Dell heeft na diefstal van 49 miljoen records wat uit te leggen

49 miljoen gebruikers van Dell hardware hebben vernomen dat hun gegevens zijn gelekt. Het bedrijf doet zoals altijd de moeite de impact van het incident te bagatelliseren. Het gemak waarmee de diefstal tot stand kwam roept de nodige vragen op.

Bedrijven die klanten en leveranciers moeten vertellen dat er gegevens zijn ontvreemd grossieren in termen als “zeroday” “high level” “geavanceerd”. Niet zelden zijn dat volkomen loze termen om het eigen falen te verhullen. Het recent verschenen DBIR geeft wat dat betreft weer een aardig inzicht in de echte oorzaken van datalekken in plaats van de communicatie die door een crisisteam is verstuurd.

De melding die Dell heeft verzonden begint het de obligate en nietszeggende “we take your privacy serious”. Onbegrijpelijk dat bedrijven dat überhaupt nog mogen beweren als het tegenovergestelde aan de hand is, maar dat terzijde.

Ontvangers van de mail weten dat er van de NAW zijn gestolen, net als gegevens over de bestelde hardware. Online is er discussie over de impact van deze data die zou stammen uit de periode 2017 – 2024. NAW is een datalek van persoonsgegevens, daarover is geen discussie. Maar wat is de meerwaarde van het combineren van hardware en NAW? Sommigen stellen dat het daardoor mogelijk is beeld te krijgen van “waarde” van een NAW. Idee is dat bij iemand die veel bestelt of alleen de dure zaken wel meer te halen valt. Terecht reageren anderen daarop door te wijzen op de zakelijke klanten. Dat inkoop [@] bedrijf veel Dell bestelt zegt alleen dat het bedrijf Dell gebruiker is.

Dell hult zich vooralsnog in zwijgen of die gelekte records velden bevat die de gebruikers niet kenden, maar die wel waardevol zijn. Kredietwaardigheid bijvoorbeeld kan een veld zijn waar cybercriminelen erg blij van worden.

Maar waar Dell heel snel op zal moeten reageren is de uitleg over het tot stand komen van de diefstal. De cybercriminelen hebben dat namelijk uitgelegd aan Bleepingcomputer en dat zegt daarover “The threat actor behind the recent Dell data breach revealed they scraped information of 49 million customer records using an partner portal API they accessed as a fake company.”

Dus geen controle of API’s mibruikt kunnen worden en geen controle of aanmeldingen legitiem zijn. Professioneel ziet er anders uit.