Criminelen maken 2000 valse Fontys-accounts aan
De Hogeschool Fontys is in het voorbije studiejaar geconfronteerd met zo’n 2000 nepaccounts. Er werden onder meer bankrekeningen mee leeggehaald, dure laptops aangeboden en niet geleverd en phishing-aanvallen opgezet. Ook ontstond een lucratieve handel in Netflix-accounts.
Met de nepaccounts van Nederlandse hogescholen en universiteiten verkregen de buitenlandse daders – vermoedelijk opereerden zij vooral vanuit Bulgarije en Afrika – zogenoemde credits van Amazon. Bij de online-gigant kan hiermee, in combinatie met een educatief mailadres, computercapaciteit in de cloud worden gekocht. Met deze valse identiteit werden de digitale vergrijpen gepleegd.
De gegevens werden verkregen via de aanmeldprocedure via Studielink voor studenten. Langs die weg krijgen zij een account bij de hoger onderwijsinstelling waar hun studie onder valt. Daarvoor is wel een DigiD-verificatie nodig. Studielink en, in dit geval, Fontys kunnen er op vertrouwen zo de ware identiteit te krijgen.
Buitenlandse studenten hebben echter geen DigiD. Hun identiteit werd pas gecontroleerd nadat ze al een Fontys-account hadden gekregen. Van die mogelijkheid hebben de dieven, via Studielink, veelvuldig gebruikgemaakt.
Volgens functionaris gegevensbescherming Gisa de Jonge van Fontys verkregen de criminelen op die manier serverruimte bij Amazon Web Services, tot de credits op waren. Daarna hadden ze weer nieuwe accounts nodig.
Fontys heeft inmiddels maatregelen getroffen. Ook buitenlandse studenten moeten zich voortaan tijdens hun aanmelding bij de instelling met een paspoort legitimeren. Studielink heeft eveneens ingegrepen en overweegt bovendien om zelf de identiteit van aanmelders te checken.
Foto Fontys
Deel dit bericht
Plaats een reactie
Uw e-mailadres wordt niet op de site getoond
2 Reacties
Paul Kroon
Goed dat er nu maatregelen genomen zijn.
Maar wat jammer is, is dat deze mogelijkheid niet eerder al een gesignaleerd is. In de organisatie waar ik werk kennen we het onderscheid blue team/read team. Het red team probeert de systemen te hacken. Het blue team zoekt naar scenarios de gebruikt kunnen worden om gehacked te worden, en implementeert maatregelen om dat tegen te gaan of bijtijds te signaleren. Beide teams werken uiteindelijk samen om een veiliger systeem te maken.
In dit geval kan de identiteit van een buitenlandse student niet volledig gecontroleerd worden. Waarom dan toch de AWS mogelijkheden bieden. Dat moet je uitstellen. Het scenario waarbij onverwacht grote aantallen buitenlandse accounts gemaakt worden had mogelijk eerder onderkend kunnen worden.
bert
@Paul, waarom weer altijd die verwijzing naar the Matrix?
Nooit eens team Pink en team Beige.