De week in Breach-nieuws 15 oktober 2025

De bekendmaking door SonicWall vorige maand van een datalek bij zijn cloudback-upservice blijkt veel ernstiger te zijn dan aanvankelijk werd aangenomen.

Op 8 oktober maakte SonicWall, na een grondig onderzoek in samenwerking met Mandiant (een dochteronderneming van Google), bekend dat een onbevoegde partij toegang had gekregen tot back-upbestanden met firewallconfiguraties van alle klanten die gebruik hebben gemaakt van de cloudback-upservice van SonicWall. Dit is een aanzienlijke verscherping ten opzichte van de eerdere inschatting van het bedrijf op 17 september, toen men ervan uitging dat slechts 5% van het totale aantal geïnstalleerde firewalls was getroffen. Tegelijkertijd bevestigde SonicWall nogmaals dat de gelekte bestanden versleutelde inloggegevens en configuratiegegevens bevatten.

Het bedrijf dringt er bij alle klanten op aan om onmiddellijk in te loggen en hun apparaten te controleren. Daarnaast is het begonnen met het rechtstreeks informeren van partners en gebruikers en heeft het hulpmiddelen uitgebracht om de getroffen systemen te beoordelen en te herstellen.

Microsoft heeft gewaarschuwd dat hackers inbreken op SaaS-platforms voor personeelszaken, zoals Workday, om medewerkers van Amerikaanse universiteiten te benaderen en hun salarissen om te leiden naar rekeningen die onder controle staan van de aanvallers.

Onder de naam „payroll pirate“ heeft Microsoft Threat Intelligence een financieel gemotiveerde zwendel waargenomen door een cybercrimineel genaamd Storm-2657, waarbij accounts van universiteitsmedewerkers werden gehackt om toegang te krijgen tot HR-profielen en betalingen om te leiden. Sinds maart 2025 heeft de groep gebruikgemaakt van social engineering-tactieken en het ontbreken van meervoudige authenticatie (MFA) om in te breken in 11 e-mailaccounts bij drie universiteiten. Van daaruit verstuurden ze bijna 6.000 phishing-e-mails naar 25 universiteiten, waarbij ze lokmiddelen gebruikten zoals ziektewaarschuwingen op de campus en meldingen van wangedrag door docenten om inloggegevens te stelen via ‘adversary-in-the-middle’ (AiTM)-aanvallen.

Microsoft heeft aangegeven dat dit weer een nieuwe variant is van de „Business Email Compromise“ (BEC)-zwendel. Bij deze aanvallen wordt geen misbruik gemaakt van kwetsbaarheden in HR-platforms zelf, maar wordt er juist misbruik gemaakt van het gebrekkige gebruik van MFA en zwakke authenticatiemethoden.

Op 12 oktober 2025 bevestigde Qantas Airways dat hackers de persoonsgegevens van meer dan 5,7 miljoen klanten op het dark web hadden vrijgegeven.

Qantas is een van de vele internationale bedrijven — waaronder Toyota, Disney, Ikea, Air France en KLM — die het doelwit zijn van het hackerscollectief Scattered Lapsus$ Hunters. De groep zou in juli bijna 1 miljard records hebben gestolen door zich te richten op klanten van de cloudtechnologiegigant. Hoewel de hackers geen inbreuk hebben gepleegd op Salesforce zelf, hebben ze zich in plaats daarvan voorgedaan als legitieme Salesforce-medewerkers tijdens telefoongesprekken met de IT-helpdesks van de getroffen bedrijven om zo toegang te verkrijgen. In het geval van Qantas zou een callcenter in de Filippijnen zijn misbruikt om toegang te verkrijgen.

De gelekte passagiersgegevens omvatten geboortedata, telefoonnummers, adressen, e-mailadressen en frequent flyer-nummers. Qantas heeft bevestigd dat er geen creditcard-, financiële of paspoortgegevens zijn gelekt en dat de frequent flyer-accounts veilig blijven.

Een verontrustende nieuwe ontwikkeling is dat cybercriminelen misbruik maken van een tool voor digitaal forensisch onderzoek en incidentrespons (DFIR) om ransomware-aanvallen uit te voeren.

Velociraptor is een open-source DFIR-platform dat door security wordt gebruikt om endpointsen in Windows-, Linux- en macOS-omgevingen te monitoren. Het maakt continue gegevensverzameling en snelle reactie op security mogelijk. Volgens onderzoekers van Cisco Talos hebben de aanvallers bij een aanval die medio augustus 2025 werd waargenomen, de tool gebruikt om de ransomwarefamilies Warlock, LockBit en Babuk te verspreiden. Tijdens de aanval maakten de aanvallers gebruik van kwetsbaarheden in SharePoint op locatie, bekend als ToolShell, om initiële toegang te verkrijgen en een verouderde versie van Velociraptor (versie 0.73.4.0) te implementeren. Deze versie bevatte een fout in de escalatie van privileges (CVE-2025-6264) waardoor willekeurige commando's konden worden uitgevoerd en endpoint volledig endpoint .

Onderzoekers zeggen dat dit weer een voorbeeld is van hoe ransomwaregroepen hun arsenaal uitbreiden door legitieme tools — zowel commerciële als open source — om te vormen tot wapens voor geavanceerdere aanvallen.

Shuffle, een toonaangevend platform voor crypto-weddenschappen, heeft bevestigd dat er een datalek heeft plaatsgevonden nadat de externe klantenserviceprovider was gehackt, waardoor de gegevens van het merendeel van de gebruikers openbaar zijn geraakt.

Op 10 oktober maakte Shuffle bekend dat Fast Track, de aanbieder van zijn CRM-diensten (Customer Relationship Management), te maken had gehad met een datalek waarbij gebruikersgegevens openbaar waren geraakt. Het bedrijf maakte gebruik van Fast Track voor het programmatisch versturen van e-mails en andere communicatie met gebruikers, wat betekent dat e-mailadressen en berichten vermoedelijk tot de gelekte gegevens behoorden. Shuffle liet weten dat zijn specialisten onderzoeken hoe het lek is ontstaan en waar de gestolen gegevens mogelijk terecht zijn gekomen.

De gelekte informatie omvat volledige namen, e-mailadressen, woonadressen, telefoonnummers en volledige transactiegeschiedenissen. Door het datalek zijn ook wedpatronen en logbestanden van klantenserviceconversaties aan het licht gekomen, wat zorgen baart over de privacy van gebruikers en mogelijk misbruik van gevoelige gedragsgegevens.