2 juli 2024

Cyberweerbaarheid

Cybersecurity

Big tech

De onthulling komt zes maanden na de eerste melding van de inbraak en lijdt tot gezichtsverlies bij Microsoft. Het softwarebedrijf stond al onder verscherpt toezicht van de Amerikaanse overheid vanwege de veiligheid van haar software en systemen tegen buitenlandse dreigingen (2). De hackers, bekend als Midnight Blizzard, wisten toegang te krijgen tot “een zeer klein percentage” van de zakelijke e-mailaccounts van Microsoft. Hoewel het bedrijf heeft aangegeven de gecompromitteerde e-mails met de getroffen klanten te delen, blijft het onduidelijk hoeveel klanten precies getroffen zijn en om hoeveel e-mails het gaat.

Winst boven veiligheid

De onthulling volgt op een rapport van ProPublica (3). Volgens dit rapport was Microsoft al sinds 2017 op de hoogte van een ernstige beveiligingsfout in Active Directory Federation Services (AD FS), een product dat door miljoenen gebruikers wordt gebruikt om in te loggen op hun werkcomputers. Door deze fout konden aanvallers zich voordoen als werknemers en toegang te krijgen tot gevoelige gegevens.

In het rapport stelt voormalig Microsoft-engineer Andrew Harris dat het bedrijf zijn herhaaldelijke waarschuwingen over de kwetsbaarheid negeerde (4). Productmanagers zouden zijn bezorgdheid hebben afgedaan als een bedreiging voor de zakelijke doelstellingen van Microsoft, met name voor het binnenhalen van overheidscontracten en het verslaan van concurrenten.

Hoorzitting in het Amerikaanse Congres

De onthullingen van ProPublica leidde tot een hoorzitting in het Amerikaanse Congres, waar Microsoft President Brad Smith werd ondervraagd over de aanpak van het bedrijf ten aanzien van cyberbeveiliging. Smith’s verdediging: Microsoft zou bezig zijn met een herziening van haar beveiligingsprocedures en -cultuur. Hij benadrukte dat het bedrijf streeft naar een cultuur waarin elke werknemer wordt aangemoedigd om problemen te melden en op te lossen. (5)

Toch waren de Congresleden kritisch op Microsoft. Delia Ramirez, Lid van het Huis van Afgevaardigden van de V.S., noemde het ProPublica-rapport een “bom” en de hoorzitting een “moment van afrekening” voor het bedrijf. Microsoft zou volgens Congres leden herhaaldelijk haar rol in de SolarWinds-hack in 2020 hebben gebagatelliseerd (6). De vraag is nu of de beloften van Microsoft om de beveiligingscultuur te veranderen voldoende zullen zijn om het vertrouwen van klanten en overheden te herstellen.

(1) https://www.reuters.com/technology/cybersecurity/microsoft-tells-clients-russian-hackers-viewed-emails-bloomberg-news-reports-2024-06-27/

(2) https://www.theregister.com/2024/04/21/microsoft_national_security_risk/

(3) https://www.propublica.org/article/microsoft-solarwinds-golden-saml-data-breach-russian-hackers

(4) https://www.propublica.org/article/microsoft-solarwinds-golden-saml-data-breach-russian-hackers

(5) https://www.propublica.org/article/microsoft-solarwinds-cybersecurity-house-homeland-security-hearing

(6) https://www.techtarget.com/whatis/feature/SolarWinds-hack-explained-Everything-you-need-to-know

Over de auteurs

  • Christian Cordoba Lenis

    Christian Cordoba Lenis is nieuwsredacteur voor PONT | Data & Privacy. Cordoba Lenis is geïntrigeerd door het raakvlak tussen technologie en recht. Cordoba Lenis heeft zowel een juridische als een technische achtergrond en waagt zich nu aan het journalistieke vak.

    PONT | Data & Privacy

Gerelateerd nieuws

Cyberwet werkt in de rechtszaal, maar niet in de opsporing

De Wet Computercriminaliteit III (Wet CCIII), die op 1 maart 2019 in werking trad, heeft de mogelijkheden voor de opsporing en vervolging van digitale criminaliteit aanzienlijk verbreed. Uit een omvangrijke evaluatie van het WODC (wetenschappelijk Onderzoek- en Datacentrum) blijkt dat de nieuwe strafbaarstellingen en bevoegdheden in de praktijk veelvuldig worden benut, maar dat beperkte opsporingscapaciteit en internationale componenten de volledige potentie van de wet remmen.

AP: uitvoering anti-witwaswet alleen verantwoord bij aantoonbare effectiviteit en privacybescherming

De Autoriteit Persoonsgegevens (AP) plaatst kritische kanttekeningen bij een wetsvoorstel voor de Nederlandse uitvoering van nieuwe Europese anti-witwaswetregels. Het gaat om een wetsvoorstel om nieuwe Europese regels tegen witwassen en terrorismefinanciering in te voeren in Nederland. Hoewel de wetgeving veel kansen biedt om de bestrijding van financiële criminaliteit te verbeteren, leiden de nieuwe regels ook tot het verzamelen en delen van meer gevoelige persoonsgegevens en tot vergaande uitbreiding van bevoegdheden. Daarom pleit de AP voor een verplichte evaluatie en voldoende waarborgen.

Grondrechten als de 'Rode Draad' bij AI Act

De Europese AI-verordening, die vanaf augustus 2026 grotendeels van kracht wordt, markeert een historisch keerpunt in de regulering van technologie. In een nieuw rapport waarschuwt het College voor de Rechten van de Mens dat de bescherming van grondrechten geen 'invuloefening' is, maar een fundamentele verschuiving vraagt van zowel bedrijven als toezichthouders.

Datacenters zijn energiecentrales voor informatie

Elektriciteit is een unieke energiedrager: energie wordt verplaatst door elektronen. De ontdekking ervan was een evolutionair proces, maar met de ontdekking van elektromagnetische inductie door Michael Faraday werden de fundamentele natuurwetten zichtbaar en toepasbaar. Een energiedrager is geen brandstof; hij transporteert slechts energie. Die energie kan worden opgewekt met uiteenlopende brandstoffen: gas, kernenergie, zonne-energie of waterkracht. Uiteindelijk hebben al deze bronnen één historische oorsprong: de zon. Zonder de oerknal en onze zon zouden er geen aarde, geen wind of regen, geen fossiele brandstoffen en zelfs geen uranium bestaan.
Meer nieuws