Tags
(Stijn van Gils, PRIVACY EN CYBERSECURITY/fd, 17-8-20)
In het kort:
- Een hacker heeft inloggegevens van zeker 900 bedrijven online gezet.
- Onder de slachtoffers zijn ook verschillende Nederlandse bedrijven.
- Justitie wist al maanden dat veel van deze bedrijven gehackt konden worden, maar deed niets met deze informatie.
Een cybercrimineel heeft onlangs verschillende Nederlandse bedrijven gehackt en wachtwoorden online gezet. Het ministerie van Justitie en Veiligheid was van tevoren expliciet gewaarschuwd dat veel van deze organisaties gevaar liepen, maar deed niets met de ontvangen informatie. De bedrijven zouden namelijk ‘niet vitaal‘ zijn. Critici vinden dat de overheid de bedrijven had moeten waarschuwen.
Nederlandse slachtoffers zijn onder meer een dochterbedrijf van het industriële concern VDL, datacenterbedrijf ITB2 en de in kerstversieringen gespecialiseerde groothandel Coen Bakker Deco, blijkt uit de gelekte informatie. ‘Hier was mij niets van bekend’, reageert een woordvoerder van de groothandel, hoorbaar geschrokken. ‘En we laten toch regelmatig scannen.’ De server bij de groothandel is sinds kort niet meer in gebruik. Ook ITB2 zegt dat de server niet meer in gebruik is en wil verder niet inhoudelijk reageren. VDL was niet in staat te reageren.
Behalve om Nederlandse bedrijven gaat het om uiteenlopende buitenlandse organisaties, zoals het nationale onderzoeksinstituut van Spanje CSIC, porseleinfabrikant Villeroy & Boch en het Luxemburgse laboratoriumbedrijf Eurofins, dat in Nederland bij boeren onderzoekt hoe vruchtbaar hun landbouwgrond is.
‘De gegevens werden geplaatst door een Russische sprekende hacker en zijn waarschijnlijk tussen mei en juli buitgemaakt’
In totaal verschenen volgens techwebsite ZDnet van zeker 900 organisaties gegevens online. Het gaat om onder meer inlognamen van medewerkers en wachtwoorden. De gegevens zijn geplaatst door een Russisch sprekende hacker en werden waarschijnlijk tussen mei en juli buitgemaakt. Ongeveer de helft van de getroffen bedrijven was een week geleden nog altijd kwetsbaar en kan dus opnieuw worden gehackt.
Oud lek
De gegevens zijn naar alle waarschijnlijkheid buitgemaakt dankzij een beveiligingslek dat al meer dan een jaar bekend was. Het ging om een kwetsbaarheid in de vpn-software van Pulse Secure, waarmee medewerkers op afstand in kunnen loggen op hun bedrijfsnetwerk. Door een fout in de software was het voor buitenstaanders mogelijk om zonder wachtwoord volledige toegang te krijgen tot de server.
Een update die deze onbedoelde toegang verhindert is al meer dan een jaar beschikbaar, maar veel bedrijven installeerden die niet. In september 2019 onthulde de Volkskrant dat multinationals zoals Shell en KLM nog altijd kwetsbaar waren. Minister Grapperhaus (Veiligheid en Justitie) liet weten strenger op te treden tegen bedrijven die hun internetbeveiliging niet op orde hebben. ‘Met boetes, of desnoods door zelf in te grijpen’, zei Grapperhaus tegen het FD. Overigens bleek ook zijn eigen ministerie te laat met updaten.
Kwetsbare servers al lang bekend
Toch bleven daarna veel bedrijven kwetsbaar. In Nederland vonden informatiebeveiligers, onder wie Matthijs Koot, honderden kwetsbare servers. Individueel benaderen was niet haalbaar, dus stuurde Koot zijn vondsten door naar het Nationaal Cyber Security Center (NCSC) van het ministerie van Justitie en Veiligheid. Dat gooide het gros van de informatie weg, want het NCSC kijkt alleen naar de rijksoverheid en bedrijven in ‘vitale sectoren’, zoals banken en telecombedrijven. ‘Er liggen nu allerlei wachtwoorden van medewerkers op straat, terwijl dat voorkomen had kunnen worden’, zegt Koot.
‘Ook nu bekend is dat de bedrijven daadwerkelijk zijn gehackt, zullen ze dus niet op de hoogte worden gebracht’
Binnen de ‘juridische mogelijkheden’ heeft het NCSC er alles aan gedaan om organisaties te informeren, e-mailt een woordvoerder van Justitie. Maar ‘organisaties buiten het wettelijk mandaat kunnen helaas niet door het NCSC geïnformeerd worden.’ Ook nu bekend is dat de bedrijven daadwerkelijk zijn gehackt, worden ze dus niet op de hoogte gebracht.
*Zou dit te maken kunnen hebben met dit kabinet van een klassiek-liberale signatuur? In dat geval is het bewijs geleverd dat klassieke ideologieën volkomen uit de tijd zijn.
Boos
IT-beveiliger Matthijs Koot is boos over de situatie. ‘Terugverwijzen naar het mandaat is een passieve en formalistische reactie’, zegt hij. ‘Ik snap dat het NCSC prioriteiten moet stellen, maar dat is geen argument om bij ernstige kwetsbaarheden niets te doen. Als hackers bijvoorbeeld gijzelsoftware installeren, kan dat ook een niet-vitaal bedrijf grote schade toebrengen.’ Bovendien wijst hij er op dat hackers bedrijven ook kunnen aanvallen via hun leveranciers. ‘Niet-vitale bedrijven leveren geregeld diensten aan de vitale sector en kunnen zo alsnog vitale bedrijven besmetten.’
Koot sloot zich als vrijwilliger aan bij het Dutch Institute for Vulnerability Disclosure. Maar dat private meldpunt heeft niet de middelen om bij elke kritieke kwetsbaarheid iedereen te bellen. ‘En meldingen van buitenlandse onderzoekers komen vaak maar bij één partij terecht: het NCSC. Die informatie krijgen wij niet.’
Ook Michiel Steltman, directeur van brancheorganisatie Stichting Digitale Infrastructuur Nederland, vindt dat het NCSC beschikbare informatie moet doorgeven. ‘Je ziet dat zo ongeveer alle bedrijven hun best doen om hun cyberveiligheid op orde te houden, maar ook dat bedrijven dingen missen. Waarschuwen is niet alleen goed voor die bedrijven zelf. Het gaat ook om het nationale belang.’
‘Het is me een raadsel waarom de minister zo hardnekkig vast blijft houden aan het te krappe NCSC mandaat’, zegt Steltman. ‘Het is evident dat de nationale veiligheid niet wordt gediend met dit beleid’.
[Noot van de redactie: De in het artikel genoemde bedrijven zijn geïnformeerd over de geconstateerde beveiligingsproblemen en zijn niet langer kwetsbaar.]
