Grote bedrijven gooien onversleutelde betaalkaartdata te grabbel
Geavanceerde beveiligingsmethoden ter zijde buiten beschouwing gelaten mag je van een serieus bedrijf toch minstens verwachten dat belangrijk digitaal verkeer versleuteld gebeurt. Zo’n https-verbinding is niet bepaald nieuw en al evenmin moeilijk te implementeren. Het is dan ook verrassend dat beveiligingsbedrijf Wandera maar liefst zestien grote bedrijven betrapte op het onvoldoende versleutelen van betalingsverkeer.
Iedereen kan onderscheppen
Door trafiek bij betalingen niet helemaal versleuteld te laten verlopen, liggen gegevens van kranten voor het grabbelen voor zelfs de minder ambitieuze hacker. Kredietkaartgegevens zijn zo in theorie leesbaar voor iedereen die de datastroom kan onderscheppen.
Wandera batrapte bedrijven van over de hele wereld, waaronder een aantal klinkende namen zoals EasyJet en Air Canada. In een update laat het bedrijf wel weten dat die twee schuldigen samen met nog enkele andere betrapte bedrijven hun beleid al wel aanpasten.
Nummer en CCV
In totaal verwerken de getroffen bedrijven een half miljoen passagiers per dag. Ieder bedrijf genoemd door Wandera verstuurde de nummer van de gebruikte kredietkaart zomaar over het net, en vijfteen van de zestien versleutelde de CVV-code evenmin. Bij ons heb je meestal een extra vorm van authenticatie nodig om van een kredietkaart gebruik te maken, maar in bijvoorbeeld de VS volstaan nummer een CCV om kerstmisshopping te doen.
Wandera zit tussen gebruikers en het internet. Het bedrijf levert een dienst die aansluit op wat bijvoorbeeld Mobile Iron doet. Concreet houdt het je mobiel internetverkeer in de gaten. Wandera richt zich daartoe op bedrijven die bedrijfssmartphones met gevoelige data op ter beschikking stellen. Die data wordt meestal wel afgeschermd, maar een onvoorzichtige gebruiker kan zelfs de beste beveiliging zelf teniet doen. Door zich als wachter tussen smartphone en internet te positioneren wil Wandera beveiligingsinbreuken voorkomen, maar die positie staat het bedrijf ook toe om te trafiek die passeert te analyseren. Ware Wandera van kwade wil, dan had het bedrijf intussen een mooie verzameling kredietkaartgegevens om voor te leggen.
