Je hebt een e-mail van ons ontvangen

We hebben een beveiligingsprobleem gevonden in een systeem dat op naam van jouw organisatie staat, en we hebben je daarover benaderd. Op deze pagina lees je wie we zijn, hoe je controleert of het bericht echt is, en wat je nu kunt doen.

We vragen je nooit om betaling, inloggegevens of toegang tot je systemen. Als een bericht dat zogenaamd van ons komt daar wel om vraagt, is het niet van ons.

Hoe je controleert of de e-mail echt is

Onze meldingen komen van een adres dat eindigt op @csirt.global. Dat kan inquiries@csirt.global zijn, een zaakadres zoals CG-2024-00001@csirt.global, of het persoonlijke CSIRT.global-adres van de onderzoeker die de zaak behandelt.

Controleer het domein van de afzender zorgvuldig. Let op gelijkende schrijfwijzen zoals csirt-global.com of cslrt.global. Is het domein niet exact csirt.global, behandel het dan als verdacht.

Elke zaak die we openen publiceren we in ons zaakregister, met de datum, de kwetsbaarheid en de betrokken onderzoekers. Verwijst onze e-mail naar een zaaknummer, dan kun je dat daar opzoeken.

Je kunt ook rechtstreeks contact met ons opnemen, via een adres dat je hier hebt gevonden en niet een adres uit de e-mail: inquiries@csirt.global.

Wat we hebben gedaan

We scannen het publieke internet op systemen die getroffen zijn door bekende kwetsbaarheden, en op inloggegevens die op openbaar bereikbare plekken zijn blootgesteld. Vinden we er een, dan zoeken we uit wie de eigenaar is en nemen we contact op.

We hebben geen toegang gekregen tot je gegevens, de kwetsbaarheid niet misbruikt en niets aan je systemen veranderd. Waar we een bevinding moesten bevestigen, deden we dat met zo min mogelijk interactie en zonder aanvalscode. Onze Gedragscode beschrijft de grenzen waarbinnen we werken, en daar zijn we aan gebonden.

We doen dit omdat niet-gemelde kwetsbaarheden uiteindelijk toch gevonden worden, meestal door iemand met slechtere bedoelingen. We zijn een stichting zonder winstoogmerk, geleid door vrijwilligers. Niemand betaalt ons om contact met je op te nemen, en we verkopen niets.

Wat je nu kunt doen

1. Controleer de afzender, met de stappen hierboven.
2. Lees de bevinding. De e-mail beschrijft het getroffen systeem en het specifieke probleem.
3. Los het op of beperk het risico. Bestaat er een patch of workaround, dan noemen we die.
4. Reageer als dat nodig is. Is iets onduidelijk, ben je niet de juiste eigenaar, of wil je hulp, laat het ons weten. Een reactie bevestigt ook dat het bericht de juiste persoon heeft bereikt.

Het herstel is jouw verantwoordelijkheid en blijft in jouw handen. Wij melden; we grijpen niet in.

Als je wilt dat we blijven kijken

Sommige organisaties vragen ons om hen regelmatig te scannen, in plaats van te wachten tot wij iets vinden. Goede doelen en ngo’s kunnen ook worden voorgedragen voor een volledig gefinancierd bugbountyprogramma. Beide zijn gratis.