De week in Breach-nieuws 12 november 2025

De Universiteit van Pennsylvania heeft op 5 november bevestigd dat er een grootschalig datalek heeft plaatsgevonden, waarbij persoonlijke gegevens van studenten, alumni, medewerkers en aan de universiteit gelieerde personen openbaar zijn gemaakt. Naar verluidt zijn bij dit datalek meer dan 1,2 miljoen records openbaar gemaakt.

Het cyberincident kwam op 31 oktober aan het licht, toen verschillende leden van de Penn-gemeenschap e-mails ontvingen die zogenaamd afkomstig waren van de Graduate School of Education (GSE) van de universiteit. De universiteit bevestigde later dat bepaalde systemen die verband hielden met haar ontwikkelings- en alumni-activiteiten waren gehackt. De gestolen gegevens omvatten persoonlijk identificeerbare informatie (PII) — waarvan een deel al tientallen jaren oud is — en bankgegevens. De universiteit verklaarde echter dat er geen medische informatie bij het datalek betrokken was.

Volgens Penn begon de aanval met een social-engineering-zwendel. Nadat het universiteitspersoneel op de hoogte was gebracht van het incident, hebben zij de getroffen systemen onmiddellijk afgesloten, maar konden zij niet voorkomen dat de frauduleuze e-mails werden verzonden of dat de gevoelige informatie werd gestolen.

Oglethorpe, een in Florida gevestigd netwerk van zorgverleners op het gebied van geestelijke gezondheidszorg en verslavingszorg, heeft bekendgemaakt dat er een groot datalek heeft plaatsgevonden waarbij meer dan 92.000 personen zijn getroffen.

De zorgverlener, die vestigingen heeft in Florida, Louisiana en Ohio, heeft patiënten laten weten dat hun beschermde gezondheidsgegevens (PHI) door hackers waren gestolen. Volgens een aangifte bij het kantoor van de procureur-generaal van Maine begon het cyberbeveiligingsincident op 15 mei en werd het op 6 juni ontdekt. Na een onderzoek dat op 23 oktober werd afgerond, bleek dat gevoelige gegevens waren gelekt, waaronder namen, geboortedata, socialezekerheidsnummers, rijbewijsnummers en medische gegevens.

Oglethorpe wordt nu geconfronteerd met een toenemend aantal juridische procedures, nu patiënten rechtszaken aanspannen vanwege zorgen over identiteitsdiefstal, fraude en misbruik van hun persoonsgegevens.

Er is een grootschalige phishingcampagne gaande die gericht is op de wereldwijde horecasector, waarbij de aanvallers erop uit zijn om ongeoorloofde toegang te verkrijgen tot hotelboekingsplatforms, waaronder Booking.com.

In deze campagne worden hotelmanagers misleid om naar phishingpagina’s in de stijl van ClickFix te gaan, waar hun inloggegevens worden gestolen en de PureRAT-ransomware wordt geïnstalleerd. Aanvallers gebruiken gehackte e-mailaccounts om overtuigende spear-phishingberichten te versturen waarin ze zich voordoen als legitieme boekingsplatforms. Zodra hotelmedewerkers op deze links klikken, worden ze doorgestuurd naar kwaadaardige websites die ransomware installeren en inloggegevens verzamelen.

Deze operatie, die sinds april 2025 actief is, maakt deel uit van een groeiende trend van phishingaanvallen op hotelboekingssystemen. Cybercriminelen verkopen gestolen accounts van boekingsplatforms op cybercriminaliteitsforums of gebruiken deze om frauduleuze e-mails naar hotels en gasten te sturen, waarmee ze financiële fraude plegen.

Het Trust & Safety-team van Google heeft een nieuwe waarschuwing tegen oplichting uitgegeven voor alle gebruikers, waarin alarmerende cijfers worden onthuld: 57% van de volwassenen is het afgelopen jaar slachtoffer geworden van oplichting, en 23% gaf aan daardoor geld te hebben verloren.

Het bedrijf waarschuwde zijn gebruikers voor zes belangrijke oplichtingstrends waarvoor ze op hun hoede moeten zijn: online vacaturefraude, afpersing via negatieve recensies, oplichting waarbij producten worden nagebootst met behulp van kunstmatige intelligentie (AI), kwaadaardige VPN-apps en -extensies, oplichting onder het mom van het terugvorderen van fraudegeld en seizoensgebonden feestdagoplichting. Google merkte ook op dat oplichters steeds vaker gebruikmaken van AI-tools om hun activiteiten uit te breiden en te verbeteren, waardoor hun praktijken moeilijker te herkennen zijn.

Beveiligingsonderzoekers hebben een kwetsbaarheid ontdekt in Monsta FTP, een webgebaseerde FTP-client (File Transfer Protocol) die wereldwijd door financiële instellingen, bedrijven en particuliere gebruikers wordt gebruikt, waarmee op afstand code kan worden uitgevoerd (RCE) en die momenteel actief wordt misbruikt.

Met Monsta FTP kunnen gebruikers websitebestanden rechtstreeks vanuit een browser uploaden, downloaden en beheren. Dankzij dit gebruiksgemak is het programma bij gebruikers populair geworden als alternatief voor het installeren van aparte software. Onderzoekers hebben nu een kritieke kwetsbaarheid in Monsta FTP ontdekt, geregistreerd onder CVE-2025-34299, waardoor aanvallers zonder authenticatie willekeurige code kunnen uitvoeren op kwetsbare servers.

Via deze RCE kan een hacker het systeem misleiden om een bestand te downloaden waarover hij de controle heeft, en dit ergens op de server op te slaan. Een dergelijk toegangsniveau kan leiden tot volledige compromittering van de server, gegevensdiefstal of het installeren van ransomware.

Uit een forensisch rapport dat op 5 november door de staat Nevada is gepubliceerd, blijkt dat de ransomware-aanval in augustus is ontstaan doordat een staatsmedewerker per ongeluk een met malware besmette tool had gedownload van een vervalste website.

De aanval in augustus was een grootschalig incident dat gevolgen had voor meer dan 60 overheidsinstanties in Nevada, waaronder het ministerie van Volksgezondheid en Sociale Zaken, het ministerie van Motorvoertuigen en het ministerie van Openbare Veiligheid. Onderzoekers ontdekten dat de ransomware op 14 mei het netwerk was binnengedrongen en daar enkele weken onopgemerkt was gebleven. De malware installeerde een achterdeur, waardoor hackers via het Remote Desktop Protocol toegang konden krijgen tot kritieke systemen en gevoelige bestanden.

De autoriteiten van Nevada weigerden het losgeld te betalen en slaagden erin ongeveer 90% van de getroffen gegevens te herstellen. Het herstelproces kostte de staat echter ongeveer 1,3 miljoen dollar.