Dit kunnen we van het lek van Disney’s Slack-kanaal leren over cyberveiligheid

Op 12 juli 2024 publiceerde NullBulge een opvallend bericht op het dark web. De hackersgroep beweerde meer dan 1TB aan bedrijfsgevoelige gegevens van Disney buit te hebben gemaakt via Slack. Ze beschikten naar eigen zeggen over grote hoeveelheden Slack-berichten, maar ook over details over toekomstige projecten, computercodes en meer. De vangst was enorm en ze hoefden er betrekkelijk weinig voor te doen. ‘Eén man met cookies die toegang had tot Slack’ was eigenlijk al voldoende.

Want het was een onoplettende medewerker, die thuis een programma downloadde voor AI-foto’s en zo de deuren wagenwijd openzette voor hackers. Het lek was dus niet te wijten aan een cyberaanval of een kwetsbaarheid in het systeem van Slack of Disney. Gelukkig bleek de hackersgroep geen kwade intenties te hebben. Ze wilden vooral een statement maken over de manier waarop Disney met artiesten omgaat.

Dreiging van binnenuit

Eén menselijke fout kan leiden tot een digitale ramp, ongeacht het aantal beveiligingsmaatregelen dat getroffen wordt. Zelfs de complete IT-afdeling van Disney kon niet voorkomen dat deze medewerker op dat moment een verkeerde keuze maakte. De insider threat, ofwel de dreiging van binnenuit, vormt dan ook een serieus probleem. Als blijkt dat een datalek is ontstaan door eigen onzorgvuldigheid, zal de Autoriteit Persoonsgegevens daar niet mild over oordelen. Het is dan ook van cruciaal belang dat alle neuzen binnen een organisatie dezelfde kant op wijzen als het gaat om digitale veiligheid.

Lessen

Uit de kwestie rond Disney’s datalek kunnen we dan ook een aantal belangrijke lessen leren. Mensen kunnen zich altijd vergissen, maar de kans dat het gebeurt en de gevolgen daarvan kunnen beperkt worden.

Gebruik geen persoonlijke apparaten voor werk

Er is doorgaans weinig of geen toezicht op de apparaten die medewerkers gebruiken om vanuit huis te werken. Het is dan ook verstandig om het gebruik van privé-apparaten voor werkactiviteiten te vermijden. Er mag dan alleen via een telefoon of laptop van het werk ingelogd worden op de zakelijke accounts.

Veilige en versleutelde verbindingen

Ook bestaat er geen enkele garantie dat het thuisnetwerk van de thuiswerker voldoende beveiligd is. Het wordt nog riskanter als medewerkers een nabijgelegen lunchroom opzoeken om daar te werken. En met het extreem onveilige openbare wifi-netwerk ter plaatse verbinden om werkbronnen te raadplegen. Voorkom dergelijke riskante situaties door werknemers te allen tijde een VPN in te laten schakelen als ze met werkgerelateerde zaken bezig zijn. Gebruik een VPN in Nederland om een volledig versleutelde verbinding tot stand te brengen. Niemand kan je dataverkeer dan nog volgen, onderscheppen of lezen. Je eigen IP-adres wordt afgeschermd en voor virussen en malware wordt op tijd gewaarschuwd.

De extra barrière van tweefactorauthenticatie

Toen de hackers eenmaal toegang hadden gekregen tot het Slack-account van de medewerker, konden ze onbeperkt inloggen. Dat had voorkomen kunnen worden als de medewerker tweefactorauthenticatie had ingesteld. Alleen een wachtwoord in combinatie met een gebruikersnaam was dan onvoldoende geweest om in te loggen.

Bij tweefactorauthenticatie moet de gebruiker zich op een of meer extra manieren identificeren. Dat kan door middel van een sms-code, of door een automatisch gegenereerde code via een authenticator-app. Google Authenticator is daar een voorbeeld van, maar er zijn er meerdere. Hoewel ze misschien wat omslachtiger zijn, zouden authenticator-apps eigenlijk binnen elke werkomgeving toegepast moeten worden.

Het belang van goede voorlichting

Tot slot mogen we niet vergeten dat de betreffende werknemer zich van geen kwaad bewust was toen hij de malware downloadde. Als hij het had geweten, had hij er ongetwijfeld twee keer over nagedacht. Er valt dus ook veel winst te boeken op het gebied van voorlichting aan alle medewerkers. Iedereen die met vertrouwelijke informatie werkt, moet weten waarom het zo belangrijk is om deze gegevens te beschermen.

Medewerkers dragen een grote verantwoordelijkheid naar hun bedrijven en bedrijven mogen hun medewerkers niet aan hun lot overlaten. Dat wil zeggen dat bedrijven moeten investeren in het opleiden en trainen van hun medewerkers op het gebied van digitale veiligheid. Het moet voor iedereen duidelijk zijn wat er wordt verwacht, waarvoor moet worden opgepast en hoe iets kan worden opgelost.

Dit artikel is een externe bijdrage.