← Terug naar Blog

Security Briefing, 22 april 2026: Cisco SD-WAN-uitbuiting, France Titres-datalek en NGate-NFC-diefstal

Het dreigingsbeeld van vanochtend is lelijk op een vervelend bekende manier. Edge-infrastructuur wordt nog steeds geraakt, publieke identiteitsdata blijven aantrekkelijk en mobiele betaalstromen worden omgebouwd tot diefstalkanalen.

---

---

1. CISA zegt dat opnieuw een Cisco Catalyst SD-WAN-lek actief wordt misbruikt

BleepingComputer meldt dat CISA CVE-2026-20133 in Cisco Catalyst SD-WAN Manager aan de KEV-catalogus heeft toegevoegd op basis van actieve uitbuiting. Cisco beschreef het probleem eerder als een informatielek door onvoldoende beperkingen op bestandssysteemtoegang. De operationele boodschap is eenvoudiger: blootgestelde beheerlagen blijven waardevolle instappunten.

• Als je Cisco SD-WAN draait, kan patchen niet in de stapel “later wel” blijven liggen.
• Controleer de blootstelling van beheerinterfaces en volg ook de hunt- en hardeningrichtlijnen van CISA.
• Behandel recente SD-WAN-activiteit, configuratiewijzigingen en rare API-toegang als incident-signalen.

---

2. France Titres bevestigt een datalek rond burgeraccounts

France Titres, de Franse organisatie achter belangrijke identiteits- en registratiestromen, bevestigde een datalek nadat een aanvaller zei data te verkopen. Volgens de door BleepingComputer geciteerde verklaring kunnen login-ID’s, namen, e-mails, geboortedata, account-ID’s en voor sommige personen adressen, telefoonnummers en geboorteplaatsen zijn blootgesteld. Dat is precies het soort dataset dat phishing, impersonatie en misbruik van accountherstel voedt.

• Overheidsportalen zijn niet alleen privacyverhalen, maar identiteitsoperatieverhalen.
• Elke organisatie die vertrouwt op document- of burgerworkflows moet rekening houden met vervolgphishing en social engineering.
• Securityteams moeten gebruikers waarschuwen dat “officiële” outreach na een publieke breach zelf de volgende aanvalsfase kan zijn.

---

3. NGate is terug en verstopt zich nu in een getrojaniseerde NFC-betaalapp

Onderzoek van ESET, aangehaald door BleepingComputer, laat een nieuwe Android-variant van NGate zien die een kwaadaardige versie van HandyPay gebruikt om NFC-kaartdata en pincode te stelen, met campagnes vooral gericht op Brazilië. Het belangrijke punt is niet alleen de malwarefamilie. Het gaat om de aanvallerseconomie: een legitieme app-workflow kan goedkoop en stiller worden hergebruikt om data te vangen die later ongeautoriseerde betalingen of NFC-cash-outfraude mogelijk maakt.

• Behandel gesideloade APK’s en nep-Play-pagina’s als een actief kanaal voor financiële fraude, niet als bijzaak.
• Mobiele securitycommunicatie moet expliciet zeggen dat onbekende apps nooit als standaard betaalapp mogen worden ingesteld.
• Banken en enterprise mobile-teams moeten letten op ongebruikelijke NFC-activering, wijzigingen in betaalapps en lokaascampagnes gericht op Brazilië.

---

Wat securityteams vandaag moeten doen

1. Controleer of Cisco Catalyst SD-WAN Manager-instances blootgesteld, ongepatcht of zonder de nieuwste hunt-richtlijnen draaien.
2. Brief support-, identity- en fraudeteams over waarschijnlijke vervolgphishing rond de France Titres-breach.
3. Stuur mobiele beveiligingsrichtlijnen rond NFC-misbruik, gesideloade APK’s en prompts voor standaard betaalapps.
4. Frame alle drie de verhalen hetzelfde: vertrouwde admin-, identity- en betalingsworkflows blijven de schoonste route naar schade.

---

---

Bottom line: Bottom line: de rode draad van vandaag is geen exotische malwaremagie. Aanvallers misbruiken workflows die verdedigers nog steeds als normaal, vertrouwd en weinig spannend zien. Die aanname blijft mensen raken.