GPU begint te praten. Minder belangrijk detail: het werkt voorlopig vooral op Linux. Voor een deel van de AI-berekeningen van je kaart werkt het als epo op een wielrenner tijdens een bergetappe. Een RTX 3090 Ti gaat bij BF16-matrixberekeningen van 87,5 naar 157,4 TFLOPS. Bij een RTX 4090 verdubbelt de FP16-instructiesnelheid. In de praktijk is het minder spectaculair: 15 tot 55% sneller voor bepaalde AI-taken zoals beeldgeneratie, fine-tuning en het verwerken van prompts. Het eigenlijke "chatten" met een lokaal taalmodel en gaming worden niet sneller. Tot de helft sneller met dezelfde kaarten. Bedriegt NVIDIA zijn klanten? Ja en neen. De gehalveerde snelheid voor de GeForce-GPU's staat netjes gedocumenteerd in de whitepapers, maar ze hebben het ook nooit aan het grote klokzeel gehangen. De professionele kaarten met dezelfde chip werken wel aan volle snelheid. Chips ontwikkelen is duur, dus je wilt er zo weinig mogelijk verschillende moeten maken. Als je wilt diversifiëren voor winstoptimalisatie, kan je dezelfde chip leveren maar hem softwarematig (via firmware) castreren. Je moet een beetje morele gymnastiek doen om een van de meest winstgevende bedrijven ter wereld te worden. En ze zijn niet het eerste en zullen niet het laatste bedrijf zijn dat hardware aan zijn klanten verkoopt en ze kunstmatig beperkt, om dan nadien een upgrade te verkopen die enkel in software moet worden aangezet. IBM verkoopt al sinds eind jaren '90 mainframes en servers met Capacity on Demand. Intel On Demand liet toe om accelerators en extra functies op hun chips aan te zetten. Zelfs BMW verhuurde verwarmde zetels met een maandabonnement. In al die gevallen zat alle hardware er al in, maar moest ze pas na betaling van de factuur nog aangezet worden. NVIDIA gaat nog een stapje verder. Er is zelfs geen upgrade te koop. Het doet je als particuliere of zakelijke consument wel de vraag stellen of je eigenlijk wel eigenaar bent van de hardware die je voor vele zilverlingen gekocht hebt. In de queeste van de machtige techbedrijven om nog meer duiten uit hun klanten te persen, is alles een service met een terugkerende factuur geworden. En je kan er gif op innemen dat allerlei juridische regeltjes (licenties, auteursrecht, hacking enz.) gebruikt zullen worden om ervoor te zorgen dat de eindklant dit soort hacks niet op grote schaal gaat gebruiken. Als je je daar niets van aantrekt, kan je op eigen risico met een vernuftige opstarthack (een bufferoverflow in de firmware) de rem weghalen en je eigen hardware optimaal gebruiken. 👇 #NVIDIA #AI #RightToRepair linkedin.com/posts/jangulden…

Vandaag is het World Digital Preservation Day. De essentiële vraag is hoe we ervoor kunnen zorgen dat in tijden van massale, met AI vervuilde informatie, onze verhalen in de toekomst nog onderzocht, verteld en bekeken kunnen worden. Als historicus is dit voor mij een belangrijk gegeven, waaraan ik al meerdere stukjes heb besteed. Het onderwerp van de dag is clever verpakt in de uitroep SOS: niet het historische Save Our Souls van de Titanic, maar Save Our Stories. Ik vind het altijd verbazingwekkend hoeveel je kan terugvinden over mensen en groepen die eeuwen tot millennia geleden leefden. Alleen kan je luidop de vraag stellen of men binnen 100 of 200 jaar nog in staat zal zijn de authentieke verhalen en beleving van het einde van de 20ste en het begin van de 21ste eeuw opnieuw samen te puzzelen. Al zou ik graag 200 jaar leven om dan te zien welke van de TikTok en Insta influencers uit 2026 de geschiedenisboeken gehaald hebben. We produceren meer informatie dan ooit, maar we zijn er slechter in om die te bewaren dan ooit. Data verdwijnt, software verdwijnt, bestandsformaten worden onleesbaar. Platformen verdwijnen, en met hen alles wat erop stond. De historici van 2126 zullen meer weten over 1926 dan over 2026. Archieven, bibliotheken en erfgoedinstellingen doen hier al jaren schitterend werk, vaak met te weinig middelen, waar de Vlaamse overheid dan ook nog eens dik het mes in heeft gezet tijdens de laatste besparingsronde. Hoe een samenleving met haar verleden omgaat, zegt alles over die samenleving. Dus moeten we het zelf doen: voor onszelf, onze kinderen, kleinkinderen en achterkleinkinderen, en misschien die toevallige 22ste-eeuwse historicus zorgen dat onze digitale sporen bewaard blijven. Ik heb niet alles op een rijtje, maar zie wel een paar lijnen hoe we dit kunnen aanpakken. Bovendien erger ik me aan het digitale materiaal dat ik onderweg zelf ben kwijtgeraakt. Al was het maar zodat je binnen 40 jaar je digitale foto's even makkelijk kan bovenhalen als je grootmoeder dat met haar fotoalbum kon. Het begint bij ons allemaal, met een paar principes die ik zelf toepas: Zorg dat alles opgeslagen is in open formaten en standaarden, op media die je zelf beheert en die klaar zijn voor de eeuwigheid. Selecteer ook en hou niet alles bij: 5 foto's van hetzelfde strand is ruim voldoende, de 250 bijna identieke andere kan je met een gerust hart wissen. De cloud is volgens mij niet klaar voor de eeuwigheid, een USB-stick ook niet. Kies voor media die lang meegaan. Tape is voor de meeste mensen moeilijk, maar M-DISC's zijn dvd's of Blu-ray-discs die volgens de belofte 100 jaar meegaan. Of migreer om de 5 jaar naar een nieuwe drager, die dankzij de wet van Kryder (als die dan nog geldt) meer plek zal hebben. En bewaar altijd minstens twee kopieën op verschillende fysieke plaatsen: één kopie is immers geen kopie. Bewaar je eigen verhaal en dat van wie je lief is voor de toekomst. 👇 linkedin.com/posts/jangulden…

De psychologische rekening van al deze cyberaanvallen Wat doet de permanente staat van cyberoorlog met de mensen wier werk het is om ons elke dag te verdedigen? Het is 3:43 en ik zit klaarwakker rechtop in mijn bed. Ik maak me zorgen over een onveiligheid van een setup bij een klant en hoe ik die zo snel en veilig mogelijk kan mitigeren. Het begint een patroon te worden. Na de eerste slaap, die meestal heel snel komt omdat ik rond 9 uur al stikkapot zit, word ik in de vroege ochtend wakker en maak ik me zorgen over een of ander praktisch aspect van mijn job als cybersecurityhuurling. We glijden af naar een soort permanente staat van cyberoorlog, waarin een continue, steeds snellere en ernstigere stroom van bugs, exploits en aanvallen ons onder druk zet. Ik vraag me af wat dit doet met de soldaten in deze digitale oorlog, de cybersecuritypro's die de bewaking en verdediging op zich moeten nemen: de blueteamers, CISO's en DPO's die elke dag in de frontlinie staan. Niemand ziet het of wil het zien, maar ik denk, neen, ik weet: de psychologische impact is enorm. Er is een chronische druk op securityprofessionals. @Marc Vael vertelde me een tijd terug hoeveel CISO's op hun tandvlees zaten. Onderzoeken tonen aan dat burn-out en cybermoeheid eerder regel dan uitzondering zijn. 44 tot 76% van de professionals ervaart een burn-outgevoel, en 39% wordt daardoor minder productief. Voor SOC-medewerkers zijn de cijfers nog overweldigender: 71% denkt aan stoppen, en 78% werkt over, gemiddeld 7 uur per week. De redenen zijn divers, maar we hebben vooral het gevoel dat we verzuipen in aanvallen, meldingen en noodzakelijke acties. De appreciatie is er ook niet echt: als alles goed gaat, ziet niemand het werk; je wordt pas echt erkend en gehoord (en dan meestal ook beschuldigd) als het misgaat. Maar de ergste stressfactor blijft de asymmetrie tussen aanval en verdediging. De aanvaller moet maar één keer geluk hebben en hij of zij is binnen. De verdediger moet elke keer geluk hebben, of ze zijn binnen. Er is ook een personeelstekort, zeker in blueteaming. Uit gemakzucht heeft het onderwijs zich vooral gespecialiseerd in het afleveren van pentesters in plaats van verdedigers. Leren pentesten is altijd makkelijker en cooler dan leren verdedigen. Nu verzuipen we onder de ethische hackers, maar hebben we niemand om het SOC-team aan te vullen. En het wordt ook persoonlijk, en daarmee bedoel ik niet alleen dat bestuurders onder NIS2 eindelijk aansprakelijk worden voor hun beslissingen op het vlak van cybersecurity. Nieuw onderzoek toont dat bij 37% van de getroffen organisaties ook de familie van medewerkers wordt bedreigd en dat er soms zelfs sprake is van swatting. Ik vraag me af of ik de enige ben die dit ervaart. Ik vraag me af wat we als samenleving gaan doen als de mensen die de digitale perimeter verdedigen tegen cybercriminelen, invallers en geopolitieke vijanden het niet meer aankunnen en beginnen weg te vallen. Hoe kunnen we het beter maken? 👇 lnkd.in/p/ev43Vf-V

Nieuw cyberincident en datalek: Pluxee Iedereen die maaltijd- of ecocheques krijgt via Pluxee, de nieuwe, wat wollige naam voor wat vroeger gewoon Sodexo heette, ontving vandaag een mail. Op 2 november werd er "schadelijke activiteit" vastgesteld op een van hun servers. Er is mogelijk toegang verkregen tot een "beperkte hoeveelheid informatie over gebruikersaccounts, zoals naam, e-mailadres en telefoonnummer". Ik heb die mail drie keer gelezen. Er staat bijna niets in. Wat was die "schadelijke activiteit"? Ransomware, een gecompromitteerd account, een lekke API? Geen idee. Hoeveel mensen zijn getroffen? Geen cijfer. Wat is beperkt? Tien records of een paar honderdduizend? En let op dat ene woordje "zoals". Naam, e-mail en telefoonnummer zijn dus voorbeelden, geen volledige lijst. Wat zat er nog in die accounts? Geboortedatum? Werkgever? Adres? Daarna volgt het vaste riedeltje: het betalingssysteem is veilig, je kaarten werken nog, je hoeft niets te doen. Maar twee alinea's verder moet je wel alert zijn voor e-mails, sms'en en telefoontjes. Ik durf er gif op innemen dat hier de salamitechniek gaat volgen. Eerst "beperkte informatie". Over een week blijkt het om "een groter aantal gebruikers" te gaan. Daarna duikt er een dataset op een leakforum op en komen er nog wat extra velden bij. Schijfje per schijfje wordt de pijnlijke waarheid van dit datalek aan de slachtoffers gevoerd. We hebben dat scenario de voorbije maanden al vaak genoeg gezien. Het vervelende is dat net deze combinatie, namelijk naam, e-mail, telefoonnummer en de wetenschap dat je Pluxee-kaarthouder bent, ideaal is voor phishing en smishing. "Uw maaltijdcheques vervallen, klik hier om ze te activeren." Die berichten circuleren al jaren. Nu weten de oplichters ook naar wie ze ze moeten sturen. Mijn advies: wees inderdaad waakzaam, want dat deel van de mail klopt. Maar van een bedrijf dat de gegevens van het leeuwendeel van de Belgische werknemers beheert, mogen we iets meer verwachten dan een geruststellend briefje zonder veel inhoud. Transparantie is geen gunst, het is de basis van vertrouwen en een wettelijke verplichting. Het opvolgen van de verschillende nationale lekken begint een fulltime bezigheid te worden. Helaas zijn deze stukjes tot nader order pro deo of non-profit, hoe je het ook wilt noemen. Wordt vervolgd. Waarschijnlijk in schijfjes. lnkd.in/p/eWjKCYk5

Frigogate ronde 3: aanval op Franse bloedbanken Als je dacht dat het niet erger kon met aanvallen op koelinstallaties: de aanvallers zijn net een versnelling hoger gegaan en hebben Coolworld aangevallen, het bedrijf dat de koelcontainers voor het Établissement Français du Sang (EFS), de Franse bloedbank, onderhoudt. Het gaat om donorstalen en plasmabloed die normaliter op de gezellige temperatuur van -30 graden worden bewaard en waarvan de koelkasten nu op 110 graden werden gezet. Gelukkig zag een technicus van vlees en bloed op tijd dat de temperaturen omhoog gingen. Vroeg of laat vallen er echte doden en/of gewonden ten gevolge van deze aanvallen. In de filmwereld zijn sequels meestal slechter en saaier dan het origineel. Hier niet. We hebben de neiging om onszelf gerust te stellen en te denken dat het ergste over is. “This too shall pass.” Ik vrees dat het slechts het begin is. Op het vlak van onze overgeconnecteerde, slecht beveiligde fysieke infrastructuur en industrie kan er nog veel meer en veel erger misgaan. Helaas ben ik vervloekt of gezegend met een geest die continu probeert, als hij een toestel of kabel uit de muur ziet hangen, te denken wat je daar allemaal mee fout kan doen. En er zijn nog veel gevaarlijkere, dodelijke scenario’s te verzinnen. Ik ga de kat niet bij de melk zetten en er hier luidop over filosoferen. Eén van de belangrijkste vragen voor elk denkend mens is de waarom-vraag. En die is hier zeer onduidelijk: waarom hangt men de cybervandaal uit en vernietigt men essentiële stukken van onze voedselvoorziening en nu onze gezondheidszorg? Afpersing lijkt het niet, want er is geen losgeld gevraagd. Beursmanipulatie? Een oefening of test voor een geopolitieke cyberoorlog zou dom zijn voor de aanvaller, want met de schaal toont hij of zij ons duidelijk wat de kwetsbaarheden zijn. Politieke destabilisatie in de aanloop naar de Franse presidentsverkiezingen? Wie zal het zeggen. oor alle geconnecteerde toestellen en andere IoT is de speeltijd over en moet er gekozen worden tussen veiligheid en convenience. Niet alleen bij bedrijven en multinationals, maar ook op het vlak van onze eigen niet-beveiligde IoT thuis moeten we eens heel goed gaan nadenken. En dat moet je zelf doen, want jij begrijpt je organisatie en deze toestellen, wat ze doen, wat je ermee fout kan doen en of ze werkelijk van bij het spreekwoordelijke zwembad met je smartphone beheerd moeten kunnen worden of dit ook gewoon fysiek ter plaatse kan. Dit is te belangrijk om aan consultants en experts over te laten. Laat je bijstaan, maar bepaal zelf je risico en neem de juiste maatregelen of vermijd het risico helemaal. 👇 lnkd.in/p/e7mUukzV

IoT, aka the Internet of Insecure Shit David Geens schreef idat hij de laatste week ongelofelijk op zijn tong heeft gebeten. Ik heb het ongelofelijke probleem – of is het een troef? – dat ik geen filter heb tussen mijn hoofd en mijn mond, dus ik zeg wat ik observeer en denk. En ik ben ervan overtuigd dat meer mensen dit zouden moeten doen. Het probleem is altijd dat we allemaal wel weten wat we eigenlijk zouden moeten doen, maar altijd een excuus voor onszelf en onze organisatie vinden om het niet te moeten doen. En het afschermen van IoT is zo'n probleem dat we in se allemaal kennen, maar waar we weinig aandacht aan besteden. Op zich is het niet moeilijk of hoogtechnisch om dit te doen. Het is de logische stap in een wereld waar we alles met een draad of een wifi-chip direct aan het internet willen hangen, liefst via onze interne wifi of ons netwerk. Of dat voor iets nuttigs of essentieels nodig is, vragen we ons niet af, en of het risico's inhoudt ook niet. We checken ook nooit of onze aannames ook letterlijk kloppen. En iedereen weet dat "Assumptions are the mother of all fuckups." IoT is tot nader order niet enkel het internet-of-things, het kan beter het internet-of-shit genoemd worden. Al jaren zijn er massa's botnets gebaseerd op allerlei brol die we aan het internet gehangen hebben, die permanent gebruikt worden om anderen aan te vallen. En nu beginnen we te leren dat al die brol, die eigenlijk niet of maar beperkt verbonden moet zijn, ook op een andere manier schade kan aanrichten. En wees gerust: de frigo's vanop afstand in heteluchtovens veranderen is maar een begin. Stel dat je met alle omvormers die aan de zonnepanelen hangen gaat spelen en er genoeg tegelijkertijd afzet, dan gaat ons stroomnet down. Jaren geleden had ik een weddenschap met iemand die er zo van overtuigd was dat zijn domoticasysteem veilig was. Ik wedde met hem dat ik het bij hem thuis kon laten spoken. Op een redelijk triviale manier kon ik het multimediasysteem, de verlichting en de rolluiken aansturen, terwijl ik ook de camera's kon bekijken. Ik heb het letterlijk bij hem thuis laten spoken door creepy geluid af te spelen, de lichten aan en uit te laten gaan en de rolluiken op en neer te laten gaan. En via de camera's kon ik de paniek in de ogen van zijn vrouw zien, die alleen thuis was. Hij heeft de weddenschap nooit meer herhaald. We moeten nadenken over de risico's en geen "experts" of andere bangmakers of relativeerders blind geloven. Ook de rasverkopers die een pleister verkopen als gegarandeerde remedie voor een aortabreuk, kunnen we beter links laten liggen. We moeten eenvoudige, praktische oplossingen uitbouwen, zoals segmenteren en sommige dingen ook gewoon niet koppelen, en we moeten permanent evalueren en testen of alles in orde is. Dat kost moeite, maar het is de enige manier om alles veiliger te maken en terug een beetje gerust te kunnen slapen. lnkd.in/p/evnjbG6M

Het verbaast me altijd hoeveel daadkracht de politiek aan de dag kan leggen als ze er zelf beter van worden of als het om een simpele wraakexpeditie gaat, maar hoe weinig als het om zoiets belangrijks als een begroting gaat. #zumkotzen doorbraak.be/dank-voor-het-a…

𝗕𝗲𝗿𝗲𝗶𝗸𝘁 𝗘𝗨-𝗽𝗿𝗶𝘃𝗮𝗰𝘆- & 𝘀𝗲𝗰𝘂𝗿𝗶𝘁𝘆𝘄𝗲𝘁𝗴𝗲𝘃𝗶𝗻𝗴 𝘄𝗲𝗹 𝗵𝗮𝗮𝗿 𝗯𝗲𝗱𝗼𝗲𝗹𝗱𝗲 𝗿𝗲𝘀𝘂𝗹𝘁𝗮𝗮𝘁? GDPR, NIS2 en CRA zijn logische wetgeving die met de juiste stok achter de deur onze privacy beter zouden moeten beschermen en de veiligheid van onze digitale samenleving verbeteren. Maar is dat wel zo? Waarom blijven de gigantische datalekken met vaak gevoelige persoonsgegevens zich dan opstapelen en krijg je domme hacks zoals de sequel van Frigogate de afgelopen dagen? Leveren deze wetten eigenlijk wel het praktische resultaat dat ze beloven? Begrijp me niet verkeerd: ik vind deze wetgevingen, wat ze vereisen en hoe ze dit doen, op een paar kanttekeningen na, common sense: gezond verstand maatregelen waar iedereen die de werkelijke toestand van dichtbij meemaakt gebruik van wil maken. Maar toch leert de praktische werkelijkheid ons dat het wetgevend framework dat bestaat nog grotendeels aan de laars wordt gelapt. Vorige week had ik een surrealistische vergadering met de IT-serviceafdeling van een grote Europese industriële groep. Ik vroeg of er een gezamenlijke DPO of liefst zelfs een privacyteam was. De man vertelde me doodleuk dat ze geen DPO hadden omdat hun juridische dienst besloten had dat dit niet nodig was. Juridisch kan dat zelfs kloppen: een DPO is niet voor elk bedrijf verplicht. Maar daar gaat het niet om. In een groep van die omvang is er dan blijkbaar niemand die privacy echt als zijn verantwoordelijkheid ziet. De vraag was of het moet, niet of het nodig is. Dat bleef in mijn achterhoofd malen. 10 jaar na de goedkeuring van deze wet, 8 jaar na het van kracht worden. Il faut le faire. In mijn hart hoop ik dat het een outlier is, een uitzondering die het heel slecht doen terwijl de rest echt wel goed bezig is. De praktijk doorprikt die hoop. In een enquête bij privacyprofessionals zegt 74% dat de toezichthouder bij een gemiddeld bedrijf relevante inbreuken zou vinden. Het gaat volgens mij op zoveel niveaus mis: - Mensen zien het belang van wat deze wetgeving wil beschermen nog altijd niet in. - Op papier is alles in orde, in de praktijk niet. - De toezichthouders treden niet streng genoeg op, of focussen zich op grote symbooldossiers. - De wetgeving en de praxis zijn in de genadeloze handen van juristen en consultants gevallen. - Regelgevingsmoeheid en zelfoverschatting doen de rest. Ik hoop dat ik fout ben, maar ik zie dezelfde patronen terugkomen in NIS2 en de Cyber Resilience Act. Terwijl het correct, praktisch omarmen van deze wetgeving gewoon business best practice is die essentieel is om te overleven in onze digitale brave new world. Zelf blijf ik me inzetten in deze strijd, o.a. met het CYSSME project, al zullen velen in mij een Don Quichot zien die strijdt tegen windmolens. Want ik geloof dat bewustzijn dat voortkomt uit het praktisch, in mensentaal uitleggen waarom privacy en security zo belangrijk zijn, de beste weg vooruit is. 👇 lnkd.in/p/e2a4m5mM

Belgische supermarkten hebben geen proactieve cyberweerbaarheid Twee weken geleden schreef ik over "Frigogate", de massale aanval op IoT-gestuurde koelkasten in de Franse supermarkten. Je zou dan verwachten dat elke grote nationale en internationale supermarktketen toch eens gaat nadenken of dat bij hen wel zo veilig opgezet is en of het ook hier kan gebeuren. Niks blijkt minder waar: vannacht zijn bij 40 Delhaizes, 15 Carrefours, 5 Spars en een paar slagerijen van De Laet & Van Haver de frigo's door onbevoegden elektronisch omgevormd tot verwarmingsapparaten tot 70 graden. Toch onbegrijpelijk dat die dingen, na de aanval van vorige maand in Frankrijk, nog altijd aan het internet hangen en voor een hacker relatief makkelijk te bereiken zijn. Deze verbindingen zijn niet essentieel voor de werking. Als je alle verbindingen had afgesloten en tijdelijk via een lokaal pc'tje gewerkt had, op zijn minst totdat je alle veiligheidsmaatregelen had nagekeken, zou dit niet gebeurd zijn. Het toont nog maar eens aan hoe weinig onze hele economie bezig is met praktische cybersecurity en vooral cyberweerbaarheid. We denken hier gewoon niet met genoeg gezond verstand en proactief over na. En schermen met afkortingen van goede EU-wetgeving als GDPR, NIS2 en CRA helpt niet. In mijn job kom ik met de regelmaat van de klok domme dingen tegen die me mijn hoofd in beide handen laten nemen. Een "facepalm" is gewoon een coping-mechanisme voor gefrustreerde, machteloze cybersecurityconsultants die post-hack het verdronken kalf moeten proberen te reanimeren. Een aanval in het buurland is gratis les. Wie die les laat liggen, betaalt later het volle pond. Laat iedereen eindelijk eens cyberweerbaarheid serieus nemen, vóór het volgende incident en niet erna. Het is te belangrijk om enkel aan IT'ers en cybersecurityexperts over te laten. lnkd.in/p/epZ7kBrJ

Halloween is de ergernis van dit weekend. Halloween is een Amerikaanse, commerciële verbastering van Samhain, het feest dat het einde van de oogst en het begin van de winter markeerde. Samhain viel op 31 oktober en 1 november, van zonsondergang tot zonsondergang. Het markeerde het begin van de donkere helft van het jaar. Daarbij hoorde ook het geloof dat de grens met de Andere Wereld, de twilight zone, dan makkelijk te overschrijden was, in beide richtingen. Het is verworden tot een verkoop gestuurde traditie met onzin als "trick or treat" (wat het doorsnee kindje aan de deur niet kan uitspreken, laat staan dat het een idee heeft waar het over gaat), pompoenen en om een of andere reden een poging tot platte spookhuishumor, die al weken de Actions, Trafics en andere nonsenswinkels vult en een oranje kleur geeft. Want blijkbaar moeten wij dit als onnozele zombies overnemen, gestuurd door socialemedia-influencers. Dertig jaar geleden zou men die mensen weggezet hebben als dorpsidioten naar wie niemand luisterde. Maar doordat ze permanent hun hele leven narcistisch delen, in een stroom van main character syndrome op sociale media, verheffen we ze tot lichtende voorbeelden in duistere dagen. En ook hier online dringt het zelfs door op het serieuze LinkedIn, en duiken er marketingacties en posts rond halloween op. Ik zag zelfs een mormoonse bisschop posten over halloween om zijn boek te promoten... Terwijl we onze eigen tradities hebben die we hierdoor laten verdringen: ons eigen Allerheiligen en Allerzielen, waarop we de mensen gedenken die ons voorgingen en die we niet meer echt bij ons hebben. Een memento mortuorum en een memento mori: denken aan de overledenen en tegelijk beseffen dat je zelf sterfelijk bent. Niet zo makkelijk mercantiel te gelde te maken in, ik zeg maar, een Happy Meal-speeltje, maar te belangrijk om te laten ondersneeuwen door goedkope, cultuurvreemde onzin. Misschien moeten we maar wat meer vasthouden aan onze eigen tradities. Alhoewel het is wel de dag dat heksen en griezels schaamteloos zichzelf kunnen zijn. Of ben ik gewoon een zeurpiet die een schijthekel heeft aan Halloween? lnkd.in/p/eWr3VuYm

Stand van zaken en lessons learned 𝗖𝗩𝗘-𝟮𝟬𝟮𝟲-𝟵𝟴𝟰𝟯𝟮: de Linux-tcp-bug We zijn nu een paar dagen na het bekend worden van 𝗖𝗩𝗘-𝟮𝟬𝟮𝟲-𝟵𝟴𝟰𝟯𝟮. Wat weten we ondertussen, welke lessen hebben we geleerd en is alles weer pais en vree? Anthropic had de code voor de exploit enkel beschreven en niet bekendgemaakt. Er zijn bij mijn weten en na research geen actieve, succesvolle aanvallen bekend die deze bug misbruikten. Je kunt dus zeggen dat het misschien een scheet in een fles is, maar beter safe than sorry.  Er zijn wel een paar andere PoC beschikbaar maar zover ik kan zien geen enkele die echt een root-exploit geeft.  Je kan er een kernel enkel mee doen crashen. Er zijn meerdere mitigaties mogelijk en gedocumenteerd: - MPTCP afzetten is relatief makkelijk (maar werkt alleen tegen de potentiële Anthropic-exploit, niet tegen andere aanvallen met IP-opties). - Red Hat beschrijft in zijn bulletin een methode om met de ingebouwde firewalling elk - IPv4-pakket met opties te droppen. Volgens mij een goede maatregel. - De kernel patchen: voor een hele hoop distro's is in het updatekanaal nu een gepatchte kernel beschikbaar. Alleen voor Ubuntu en Red Hat is dit vandaag ( allerheiligen 2026) nog niet het geval. Ik weet niet goed hoe ik dit moet inschatten, maar ik stel me er vragen bij en het baart me zorgen. Voor mij (net als voor vele andere systeembeheerders) was het een goede test om te zien hoe efficiënt je je hele infrastructuur kunt updaten of mitigerende maatregelen kunt uitvoeren via Infrastructure-as-Code, in ons geval Ansible. Wat me ook opviel, was hoe verschillend de verschillende teams de ernst van deze bug inschatten. Het kernelteam zette er direct 9.8 (critical) op, terwijl Red Hat het oorspronkelijk inschatte op 5.9, dan evolueerde naar 8.1 (net als Oracle, SUSE en Amazon) en nu ondertussen de score van het kernelteam volgt en hem op 9.8 zet. Er zijn redenen voor deze scores: oorspronkelijk dacht Red Hat dat het enkel tot een denial-of-service kon leiden en niet tot een exploit. Alle distro's dachten dat het heel moeilijk en complex was om uit te voeren. De basisclassificatie van een kwetsbaarheid, en wie daarin de leiding neemt, is iets waar we als industrie ook eens over moeten nadenken. En dan nog een laatste leuk weetje. Ik werd gecontacteerd door een belangrijke overheidsinstelling met de vraag of hun omgeving kwetsbaar was. Ze draaiden nog een 2.6.18-kernel in een Enterprise Linux 5-omgeving. Niet kwetsbaar dus, omdat de bug door een patch in de 4.4-kernel werd geïntroduceerd. Maar ik denk dat je, als je 5 major releases achterloopt, andere problemen hebt… In het artikel in bijlage staan alle mitigaties met code en links naar de opvolgingspagina's van de belangrijkste distro's. Ik wil iedereen bedanken die actief heeft gereageerd en met kennis en weetjes heeft bijgedragen in de comments. lnkd.in/p/eAgt5RYB