Ethische hackers: 'Rabobank laat kwetsbaarheden maandenlang liggen'

hacker3

De Rabobank onderneemt in sommige gevallen pas na maanden actie op meldingen van 'ethische hackers' over cross-site scripting (XSS) en SQL-injectie kwetsbaarheden op zijn website. Het melden van kwetsbaarheden heeft volgens de Nederlandse hackersgroep 'xLimbolandx Team' geen zin.

Dit blijkt uit een mailwisseling tussen de hackersgroep en de Rabobank die in handen is van Webwereld. De e-mails zijn tussen oktober 2013 en februari 2014 verzonden en maken melding van honderden XSS- en SQL-kwetsbaarheden. De kwetsbaarheden zouden aangetroffen zijn in de websites Rabomobiel.nl, Rabobank.de, rabbo.evolution-e.com en Rabobankwaterland.nl, die allen door de Rabobank worden beheerd.

Gebrekkige communicatie

Het feit dat sommige kwetsbaarheden maandenlang blijven liggen zou vooral door de gebrekkig interne communicatie van de Rabobank worden veroorzaakt. Meerdere afdelingen van de bank zouden zich bezig houden met meldingen van ethische hackers. De communicatie tussen deze afdelingen is echter niet goed, wat voor veel vertraging zorgt.

De problemen hebben kwaad bloed gezet bij de hackers. De hackersgroep stelt dat het melden van beveiligingsproblemen bij de Rabobank voorlopig geen zin heeft. Dit terwijl de acties van de ethische hackers er juist voor zorgen dat dergelijke kwetsbaarheden verholpen kunnen worden zodat klanten hier geen hinder van ondervinden.

Beloningen

De hackersgroep is ook niet te spreken over de hoogte van de vergoedingen die de Rabobank aan ethische hackers uitkeert. Concurrerende Nederlandse banken zouden aanzienlijk meer over hebben voor meldingen over ernstige kwetsbaarheden. De hackers zouden één vergoeding krijgen, ongeacht het aantal kwetsbaarheden dat zij bij de Rabobank melden. In de meeste gevallen zou het gaan om een bedrag tussen de 50 en 100 euro.

De Rabobank laat in een reactie aan Webwereld weten voortdurend te investeren in de infrastructuur en de producten. Ook meldt de bank er bewust voor te hebben gekozen om meerdere afdelingen de meldingen over kwetsbaarheden te laten behandelen. De hoogte van de vergoedingen zou simpelweg afhankelijk zijn van de ernst van de kwetsbaarheid.

Lees ook
Kaspersky Lab ontdekt meerdere kwetsbaarheden in wijd verspreide bedrijfssoftware voor licentiebeheer

Kaspersky Lab ontdekt meerdere kwetsbaarheden in wijd verspreide bedrijfssoftware voor licentiebeheer

ICS CERT onderzoekers van Kaspersky Lab hebben een aantal ernstige kwetsbaarheden aangetroffen in het licentiebeheersysteem Hardware Against Software Piracy (HASP), dat veel wordt toegepast in bedrijfs- en ICS-omgevingen om software onder licentie te activeren. Wereldwijd loopt het aantal systemen met deze technologie wellicht in de honderdduizenden...

Tweede Kamer-leden willen gebruik van beveiligingslekken door politie aan banden leggen

Tweede Kamer-leden willen gebruik van beveiligingslekken door politie aan banden leggen

D66-Kamerlid Verhoeven, SP-Kamerlid Gesthuizen en GroenLinks-Kamerlid Van Tongeren willen de bevoegdheden van de politie inperken om kwetsbaarheden in software te gebruiken om geautomatiseerde werken binnen te dringen. Hiervoor hebben de Tweede Kamerleden een amendement (docx) voor het Wetsvoorstel Computercriminaliteit III ingediend. De Tweede Kamerleden...

Zero-day kwetsbaarheid in iOS 10 kan 1,5 miljoen dollar opleveren

Zero-day kwetsbaarheid in iOS 10 kan 1,5 miljoen dollar opleveren

Wie een zero-day kwetsbaarheid in Apple’s mobiele besturingssysteem iOS 10 weet te vinden kan hier flink geld mee verdienen. Zerodium, een beveiligingsbedrijf dat handelt in beveiligingslekken, verhoogt de bonus voor iOS zero-day kwetsbaarheden naar 1,5 miljoen dollar. Een zero-day lek is een lek dat nog niet eerder is ontdekt en niet is gemeld bij...