Jan Guldentops

Nieuw cyberincident en datalek: Pluxee Iedereen die maaltijd- of ecocheques krijgt via Pluxee, de nieuwe, wat wollige naam voor wat vroeger gewoon Sodexo heette, ontving vandaag een mail. Op 2 november werd er "schadelijke activiteit" vastgesteld op een van hun servers. Er is mogelijk toegang verkregen tot een "beperkte hoeveelheid informatie over gebruikersaccounts, zoals naam, e-mailadres en telefoonnummer". Ik heb die mail drie keer gelezen. Er staat bijna niets in. Wat was die "schadelijke activiteit"? Ransomware, een gecompromitteerd account, een lekke API? Geen idee. Hoeveel mensen zijn getroffen? Geen cijfer. Wat is beperkt? Tien records of een paar honderdduizend? En let op dat ene woordje "zoals". Naam, e-mail en telefoonnummer zijn dus voorbeelden, geen volledige lijst. Wat zat er nog in die accounts? Geboortedatum? Werkgever? Adres? Daarna volgt het vaste riedeltje: het betalingssysteem is veilig, je kaarten werken nog, je hoeft niets te doen. Maar twee alinea's verder moet je wel alert zijn voor e-mails, sms'en en telefoontjes. Ik durf er gif op innemen dat hier de salamitechniek gaat volgen. Eerst "beperkte informatie". Over een week blijkt het om "een groter aantal gebruikers" te gaan. Daarna duikt er een dataset op een leakforum op en komen er nog wat extra velden bij. Schijfje per schijfje wordt de pijnlijke waarheid van dit datalek aan de slachtoffers gevoerd. We hebben dat scenario de voorbije maanden al vaak genoeg gezien. Het vervelende is dat net deze combinatie, namelijk naam, e-mail, telefoonnummer en de wetenschap dat je Pluxee-kaarthouder bent, ideaal is voor phishing en smishing. "Uw maaltijdcheques vervallen, klik hier om ze te activeren." Die berichten circuleren al jaren. Nu weten de oplichters ook naar wie ze ze moeten sturen. Mijn advies: wees inderdaad waakzaam, want dat deel van de mail klopt. Maar van een bedrijf dat de gegevens van het leeuwendeel van de Belgische werknemers beheert, mogen we iets meer verwachten dan een geruststellend briefje zonder veel inhoud. Transparantie is geen gunst, het is de basis van vertrouwen en een wettelijke verplichting. Het opvolgen van de verschillende nationale lekken begint een fulltime bezigheid te worden. Helaas zijn deze stukjes tot nader order pro deo of non-profit, hoe je het ook wilt noemen. Wordt vervolgd. Waarschijnlijk in schijfjes. lnkd.in/p/eWjKCYk5

Frigogate ronde 3: aanval op Franse bloedbanken Als je dacht dat het niet erger kon met aanvallen op koelinstallaties: de aanvallers zijn net een versnelling hoger gegaan en hebben Coolworld aangevallen, het bedrijf dat de koelcontainers voor het Établissement Français du Sang (EFS), de Franse bloedbank, onderhoudt. Het gaat om donorstalen en plasmabloed die normaliter op de gezellige temperatuur van -30 graden worden bewaard en waarvan de koelkasten nu op 110 graden werden gezet. Gelukkig zag een technicus van vlees en bloed op tijd dat de temperaturen omhoog gingen. Vroeg of laat vallen er echte doden en/of gewonden ten gevolge van deze aanvallen. In de filmwereld zijn sequels meestal slechter en saaier dan het origineel. Hier niet. We hebben de neiging om onszelf gerust te stellen en te denken dat het ergste over is. “This too shall pass.” Ik vrees dat het slechts het begin is. Op het vlak van onze overgeconnecteerde, slecht beveiligde fysieke infrastructuur en industrie kan er nog veel meer en veel erger misgaan. Helaas ben ik vervloekt of gezegend met een geest die continu probeert, als hij een toestel of kabel uit de muur ziet hangen, te denken wat je daar allemaal mee fout kan doen. En er zijn nog veel gevaarlijkere, dodelijke scenario’s te verzinnen. Ik ga de kat niet bij de melk zetten en er hier luidop over filosoferen. Eén van de belangrijkste vragen voor elk denkend mens is de waarom-vraag. En die is hier zeer onduidelijk: waarom hangt men de cybervandaal uit en vernietigt men essentiële stukken van onze voedselvoorziening en nu onze gezondheidszorg? Afpersing lijkt het niet, want er is geen losgeld gevraagd. Beursmanipulatie? Een oefening of test voor een geopolitieke cyberoorlog zou dom zijn voor de aanvaller, want met de schaal toont hij of zij ons duidelijk wat de kwetsbaarheden zijn. Politieke destabilisatie in de aanloop naar de Franse presidentsverkiezingen? Wie zal het zeggen. oor alle geconnecteerde toestellen en andere IoT is de speeltijd over en moet er gekozen worden tussen veiligheid en convenience. Niet alleen bij bedrijven en multinationals, maar ook op het vlak van onze eigen niet-beveiligde IoT thuis moeten we eens heel goed gaan nadenken. En dat moet je zelf doen, want jij begrijpt je organisatie en deze toestellen, wat ze doen, wat je ermee fout kan doen en of ze werkelijk van bij het spreekwoordelijke zwembad met je smartphone beheerd moeten kunnen worden of dit ook gewoon fysiek ter plaatse kan. Dit is te belangrijk om aan consultants en experts over te laten. Laat je bijstaan, maar bepaal zelf je risico en neem de juiste maatregelen of vermijd het risico helemaal. 👇 lnkd.in/p/e7mUukzV

IoT, aka the Internet of Insecure Shit David Geens schreef idat hij de laatste week ongelofelijk op zijn tong heeft gebeten. Ik heb het ongelofelijke probleem – of is het een troef? – dat ik geen filter heb tussen mijn hoofd en mijn mond, dus ik zeg wat ik observeer en denk. En ik ben ervan overtuigd dat meer mensen dit zouden moeten doen. Het probleem is altijd dat we allemaal wel weten wat we eigenlijk zouden moeten doen, maar altijd een excuus voor onszelf en onze organisatie vinden om het niet te moeten doen. En het afschermen van IoT is zo'n probleem dat we in se allemaal kennen, maar waar we weinig aandacht aan besteden. Op zich is het niet moeilijk of hoogtechnisch om dit te doen. Het is de logische stap in een wereld waar we alles met een draad of een wifi-chip direct aan het internet willen hangen, liefst via onze interne wifi of ons netwerk. Of dat voor iets nuttigs of essentieels nodig is, vragen we ons niet af, en of het risico's inhoudt ook niet. We checken ook nooit of onze aannames ook letterlijk kloppen. En iedereen weet dat "Assumptions are the mother of all fuckups." IoT is tot nader order niet enkel het internet-of-things, het kan beter het internet-of-shit genoemd worden. Al jaren zijn er massa's botnets gebaseerd op allerlei brol die we aan het internet gehangen hebben, die permanent gebruikt worden om anderen aan te vallen. En nu beginnen we te leren dat al die brol, die eigenlijk niet of maar beperkt verbonden moet zijn, ook op een andere manier schade kan aanrichten. En wees gerust: de frigo's vanop afstand in heteluchtovens veranderen is maar een begin. Stel dat je met alle omvormers die aan de zonnepanelen hangen gaat spelen en er genoeg tegelijkertijd afzet, dan gaat ons stroomnet down. Jaren geleden had ik een weddenschap met iemand die er zo van overtuigd was dat zijn domoticasysteem veilig was. Ik wedde met hem dat ik het bij hem thuis kon laten spoken. Op een redelijk triviale manier kon ik het multimediasysteem, de verlichting en de rolluiken aansturen, terwijl ik ook de camera's kon bekijken. Ik heb het letterlijk bij hem thuis laten spoken door creepy geluid af te spelen, de lichten aan en uit te laten gaan en de rolluiken op en neer te laten gaan. En via de camera's kon ik de paniek in de ogen van zijn vrouw zien, die alleen thuis was. Hij heeft de weddenschap nooit meer herhaald. We moeten nadenken over de risico's en geen "experts" of andere bangmakers of relativeerders blind geloven. Ook de rasverkopers die een pleister verkopen als gegarandeerde remedie voor een aortabreuk, kunnen we beter links laten liggen. We moeten eenvoudige, praktische oplossingen uitbouwen, zoals segmenteren en sommige dingen ook gewoon niet koppelen, en we moeten permanent evalueren en testen of alles in orde is. Dat kost moeite, maar het is de enige manier om alles veiliger te maken en terug een beetje gerust te kunnen slapen. lnkd.in/p/evnjbG6M

Het verbaast me altijd hoeveel daadkracht de politiek aan de dag kan leggen als ze er zelf beter van worden of als het om een simpele wraakexpeditie gaat, maar hoe weinig als het om zoiets belangrijks als een begroting gaat. #zumkotzen doorbraak.be/dank-voor-het-a…

𝗕𝗲𝗿𝗲𝗶𝗸𝘁 𝗘𝗨-𝗽𝗿𝗶𝘃𝗮𝗰𝘆- & 𝘀𝗲𝗰𝘂𝗿𝗶𝘁𝘆𝘄𝗲𝘁𝗴𝗲𝘃𝗶𝗻𝗴 𝘄𝗲𝗹 𝗵𝗮𝗮𝗿 𝗯𝗲𝗱𝗼𝗲𝗹𝗱𝗲 𝗿𝗲𝘀𝘂𝗹𝘁𝗮𝗮𝘁? GDPR, NIS2 en CRA zijn logische wetgeving die met de juiste stok achter de deur onze privacy beter zouden moeten beschermen en de veiligheid van onze digitale samenleving verbeteren. Maar is dat wel zo? Waarom blijven de gigantische datalekken met vaak gevoelige persoonsgegevens zich dan opstapelen en krijg je domme hacks zoals de sequel van Frigogate de afgelopen dagen? Leveren deze wetten eigenlijk wel het praktische resultaat dat ze beloven? Begrijp me niet verkeerd: ik vind deze wetgevingen, wat ze vereisen en hoe ze dit doen, op een paar kanttekeningen na, common sense: gezond verstand maatregelen waar iedereen die de werkelijke toestand van dichtbij meemaakt gebruik van wil maken. Maar toch leert de praktische werkelijkheid ons dat het wetgevend framework dat bestaat nog grotendeels aan de laars wordt gelapt. Vorige week had ik een surrealistische vergadering met de IT-serviceafdeling van een grote Europese industriële groep. Ik vroeg of er een gezamenlijke DPO of liefst zelfs een privacyteam was. De man vertelde me doodleuk dat ze geen DPO hadden omdat hun juridische dienst besloten had dat dit niet nodig was. Juridisch kan dat zelfs kloppen: een DPO is niet voor elk bedrijf verplicht. Maar daar gaat het niet om. In een groep van die omvang is er dan blijkbaar niemand die privacy echt als zijn verantwoordelijkheid ziet. De vraag was of het moet, niet of het nodig is. Dat bleef in mijn achterhoofd malen. 10 jaar na de goedkeuring van deze wet, 8 jaar na het van kracht worden. Il faut le faire. In mijn hart hoop ik dat het een outlier is, een uitzondering die het heel slecht doen terwijl de rest echt wel goed bezig is. De praktijk doorprikt die hoop. In een enquête bij privacyprofessionals zegt 74% dat de toezichthouder bij een gemiddeld bedrijf relevante inbreuken zou vinden. Het gaat volgens mij op zoveel niveaus mis: - Mensen zien het belang van wat deze wetgeving wil beschermen nog altijd niet in. - Op papier is alles in orde, in de praktijk niet. - De toezichthouders treden niet streng genoeg op, of focussen zich op grote symbooldossiers. - De wetgeving en de praxis zijn in de genadeloze handen van juristen en consultants gevallen. - Regelgevingsmoeheid en zelfoverschatting doen de rest. Ik hoop dat ik fout ben, maar ik zie dezelfde patronen terugkomen in NIS2 en de Cyber Resilience Act. Terwijl het correct, praktisch omarmen van deze wetgeving gewoon business best practice is die essentieel is om te overleven in onze digitale brave new world. Zelf blijf ik me inzetten in deze strijd, o.a. met het CYSSME project, al zullen velen in mij een Don Quichot zien die strijdt tegen windmolens. Want ik geloof dat bewustzijn dat voortkomt uit het praktisch, in mensentaal uitleggen waarom privacy en security zo belangrijk zijn, de beste weg vooruit is. 👇 lnkd.in/p/e2a4m5mM

Belgische supermarkten hebben geen proactieve cyberweerbaarheid Twee weken geleden schreef ik over "Frigogate", de massale aanval op IoT-gestuurde koelkasten in de Franse supermarkten. Je zou dan verwachten dat elke grote nationale en internationale supermarktketen toch eens gaat nadenken of dat bij hen wel zo veilig opgezet is en of het ook hier kan gebeuren. Niks blijkt minder waar: vannacht zijn bij 40 Delhaizes, 15 Carrefours, 5 Spars en een paar slagerijen van De Laet & Van Haver de frigo's door onbevoegden elektronisch omgevormd tot verwarmingsapparaten tot 70 graden. Toch onbegrijpelijk dat die dingen, na de aanval van vorige maand in Frankrijk, nog altijd aan het internet hangen en voor een hacker relatief makkelijk te bereiken zijn. Deze verbindingen zijn niet essentieel voor de werking. Als je alle verbindingen had afgesloten en tijdelijk via een lokaal pc'tje gewerkt had, op zijn minst totdat je alle veiligheidsmaatregelen had nagekeken, zou dit niet gebeurd zijn. Het toont nog maar eens aan hoe weinig onze hele economie bezig is met praktische cybersecurity en vooral cyberweerbaarheid. We denken hier gewoon niet met genoeg gezond verstand en proactief over na. En schermen met afkortingen van goede EU-wetgeving als GDPR, NIS2 en CRA helpt niet. In mijn job kom ik met de regelmaat van de klok domme dingen tegen die me mijn hoofd in beide handen laten nemen. Een "facepalm" is gewoon een coping-mechanisme voor gefrustreerde, machteloze cybersecurityconsultants die post-hack het verdronken kalf moeten proberen te reanimeren. Een aanval in het buurland is gratis les. Wie die les laat liggen, betaalt later het volle pond. Laat iedereen eindelijk eens cyberweerbaarheid serieus nemen, vóór het volgende incident en niet erna. Het is te belangrijk om enkel aan IT'ers en cybersecurityexperts over te laten. lnkd.in/p/epZ7kBrJ

Halloween is de ergernis van dit weekend. Halloween is een Amerikaanse, commerciële verbastering van Samhain, het feest dat het einde van de oogst en het begin van de winter markeerde. Samhain viel op 31 oktober en 1 november, van zonsondergang tot zonsondergang. Het markeerde het begin van de donkere helft van het jaar. Daarbij hoorde ook het geloof dat de grens met de Andere Wereld, de twilight zone, dan makkelijk te overschrijden was, in beide richtingen. Het is verworden tot een verkoop gestuurde traditie met onzin als "trick or treat" (wat het doorsnee kindje aan de deur niet kan uitspreken, laat staan dat het een idee heeft waar het over gaat), pompoenen en om een of andere reden een poging tot platte spookhuishumor, die al weken de Actions, Trafics en andere nonsenswinkels vult en een oranje kleur geeft. Want blijkbaar moeten wij dit als onnozele zombies overnemen, gestuurd door socialemedia-influencers. Dertig jaar geleden zou men die mensen weggezet hebben als dorpsidioten naar wie niemand luisterde. Maar doordat ze permanent hun hele leven narcistisch delen, in een stroom van main character syndrome op sociale media, verheffen we ze tot lichtende voorbeelden in duistere dagen. En ook hier online dringt het zelfs door op het serieuze LinkedIn, en duiken er marketingacties en posts rond halloween op. Ik zag zelfs een mormoonse bisschop posten over halloween om zijn boek te promoten... Terwijl we onze eigen tradities hebben die we hierdoor laten verdringen: ons eigen Allerheiligen en Allerzielen, waarop we de mensen gedenken die ons voorgingen en die we niet meer echt bij ons hebben. Een memento mortuorum en een memento mori: denken aan de overledenen en tegelijk beseffen dat je zelf sterfelijk bent. Niet zo makkelijk mercantiel te gelde te maken in, ik zeg maar, een Happy Meal-speeltje, maar te belangrijk om te laten ondersneeuwen door goedkope, cultuurvreemde onzin. Misschien moeten we maar wat meer vasthouden aan onze eigen tradities. Alhoewel het is wel de dag dat heksen en griezels schaamteloos zichzelf kunnen zijn. Of ben ik gewoon een zeurpiet die een schijthekel heeft aan Halloween? lnkd.in/p/eWr3VuYm

Stand van zaken en lessons learned 𝗖𝗩𝗘-𝟮𝟬𝟮𝟲-𝟵𝟴𝟰𝟯𝟮: de Linux-tcp-bug We zijn nu een paar dagen na het bekend worden van 𝗖𝗩𝗘-𝟮𝟬𝟮𝟲-𝟵𝟴𝟰𝟯𝟮. Wat weten we ondertussen, welke lessen hebben we geleerd en is alles weer pais en vree? Anthropic had de code voor de exploit enkel beschreven en niet bekendgemaakt. Er zijn bij mijn weten en na research geen actieve, succesvolle aanvallen bekend die deze bug misbruikten. Je kunt dus zeggen dat het misschien een scheet in een fles is, maar beter safe than sorry.  Er zijn wel een paar andere PoC beschikbaar maar zover ik kan zien geen enkele die echt een root-exploit geeft.  Je kan er een kernel enkel mee doen crashen. Er zijn meerdere mitigaties mogelijk en gedocumenteerd: - MPTCP afzetten is relatief makkelijk (maar werkt alleen tegen de potentiële Anthropic-exploit, niet tegen andere aanvallen met IP-opties). - Red Hat beschrijft in zijn bulletin een methode om met de ingebouwde firewalling elk - IPv4-pakket met opties te droppen. Volgens mij een goede maatregel. - De kernel patchen: voor een hele hoop distro's is in het updatekanaal nu een gepatchte kernel beschikbaar. Alleen voor Ubuntu en Red Hat is dit vandaag ( allerheiligen 2026) nog niet het geval. Ik weet niet goed hoe ik dit moet inschatten, maar ik stel me er vragen bij en het baart me zorgen. Voor mij (net als voor vele andere systeembeheerders) was het een goede test om te zien hoe efficiënt je je hele infrastructuur kunt updaten of mitigerende maatregelen kunt uitvoeren via Infrastructure-as-Code, in ons geval Ansible. Wat me ook opviel, was hoe verschillend de verschillende teams de ernst van deze bug inschatten. Het kernelteam zette er direct 9.8 (critical) op, terwijl Red Hat het oorspronkelijk inschatte op 5.9, dan evolueerde naar 8.1 (net als Oracle, SUSE en Amazon) en nu ondertussen de score van het kernelteam volgt en hem op 9.8 zet. Er zijn redenen voor deze scores: oorspronkelijk dacht Red Hat dat het enkel tot een denial-of-service kon leiden en niet tot een exploit. Alle distro's dachten dat het heel moeilijk en complex was om uit te voeren. De basisclassificatie van een kwetsbaarheid, en wie daarin de leiding neemt, is iets waar we als industrie ook eens over moeten nadenken. En dan nog een laatste leuk weetje. Ik werd gecontacteerd door een belangrijke overheidsinstelling met de vraag of hun omgeving kwetsbaar was. Ze draaiden nog een 2.6.18-kernel in een Enterprise Linux 5-omgeving. Niet kwetsbaar dus, omdat de bug door een patch in de 4.4-kernel werd geïntroduceerd. Maar ik denk dat je, als je 5 major releases achterloopt, andere problemen hebt… In het artikel in bijlage staan alle mitigaties met code en links naar de opvolgingspagina's van de belangrijkste distro's. Ik wil iedereen bedanken die actief heeft gereageerd en met kennis en weetjes heeft bijgedragen in de comments. lnkd.in/p/eAgt5RYB

Sire, we lezen niet meer. Het vermogen om complexe teksten te lezen, verdwijnt niet alleen bij “de jeugd van tegenwoordig”, maar bij ons allemaal. De reden is volgens mij dat we gewoon nooit meer iets lezen dat langer is dan een tweet, Facebook of de occasionele, al dan niet AI-gegenereerde, LinkedIn-post. We swipen liever en kijken naar nonsens van would-be influencers op zoek naar instant ontspanning of “kennis”. Dopamine. Statbel geeft het cijfer dat 60% van de bevolking jaarlijks minstens één boek leest; 19% leest 10 boeken of meer. Iedereen leest beweert dat van alle 12- tot 25-jarigen heeft bijna de helft het afgelopen jaar een boek of strip gelezen, een kwart doet dat wekelijks. Ik geloof er geen snars van. Audioboeken meetellen vertekent de cijfers, in combinatie met het feit dat, zoals House zegt, “Everybody lies”. Niemand durft zeggen dat hij in eeuwen geen boek meer heeft vastgehad en moeite heeft om een tekst van meer dan een bladzijde te doorgronden. De vermaledijde PISA-testen geven een ander beeld: 29,4% van de Vlaamse vijftienjarigen zijn onvoldoende leesvaardig om volwaardig aan de maatschappij te kunnen deelnemen. Ik vraag me af of ze uit politieke correctheid niet durven te schrijven: “functioneel analfabeet”. 17,1 miljard per jaar, ruim 25% van het totaalbudget van de Vlaamse overheid, naar onderwijs en bijna 1 op 4 vijftienjarigen kan niet deftig lezen. Iedere lector weet dit uit de praktijk. Studenten hoger onderwijs met een aso-diploma op zak die niet in staat zijn om aan de slag te gaan met een opdracht van 5 simpele zinnen op een slide. Een groep van 30 studenten aan wie je vraagt wie het afgelopen jaar een boek gelezen heeft, en er gaan 2 handen de lucht in. Soms vraag ik me af of het (hoger) onderwijs het eigenlijk al heeft opgegeven. Ik herinner me de verbaasde blikken van collega’s toen ik zei dat mijn studenten voor mijn vak een boek moesten lezen. Doorlopende cursussen worden vervangen door slides en opgenomen sessies die de studenten dan op smurfensnelheid (x1,5 tot x2) bekijken. Allemaal in de strijd om zoveel mogelijk jongeren een diploma hoger onderwijs te geven, terwijl niemand de vraag durft te stellen wat dat diploma eigenlijk nog waard is. Of het de jongeren intellectueel voldoende voorbereidt op hun toekomst. Je mag me een elitaire, intellectuele zeiker noemen, maar zachte heelmeesters maken stinkende wonden. Door dit los te laten, ontnemen we de jongeren een levensvaardigheid en een stuk vreugde. We ondergraven de toekomst van onze samenleving door intellectuele verkleutering, door de angst om iets moeilijks te vragen. Quasi elke uitdaging die ons wacht, heeft ergens een bron in deze intellectuele verschraling. Dus: leg de smartphone even weg, neem een boek of tijdschrift in de hand en probeer consequent een uurtje te lezen. Het maakt niet uit wat, het hoeft geen Tolstoj te zijn. Ik ben ervan overtuigd dat je daar individueel, en wij allemaal als samenleving, beter van wordt. 👇 linkedin.com/posts/jangulden…

🚨🚨 𝗕𝗘𝗟𝗔𝗡𝗚𝗥𝗜𝗝𝗞: 𝗻𝗶𝗲𝘂𝘄𝗲 𝗸𝗿𝗶𝘁𝗶𝘀𝗰𝗵𝗲 𝗸𝗹𝗼𝘁𝗲𝗯𝘂𝗴 𝗶𝗻 𝗟𝗶𝗻𝘂𝘅 (𝗖𝗩𝗘-𝟮𝟬𝟮𝟲-𝟵𝟴𝟰𝟯𝟮) 🚨🚨 Ondertussen heeft een nieuwe bug in de Linux-kernel, CVE-2026-98432, een score van 9.8 gekregen, dus superkritisch. Waar gaat het om? Door een fout in hoe de kernel omgaat met de tcp-handshake kan een aanvaller je machine doen crashen en mogelijk zijn eigen code als root uitvoeren. Anthropic heeft een exploit bekendgemaakt voor als je ook MPTCP draait, maar er zijn er mogelijk anderen. Dus elke bereikbare tcp-poort die je draait op een Linux-machine, whatever service je erachter draait, kan met deze bug misbruikt worden. Dit lijkt me angstaanjagender dan de PHP2shell waarvoor we afgelopen week uit voorzorg het internet platlegden. Alles op het internet draait Linux onder de motorkap, en alles op het internet dat iets nuttigs doet naar de buitenwereld heeft wel ergens een tcp-service openstaan en is dus potentieel kwetsbaar. En het stopt niet bij Linux-machines: ook een hele hoop VM's, afgeleide producten en appliances zijn gevoelig voor dit probleem. Containers hangen af van de kernel van de host, dus die moet je m.i. niet nakijken. Het is dan ook een echte puinhoop om te beginnen nakijken en patchen. De enige zinnige oplossing is je kernel patchen, liefst met een officiële patch van je distributie. Alleen zijn die op dit moment niet voor elke distributie beschikbaar... Een andere mitigatie is het afzetten van de MPTCP-listener (die heeft de door Anthropic getoonde exploit nodig om de root-exploit uit te buiten). Zet dit dan ook af als je het niet nodig hebt. 👉 echo "net.mptcp.enabled = 0" > /etc/sysctl.d/99-disable-mptcp.conf 👉 sysctl --system Opgepast: als de kernel van je host gepatcht is moet je niks doen voor docker / podman/kubernetes, maar voor deze mitigatie gebruikt de containersoftware de standaard instellingen en moet je dit nog specifiek instellen. De enige andere zinvolle noodoplossing is alle tcp-poorten en hun opties beginnen dicht te timmeren op je firewall. Gelukkig is het een complexe bug om uit te buiten, vooral de juiste timing, maar er moet maar één pipo met een standaard exploitscript opduiken en eigenlijk heeft het hele internet prijs, in heel veel lagen. Het worden weer drukke dagen voor systeembeheerders… Voortschrijdend inzicht in de comments 👇 Voeg alle nieuwe kennis toe en repost/deel dit bericht met zoveel mogelijk mensen die Linux draaien. lnkd.in/p/eiJpxVgw

UPDATE: 2,9 TB data van gemeente Machelen te koop aangeboden door ransomwaregroep Rhysida Een maand geleden schreef ik over hoe fout ik de communicatie van de gemeente Machelen wel vond. Een burgemeester die beweert "dat er vermoedelijk geen persoonsgegevens gestolen" zijn, terwijl hij dat op dat moment eigenlijk niet zeker kon weten. Ik riep op om te stoppen met dit soort minimaliserende communicatie bij incidenten. Ondertussen wordt de data, 2,9 TB, online te koop aangeboden. En ja, het wordt opnieuw gedownplayed, want als je ze niet aankoopt, weet je niet zeker dat de data echt is of uit dit lek komt. Misschien een tegenstelling, maar deze groep heeft een de reputatie "betrouwbaar" te zijn. Maar de salami-methode, minimaliseren en telkens een beetje meer de ware grootte van het datalek toegeven als je echt niet anders kan, werd duidelijk opnieuw toegepast. Ik haat het als ik gelijk krijg in dit soort gevallen…👇 lnkd.in/p/eHNkZq26

Microsoft wil van 1/4 van zijn medewerkers af Microsoft biedt 60.000 medewerkers in India, US, GB en Canada een voorstel om op te rotten met een financieel extraatje aan (buy-out of, in typische enterprisespeak, “een Voluntary Exit Offer”). In de Benelux geldt dit voorstel tot nader order niet. Da’s al de zoveelste ontslagronde in het laatste jaar, waarin al duizenden zijn afgeroomd via eerdere pensionering en ontslagrondes. In april liep een eerste vrijwillig pensioenprogramma voor ongeveer 8.750 Amerikaanse medewerkers, waarvan zo’n 30% instapte. In juli schrapte Microsoft 4.800 banen, waarvan 3.200 bij Xbox, en in september volgden nog 268 Xbox-banen. In 2025 gingen er al ongeveer 15.000 jobs. Het personeelsbestand daalde van 228.000 eind 2025 naar 223.000 eind juni. De reden… AI natuurlijk… Niet zozeer dat ze door AI gaan vervangen worden, vooral om financiële ruimte te maken voor de (m.i. absurde) investeringen die Redmond in AI-datacenters wil of moet maken in de komende maanden en jaren. Dit terwijl de meeste andere bedrijven al spijt hebben dat ze goeie mensen de afgelopen tijd vervangen hebben door AI. There is something rotten in the state of Microsoft. Is het een indicator van financiële problemen? De cijfers wijzen niet in die richting. Over fiscaal 2026 boekte Microsoft 331,8 miljard dollar omzet (+18%) en steeg de nettowinst met 31% tot 133,7 miljard. Wat wel onder druk staat, is de kasstroom: de vrije kasstroom zakte over fiscaal 2026 met 23% op jaarbasis. Bovendien verlaagde Microsoft zijn capex-cijfer via een boekhoudkundig trucje door datacenters nu af te schrijven over 25 in plaats van 15 jaar. Het gaat dus vermoedelijk om meer cash in eigen handen te houden. Of is er iets anders aan de hand? Wie zal het zeggen… De beurs reageerde er in ieder geval positief op. De dienstverlening naar de klant gaat er vermoedelijk niet op vooruitgaan. 👇 lnkd.in/p/e3eqxE25

MFA: minimale basisregel, geen garantie MFA is de heilige graal geworden van hoe je jezelf op een sterke manier authenticeert. Het is een minimum en je koopt geen product meer waar niet minstens een vorm van MFA inzit. Alleen hebben we in de industrie de neiging om magic bullets te zoeken: quick fixes die goed werken, maar die we dan bijna met religieus geloof te veel krachten en onfeilbaarheid toedichten. Dus, op basis van een hoop incidenten waarbij het ondanks het gebruik van MFA misgaat, de vraag: hoe onfeilbaar is MFA? Een studie van mijn tegenvoeters bij Microsoft leert dat MFA het risico op accountcompromittering terugbrengt tot iets minder dan 1%. Maar met naar schatting een half miljard identiteitsaanvallen per dag is 1% nog altijd onaanvaardbaar. Niet alle MFA-vormen zijn gelijk en even veilig. Er is een onderscheid tussen phishbare en phishingbestendige MFA. Volgens CISA zijn FIDO/WebAuthn of PKI-gebaseerde MFA de enige vormen die bestand zijn tegen de meest courante aanvallen op dit moment. Hoe hacken of omzeilen aanvallers MFA? D’er zijn een paar – sorry dat ik het moet zeggen, maar mijn technische prutserhart denkt “coole” – manieren om MFA als hacker te counteren. De eerste is wat men noemt een adversary-in-the-middle-aanval. Een proxy tussen gebruiker en echte site steelt wachtwoord, code én sessiecookie. AiTM’en zijn een commodity geworden. Er is één commercieel product, Tycoon 2FA, maar in open source kan je iets vinden als Evilginx. Nog krachtiger en eenvoudiger is device code phishing. Het slachtoffer meldt zich aan op de officiële pagina van bv. Microsoft en voert zijn credentials en MFA in. MFA bewijst wie de code invoert, maar niet wie de aanvraag heeft gestart. Of minder technisch maar even efficiënt: men vraagt je rechten te geven aan een kwaadaardige app, bestookt je met MFA-requests tot je er van ellende één bevestigt, belt je helpdesk en overtuigt ze je MFA te resetten, gebruikt zwakke account-fallbacks zoals SMS, etc. Met het juiste social-engineeringsmoesje kan je heel veel mensen liggen hebben. Maar wat doe je eraan? In de eerste plaats moet je als organisatie je systemen opnieuw kritisch en streng overdenken en hardenen. De speeltijd is over. Implementeer alle securityadviezen van je leverancier, gebruik zeker voor gevoelige accounts phishingbestendige MFA, schrap fallbacks, beperk wie apps toestemming mag geven of wie nieuwe devices mag toevoegen, en zorg dat je degelijke logs hebt die je ook in de gaten houdt. Ik weet het, het is de zoveelste dikke boterham die je moet opeten, maar better safe than sorry. Als eindgebruiker moet je vooral waakzaam blijven, geen domme dingen doen, en nadenken en checken voor je op een applicatie inlogt die je niet kent of die je met een smoes onder tijdsdruk wordt aangesmeerd. En vooral: als je een stommiteit doet of denkt er één gedaan te hebben, meld het zo snel mogelijk aan de juiste mensen binnen je organisatie of bij je leverancier.👇 lnkd.in/p/eqWCvnpD

Crisiscommunicatie bij cyberincidenten is nog een jonge sport. Naar aanleiding van mijn kritiek op de veelvoorkomende salami-communicatiemethode, kreeg ik een reactie van iemand die het nu aan den lijve ondervonden heeft: het is héél moeilijk om alle betrokkenen voldoende te informeren én een vorm van zekerheid te geven tegelijkertijd. Dat klopt. Het is moeilijk om onmiddellijk perfect te weten wat er aan de hand is en hoe groot de schade is. Ik heb zelf een paar keer voor klanten in die schoenen gestaan en weet dat alles de eerste momenten vaag is en dat je tegelijkertijd moet oppassen om niet overdreven optimistisch of overdreven pessimistisch te zijn. En dat is de belangrijkste les die ik altijd heb voor dit soort communicatie: geef alleen de feiten die je zeker weet en filosofeer niet over wat zou kunnen zijn, negatief of positief. Het probleem dat ik altijd zie, is dat bij de meeste bedrijven die een cyberincident meemaken het managen van de reputatie belangrijker is dan voldoende transparant zijn tegenover de echte slachtoffers van de aanval: de bedrijven of individuen van wie je de data lekt of die gecompromitteerd zijn. Die moet je (wettelijk) snel en voldoende uitgebreid op de hoogte brengen, zodat de criminelen minder de kans krijgen om nog meer schade aan te richten. Zeg wat er gelekt of gecompromitteerd is, maar als je daar niet zeker van bent, zeg dan niet het expliciete zinnetje "Er zijn geen indicaties dat persoonsgegevens gelekt zijn". En die boodschap is vaak te belangrijk om aan communicatie-experts over te laten. Daarnaast vind ik het belangrijk dat bedrijven transparant zijn over hoe het gebeurd is, liefst naar een zo groot mogelijk publiek en niet enkel naar toezichthouders. Waarom? Omdat anderen eruit kunnen leren. Wat is er exact foutgegaan? Hoe zou je het voorkomen als je op voorhand had geweten wat je nu weet? Hoe kun je het structureel voorkomen? Deze lessons learned moeten aan een groter publiek kenbaar gemaakt worden. En dat doet misschien een beetje pijn, maar je maakt de wereld er beter mee. Niemand hangt graag zijn vuile was buiten, maar het zou je aanzien bij echte cybersecurityprofessionals en hopelijk ook bij gewone stervelingen enorm doen stijgen. Jaren geleden (2020) werd de Gemeente Willebroek gehackt. Ze werden door iedereen – vooral ook door de bevoegde minister op dat moment – voor de bus gegooid, ondanks zeer juiste beslissingen. Hun evaluatierapport werd publiek gedeeld en heeft heel wat gemeentes geholpen om hun eigen security op orde te brengen. Zonlicht (uv) is het beste ontsmettingsmiddel. Elke organisatie functioneert in een groter geheel, een samenleving. Tegenover die samenleving is het je verdomde plicht om transparant te zijn over wat er gebeurd is. In deze "interesting times" kun je het een organisatie maar beperkt kwalijk nemen dat ze een cyberincident heeft; het kan ons allemaal overkomen. De echte test is hoe je professioneel met zo'n cyberincident omgaat.👇 lnkd.in/p/eWka5tqK

De Broccoli-storm blijft op de softwarewereld inbeuken Vorige week leek het nog een probleem voor Node.js-developers. Zondag stuurde Microsoft noodpatches uit voor .NET 8, 9 en 10, Visual Studio en PowerShell. Zelfde bug. Eerst heette hij Node2Shell, daarna HTTP2Shell en ondertussen Broccoli2Shell, een knipoog naar Brotli, de bibliotheek waarin de fout zit. Het begon 8 maanden geleden met een simpele bugfix in de Brotli-repo. Een bugfix zoals er elke dag duizenden gebeuren in verschillende opensourceprojecten, die een programmatiefout oplost. Niemand zag er toen een potentieel securityprobleem in en er was ook geen aandacht voor. Tot het securityteam van OpenAI er met zijn AI-tool Codex op botste en zag dat je er een server mee kon overnemen. Nu is Brotli zo’n typisch nuttig stukje software ontwikkeld door Google dat zorgt voor zeer efficiënte compressie van de HTML of andere gestructureerde data die je over het netwerk doorstuurt. Het is één van de tientallen componenten die we gebruiken om op een snelle en makkelijke manier coole en efficiënte software te ontwikkelen. Want elk stukje software, elk product, open source of closed source, is een blokkendoos van andermans code in de vorm van libraries die een developer in staat stellen om zijn eigen oplossing te bouwen. Het is de reden waarom software-innovatie zo snel en betaalbaar kan. Maar er is ook een donkere zijde. Als er in zo’n bouwsteen een fout zit, in dit geval één met serieuze veiligheidscomplicaties, dan sleurt die alles mee wat erop gebouwd is. Eén populaire bibliotheek lek, en een hele keten (supply chain) aan oplossingen is ook lek. De afgelopen week bleek dat de ogenschijnlijk onbelangrijke bug van februari misbruikt kan worden om in verschillende aanvalssituaties (crash, memory leak of in het ergste geval het uitvoeren van code) servers en toepassingen te compromitteren. Het begon met een advies rond Node.js, maar ondertussen zijn tientallen tools, frameworks, programmeeromgevingen, proxy’s, databanken, archieftools en zelfs firmware geïmpacteerd. En daar zit de echte les. Veel software gebruikt niet de Brotli van je besturingssysteem, maar bundelt een eigen kopie. Je Linux-server updaten volstaat dus niet: elke leverancier moet zelf patchen. Een mooi voorbeeld is 3CX, een telefooncentrale die haar eigen .NET-runtime meelevert. Beheerders vragen zich op het forum af of ze getroffen zijn. En terwijl Node.js, Python, .NET, Ruby en PHP ondertussen een fix hebben, wachten DuckDB, Apache Arrow, enkele 7-Zip-varianten en de UEFI-firmwarecode EDK II er nog op. Geen paniek: er is nog geen misbruik in het wild gemeld en in veel software staat Brotli-decompressie niet standaard aan. Maar er circuleren wel al proof-of-concepts, dus dat kan snel veranderen. Het wordt weer een week om alle updates goed op te volgen. En misschien ook allemaal eens werk maken van die software-bill-of-materials... 😉 👇 lnkd.in/p/edR4WSfH

Sociale media backuppen en beveiligen Hoe belangrijk zijn de inhoud, toegang en contacten van je socialemedia-accounts voor jou en je bedrijf? Wat me bij veel CYSSME-gesprekken met kmo's opvalt, is hoe belangrijk sociale media als LinkedIn, Insta(gram), Facebook en YouTube geworden zijn als marketing en portfolio voor hun bedrijf. Het is voor hen een marketingkanaal, een portfolio om zich te tonen en een manier om met bestaande en nieuwe klanten te communiceren. Alleen over de beveiliging en vooral de weerbaarheid van deze online activiteiten denkt men zelden na. De eerlijkheid gebiedt te zeggen dat ik er zelf ook niet echt mee bezig was, terwijl toch bijna 55% van de leads van mijn bedrijf uit mijn persoonlijke profiel en, in mindere mate, de bedrijfsprofielen komt. Daarom een korte cursus backup en beveiliging van de voornaamste sociale media. In de eerste plaats zijn het accounts die je goed moet beveiligen. Gebruik altijd een goed opgezet account, met MFA (waarvan je ook de recoverycodes hebt) en een correct, up-to-date e-mailadres en gsm-nummer. Wees ook voorzichtig waar je met je SM-accounts inlogt en aan welke tools en applicaties je allemaal à volonté toegangsrechten geeft. Dit geldt zeker voor een bedrijfsaccount, waarvoor je best ook een tweede account als backup-admin aanmaakt. Alles wat belangrijk is, moet je ook regelmatig op een correcte manier backuppen. En hier hebben we gelukkig de GDPR-wetgeving, die je inzage geeft in al je persoonsgegevens. In een ruime context is heel je socialemediaverkeer een persoonsgegeven. Om dit recht makkelijk te laten uitoefenen (en geen hele supportdesk te moeten voorzien), hebben de meeste sociale media dit geautomatiseerd en kan je het online aanvragen. Meer details en directe links zitten in de cheat sheet in het Nederlands en Engels in de PDF onderaan 👇 Je doet op de juiste plek een aanvraag en een paar minuten tot een paar uur later krijg je een downloadlink voor een zipbestand met alles wat je ooit op dat specifieke platform hebt uitgevreten, in één gestructureerd archief. Dan is het zaak om te controleren of het archief correct is en het op de juiste manier veilig (niet toegankelijk voor derden) en op meerdere plaatsen (3-2-1-regel) te bewaren. Neem dit archief mee in je gewone backups. Het enige wat je niet op deze manier kan backuppen, is een LinkedIn company profile. Daar heb ik zelf geen oplossing voor gevonden, en ook van de meeste advertisingaccounts kan je niet echt een gestructureerde backup maken. Hou er wel rekening mee dat de downloadlinks niet blijven staan en al na enkele dagen (meestal 72 uur tot 4 dagen) vervallen. Ik heb nergens goeie structurele backupsoftware gevonden die dit automatiseert, dus je gaat het op vaste tijdstippen, zoals elke 3 maanden, opnieuw moeten doen. Tips, trucs, voortschrijdende inzichten, dingen die ik vergeten ben? Comments! 👇 lnkd.in/p/e4BSTccX

𝗖𝘆𝗯𝗲𝗿𝗶𝗻𝗰𝗶𝗱𝗲𝗻𝘁 𝗶𝗻 𝗱𝗲 𝗱𝗶𝗴𝗶𝘁𝗮𝗹𝗲 𝗵𝗮𝗻𝗱𝘁𝗲𝗸𝗲𝗻𝗶𝗻𝗴𝗱𝗶𝗲𝗻𝘀𝘁 𝘃𝗮𝗻 𝗩𝗮𝗻𝗱𝗲𝗻 𝗕𝗿𝗼𝗲𝗹𝗲, 𝗺𝗲𝗲𝗿𝗱𝗲𝗿𝗲 𝗴𝗲𝗺𝗲𝗲𝗻𝘁𝗲𝘀 𝗴𝗲𝗶̈𝗺𝗽𝗮𝗰𝘁𝗲𝗲𝗿𝗱 Vorige week donderdag en vrijdag heeft een externe aanvaller toegang gekregen tot onderdelen van eSignFlow en SignService. Dit is een ondertekendienst die veel gemeentes gebruiken om de veelheid aan documenten die ze uitsturen digitaal te ondertekenen. Hij of zij zou dit naar verluid gedaan hebben met sleutels die hij of zij eerst ontfutseld heeft uit een publiek bereikbare beheeromgeving. Het bedrijf heeft uit voorzorg de omgeving tot zaterdag offline gehaald en ondertussen terug opgestart. De API's die veel van deze processen automatiseren, werken op dit moment nog niet terug. Gezien er heel wat gemeentes van deze dienstverlening gebruikmaken, is de impact op de dienstverlening aanzienlijk. Niet enkel Vanden Broele gaat hier veel werk mee hebben, ook de lokale gemeentes zelf zullen in het kader van de GDPR-wetgeving en NIS2 aan de slag moeten om te onderzoeken wat er aan de hand is en dit op de juiste manier aan de toezichthouders en eventuele slachtoffers te melden. Met wat we nu weten, heeft Vanden Broele alles goed opgevangen en is de gelekte data volgens eigen zeggen beperkt tot metadata en gaat het niet om de documenten zelf. Niks wijst er op dit moment op dat er gemorreld is met de digitale handtekeningen zelf. Ik hoop dat de salami-methode voor één keer niet van toepassing is. Maar zoals altijd kan je beter safe than sorry zijn en de komende maanden uitkijken. Pas op voor eventuele phishing of andere social engineering in naam van eSignflow of je gemeente. Met de buitgemaakte informatie kan die phishing er heel officieel en heel correct uitzien. Aarzel ook niet om deze aanvallen te melden bij Safeonweb. Het is de zoveelste aanval op de kritische basisinfrastructuur van onze digitale overheid. Het zal ook niet de laatste zijn. Onze cyberweerbaarheid wordt duchtig getest. lnkd.in/p/eYHrMeHC

Markdown: terug naar de inhoud, niet de verpakking Als ik op restaurant ga, heb ik weinig vertrouwen in eentje met een ellenlange menukaart met tientallen opties. Het geeft keuzestress, maar vooral: je weet dat niks vers is en dat de microgolfoven het werk doet. Zo voelt MS Office voor mij ook. Een menukaart met zoveel opties dat een kat zijn jongen er niet in terugvindt. Bij het Microsoft-team dat Office bouwt, zit volgens mij een hele ploeg die bij elke nieuwe release simpele gebruikers als mezelf desoriënteert door alles opnieuw om te gooien. Ook LibreOffice, dat ik zelf gebruik, geeft me met al zijn opties vaak writer's block. Ik hou van schrijven en presenteren. Het is voor mij geen werk, het is een passie die me stimuleert om na te denken en me geestelijk gezond en happy houdt. Maar ik betrap me er steeds vaker op dat het afwerken, dat nette, gelayoute document of die aanvaardbare eindpresentatie, me meer tijd en energie kost dan datgene waar het om gaat: de inhoud. Stiekem verlang ik terug naar het blauwe scherm van WordPerfect 5.1 onder MS-DOS. Je kon er eigenlijk alleen tekst in produceren, zonder tientallen toeters en bellen. Het is pas beginnen fout te gaan toen ik mijn thesis schreef op een machine met Chicago (de bèta van Windows 95) en Word. Het gekke is: de betere oplossing staat al jaren voor mijn neus. Voor de technische kanten van mijn job gebruik ik al jaren vi(m) en Markdown. Maar voor de echte teksten greep ik toch altijd naar een echte tekstverwerker. Ik heb nooit de klik gemaakt. Nu wel. Want koppel je Markdown aan Marp, Pandoc of het simpele Hugo, dan maak je van je content snel en efficiënt alles wat je wil: een mooi pdf-documentje, een slidedeck, een statische website, tot zelfs een heel epub-e-book. Combineer dat met git en je houdt al je wijzigingen bij, of je werkt makkelijk met meerdere mensen aan hetzelfde document of dezelfde presentatie. En ik ben niet alleen. Quasi elke AI gebruikt Markdown als default, en notitie-apps zoals Obsidian zijn er volledig op gebouwd. Je hoeft dus niet die-hard in vi of Visual Studio Code te werken: er zijn zachtere methodes. Je schrijft gewoon. De template doet de rest, zo automagisch mogelijk. Terug focus op de inhoud, niet op de verpakking. Suggesties, comments, opmerkingen, advies in de comments 👇 linkedin.com/posts/jangulden…