Afgewezen, maar je cv staat er nog

Een paar jaar geleden solliciteerde je ergens. Je uploadde je cv, schreef een motivatiebrief, vulde je adres en telefoonnummer in, en misschien nog een kopie van je diploma. Twee weken later kwam de afwijzing, vriendelijk en kort. Voor jou was het daarmee klaar. Voor het sollicitatiesysteem niet.

Die vergeten sollicitant is deze week het minst besproken slachtoffer van de FBI-hack. Hij werkt er niet, hij is er nooit binnen geweest, en toch staat hij in de buit.

De voordeur van de FBI was het vacatureportaal

De criminele groep ShinyHunters zegt dat ze via een lek in Oracle PeopleSoft de FBI zijn binnengekomen. Op hun leksite, die TechCrunch bekeek, staat dat ze “sensitive data on almost all FBI agents and individuals who filed an application with the FBI for a job” hebben. TechCrunch legt uit dat PeopleSoft vaak door HR en recruiters wordt gebruikt om de persoonsgegevens van sollicitanten op te slaan.

Het systeem waar het om draait is apply.fbijobs.gov, het sollicitatieportaal. Op een screenshot dat de groep aan BleepingComputer gaf, staat er een tekst van de hackers op: “All FBI data was compromised including sensitive PII/PHI on incumbent and former FBI employees and all applicant information.” De FBI zegt alleen dat ze claims onderzoekt over ongeautoriseerde activiteit rond het vacaturedomein. Het portaal, en ook dat voor sollicitaties als special agent, ging op onderhoud.

In juni zaten er in Straatsburg al cv’s tussen

Het is niet de eerste keer dit jaar dat cv’s meegaan in een PeopleSoft-inbraak door dezelfde groep. In juni beweerde ShinyHunters 297 GB te hebben gestolen bij de Raad van Europa. Volgens de post op hun leksite, zo schreef The Register, zaten in die 429.000 bestanden naast salarisstroken en medische gegevens van personeel ook cv’s. Of dat cv’s van personeel of van sollicitanten waren, staat er niet bij. De Raad zei toen dat hij de zaak onderzocht.

Dat is het patroon. Een HR-systeem bewaart niet alleen de mensen die er werken, maar ook iedereen die er ooit wilde werken. En die tweede groep is vaak groter, want op elke vacature komen meer sollicitanten dan er mensen worden aangenomen.

Wie de baan niet kreeg, hoort het als laatste

Een medewerker krijgt na een lek een mail van HR, een intranetbericht, misschien een briefing. Een afgewezen sollicitant staat op geen enkele interne lijst. Zijn e-mailadres van toen werkt misschien niet meer. Hij weet vaak niet eens meer precies waar hij allemaal heeft gesolliciteerd.

Dat maakt hem precies de persoon bij wie social engineering het makkelijkst werkt. Een telefoontje “over uw sollicitatie van destijds”, met je echte cv-gegevens erbij, klinkt geloofwaardig. Een mail over “een nieuwe vacature die bij uw profiel past” ook. Nep-recruiters staan in de meeste overzichten van soorten phishing, maar een beller die jouw echte cv van toen voor zich heeft, is een stap geloofwaardiger.

Vier weken is de Nederlandse lat

In Nederland zegt de Autoriteit Persoonsgegevens het zo: heeft een sollicitant de functie niet gekregen, “dan is het gebruikelijk dat u de gegevens van de sollicitant uiterlijk 4 weken na het einde van de sollicitatieprocedure verwijdert.” Met toestemming mag het langer, bijvoorbeeld voor een latere vacature, en dan noemt de AP “maximaal 1 jaar” redelijk.

Wij vinden dat de sterkste beveiligingsmaatregel in dit hele verhaal, en de minst sexy. Een cv dat na vier weken weg is, kan in jaar drie niet lekken. Geen firewall, geen patch en geen training doet dat zo grondig.

“Gebruikelijk” is geen wet, en de FBI valt er niet onder

Twee eerlijke kanttekeningen bij ons eigen punt. De vier weken staan niet letterlijk in de wet: de AP schrijft “gebruikelijk”, het is de lijn van de toezichthouder. En de FBI is een Amerikaanse dienst, die valt niet onder de AVG. Of het FBI-portaal oude sollicitaties te lang bewaarde, weten we dus niet, en het zou ook geen Nederlandse regel breken.

Daarbij komt dat “all applicant information” de woorden van de daders zijn. De FBI-waarschuwing van mei, waar de groep zo boos over is, zegt juist dat ShinyHunters vaak overdrijft over wat ze in handen heeft. Voor zover bekend heeft 404 Media alleen een deel van de telefoonnummers uit hun steekproef nagetrokken. Hoeveel sollicitanten er echt in de buit zitten, is onbekend.

Zoek de oudste afgewezen kandidaat in je eigen systeem

Werk je bij HR of beheer je het sollicitatiesysteem, open het dan vandaag en sorteer de afgewezen kandidaten op datum. Hoe oud is de oudste? Staat daar iemand van langer dan een jaar geleden, of van langer dan vier weken zonder vinkje voor toestemming, dan ligt er bij jou hetzelfde soort bestand als bij de FBI, alleen kleiner. Kijk daarna of het systeem een automatische bewaartermijn heeft en of die ook echt aanstaat.

Solliciteerde je zelf de afgelopen jaren ergens zonder aangenomen te worden, dan mag je die organisatie vragen of je gegevens er nog zijn en ze laten verwijderen. En krijg je een telefoontje over “je sollicitatie van destijds” dat je niet verwachtte, behandel het zoals elk onverwacht verzoek dat via de telefoon binnenkomt: ophangen en zelf het algemene nummer van die organisatie bellen. Wil je weten hoe jouw team op zo’n beller reageert, dan is de firewall test een snelle eerste meting. Een human firewall begint hier niet bij de medewerker, maar bij het bestand dat er niet meer is.

Mailt de FBI straks ook wie er nooit werkte?

Het eerste echte moment komt als de FBI meer zegt dan “investigating”. Bevestigt de dienst een lek, dan blijkt meteen hoe ze sollicitanten zien: als betrokkenen die een eigen bericht krijgen, of als voetnoot onder een persbericht voor personeel. Wat de groep met de data doet, wilde ze tegen BleepingComputer niet zeggen. Tot er iets bevestigd is, zijn de afgewezen sollicitanten de mensen die het laatst horen dat ze erin staan, en het eerst gebeld worden door iemand die dat wel weet.

Zelf een situatie die niet vertrouwd voelt?

Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.

Laat dit veld leeg

Naam E-mailadres Je vraag Stel je vraag