Derde van meldingen kwetsbaarheden niet opgepakt

Dit artikel delen:

Als ethische hackers een kwetsbaarheid vinden in de software- of webtoepassing van een bedrijf en dat rapporteren, dan blijft die melding dikwijls zonder gevolg. Doorgaans ook omdat er bij de betreffende organisatie geen procedure is voor dergelijke securitymeldingen.

Dat alles blijkt uit een onderzoek van Intigriti, een platform van ethische hackers, bij hun leden. Ongeveer duizend hackers namen deel aan het onderzoek. Meestal gaan zij gericht op zoek naar kwetsbaarheden, op vraag van klanten. Maar soms komen zij dergelijke kwetsbaarheden ‘onderweg’ tegen. Zoiets blijkt regelmatig voor te vallen. ‘Ruim zeventig procent van de hackers, onder wie ikzelf, gaf aan om ooit al zo'n lek ‘in het wild’ gevonden te hebben. Om dat vervolgens te melden bij de betreffende organisatie’, vertelt Inti De Ceukelaire, hacker community manager bij Intigriti.

Alleen blijkt zo’n melding niet altijd even eenvoudig. Zeker niet als een responsible disclosure, die zo’n melding mogelijk maakt, ontbreekt bij de betreffende organisatie.

Klantendienst

Uiteindelijk rapporteren de hackers zo’n melding wel. Vaak via de klantendienst van het bedrijf. Meer dan de helft (54 procent) rapporteerde op die manier zo’n lek. ‘We zien dat zo’n melding daar vaak verloren gaat. Soms omdat ze daar als spam wordt beschouwd, of omdat medewerkers de betreffende hacker niet geloven, dat gebeurt ook’, stelt De Ceukelaire.

Wat is dan de effectiefste manier om iets te laten fixen? ‘Dat zal je niet verwonderen. Dat zijn sociale media als LinkedIn. Al is dat op zich gek, want meestal komen zulke meldingen dan niet rechtstreeks bij de juiste persoon terecht, maar zijn er anderen - vaak buitenstaanders - die het eerst zien.’

Eén op drie

Met als gevolg van dit alles dat in één op drie gevallen zo’n melding rond kwetsbaarheid zonder gevolg blijft, en dus niet wordt opgelost. ‘Dat is best een hoog aantal. Al verbetert het licht’, weet hij. ‘Vroeger was dat meer dan de helft. Onder meer de komst van de GDPR-wetgeving heeft dit doen verbeteren. Organisaties zijn hierdoor meer bekommerd geraakt om hun data, en zeker van die van hun klanten.’

x

Om te kunnen beoordelen moet u ingelogd zijn:

Dit artikel delen:

Nieuwsbrief

Wil je dagelijks op de hoogte gehouden worden van het laatste ict-nieuws, trends en ontwikkelingen? Abonneer je dan op onze gratis nieuwsbrief.

Vul een geldig e-mailadres in

Stuur dit artikel door

Uw naam ontbreekt
Uw e-mailadres ontbreekt
De naam van de ontvanger ontbreekt
Het e-mailadres van de ontvanger ontbreekt

×
×
article 2021-06-03T12:15:00.000Z William Visterin


Wilt u dagelijks op de hoogte worden gehouden van het laatste ict-nieuws, achtergronden en opinie?
Abonneer uzelf op onze gratis nieuwsbrief.