Klue

Een zeroday met de maximale CVSS-score van 10.0 in analysetool Metabase legde de klantgegevens van laptopmaker Framework bloot. Zelf gehoste installaties vanaf versie 1.58 zijn nog steeds kwetsbaar en moeten direct bijwerken.

Het account van een vertrokken collega uitzetten trekt maar één ding in: zijn eigen inlog. Zijn koppelingen, tokens en gedeelde accounts draaien door, omdat niemand bij de uitgifte een eindmoment vastlegde.

Bij Accenture kwamen broncode en cloudsleutels te koop te staan. De les zit niet in het certificaat van je IT-leverancier, maar in de accounts en sleutels die zijn mensen in jouw systemen hebben.

Ransomwaregroep The Gentlemen eist losgeld van ijsstadion Thialf en dreigt gestolen data te publiceren. Thialf spreekt van minimale impact. Wat die tegenstrijdigheid en double extortion betekenen voor de weerbaarheid van elke Nederlandse organisatie.

Een nieuwe phishingcampagne misbruikt LastPass en Bitwarden met valse beveiligingsmails en nagemaakte DocuSign-pagina's om hoofdwachtwoorden te stelen. LastPass bevestigt dat het niet is gehackt. De belangrijkste tegenzet is je personeel waarschuwen.

ShinyHunters kaapt Salesforce-data door medewerkers telefonisch een frauduleuze OAuth-app te laten goedkeuren, meldt Microsoft. De aanval omzeilt wachtwoorden en MFA volledig, want het slachtoffer geeft de toegang zelf. Elk bedrijf op SaaS moet nu zijn app-toestemmingen controleren.

Nissan meldt een datalek nadat aanvallers een kritiek lek in Oracle PeopleSoft misbruikten. De afpersgroep ShinyHunters trof zo'n 300 systemen bij meer dan honderd organisaties. Nederlandse bedrijven met PeopleSoft moeten direct patchen.