Een miljoen jonge palingen wachten voor de sluisdeuren. Maar het lukt slechts 6 procent om binnen te komen

127 bytes, 127 standaard leestekens. Een groter digitaal lek was niet nodig om het Openbaar Ministerie al meer dan een week offline te houden. Wereldwijd speuren systeembeheerders inmiddels koortsachtig naar sporen van inbraak in hun eigen Citrix-installaties.

In de software van computerservers van het Amerikaanse bedrijf Citrix zit sinds vorige maand een bug. Door een fout in de computercode kunnen aanvallers toegang krijgen tot datafragmenten uit het netwerk – hoogstens 127 karakters per keer, blijkt uit onderzoek van ethisch hackers.

Het lek is klein, maar allerminst onschuldig. Citrix levert geen gewone servers en software: het biedt toegang tot netwerken van bijvoorbeeld overheidsdiensten. Door de kwetsbare installaties talloze keren via het lek informatie te laten morsen, stuiten hackers uiteindelijk op interessante brokjes data. Bijvoorbeeld wachtwoorden of zogenaamde sessiestokens. Daarmee kan de werkomgeving van iemand anders overgenomen worden en meer informatie gestolen worden.

Aanvankelijk leek het lek betrekkelijk eenvoudig te dichten: voer een softwarepatch door – plak een pleister op het gat – en doe dat „op korte termijn”, adviseerde het Nationaal Cyber Security Centrum (NCSC) al „met klem” op 18 juni. Het bleek onvoldoende.

Sporen van braak

Bij het Openbaar Ministerie heeft het lek in Citrix sinds vorige week donderdag tot bijna volledige digitale stilstand geleid. Dossiers kunnen moeilijk ingezien worden, e-mail werkt niet, op afstand werken is niet mogelijk.

Ondanks de waarschuwingen van het NCSC bleek het Openbaar Ministerie al gehackt te zijn. Systeembeheerders troffen vorig weekend sporen van braak aan. Het lek in de Citrix-server van het OM was uitgebuit, zei Hans Moonen, het hoofd van de ict-organisatie van het OM, in een vertrouwelijke toelichting. Ook binnen het netwerk van het OM zijn sporen van misbruik gevonden, blijkt uit de eerste scans.

Het OM kan geen indicatie geven van wanneer de problemen voorbij zijn. „Stapsgewijs wordt gekeken wanneer welke digitale systemen weer veilig kunnen worden opgestart, en op welke manier. Dat is ingewikkeld en kost tijd”, schrijft de organisatie.

Door met ‘noodprocessen’ te werken, moeten rechtszaken en andere werkzaamheden zoveel mogelijk doorgang vinden. „Officieren van justitie hebben toegang tot de zaaksystemen, wat betekent dat ze de strafdossiers kunnen lezen en printen.” Makkelijk is het allerminst. „Ik heb een halve dag de binnenlanden gezien omdat ik persoonlijk vertrouwelijke stukken bij de politie moet afleveren”, zegt een officier van justitie die anoniem wil blijven.

Zero day

Citrix waarschuwde op 17 juni voor het eerst voor het lek, en maakte tegelijk een patch bekend – een pleister die het softwarelek moet dichten.

Meestal is dat het startschot van een race tegen de klok. Na het verschijnen van een patch beginnen hackers te zoeken naar het lek. Het is zaak het gat te dichten voordat kwaadwillenden hebben uitgevogeld hoe ze het kunnen misbruiken.

Als een systeem eenmaal gehackt is, volstaat patchen niet meer, waarschuwt het NCSC. Als de hacker binnen is, moet hij systematisch het netwerk uitgeveegd worden. Sessies moeten beëindigd worden, wachtwoorden gereset. Nieuwe accounts moeten onder de loep genomen worden. Het verklaart waarom het Openbaar Ministerie zo lang offline blijft. „We mogen en kunnen geen enkel risico lopen om weer met het internet te verbinden zónder dat we weten dat de actor uit ons netwerk is”, liet OM-baas Moonen weten.

Het OM heeft het lek gedicht, maar wil wegens het lopende onderzoek niet zeggen wanneer. Volgens Kevin Beaumont, een cyberveiligheidsdeskundige, was het gat bij het OM rond 24 juni gedicht. Een dag eerder werd voor het eerst misbruik van het lek gedetecteerd.

De kans bestaat ook dat de hackers al binnen waren voor het lek bekend werd en misbruikt kon worden. Het Canadese cybersecuritycentrum adviseert te zoeken naar sporen van misbruik sinds begin juni – ver vóór het lek door Citrix bekendgemaakt werd. Ook in Nederland moet inmiddels rekening gehouden worden met eerder misbruik, schrijft het NCSC. „De eerste sporen van misbruik in Nederland wijzen naar begin juni 2025.”

Daarmee krijgt deze kwetsbaarheid in Citrix steeds meer kenmerken van een zogenaamde zero day, een kwetsbaarheid die enige tijd onbekend was. Dat betekent dat organisaties al kwetsbaar waren zonder dat ze dat konden weten.

Reclassering

Citrix wordt in Nederland gebruikt door vele ministeries, overheidsorganisaties, gemeenten en provincies. Het OM is niet de enige Nederlandse organisatie die slachtoffer is geworden van de kwetsbaarheid in Citrix, schrijft het Nationaal Cyber Security Centrum: ook bij andere organisaties zijn „sporen van mogelijk misbruik waargenomen”. Welke dat zijn, is niet bekendgemaakt.

NRC deed navraag bij meerdere partijen in de strafrechtketen. De Citrix-servers van de Reclassering zijn op 19 juni – een dag na de eerste waarschuwing van het NCSC – in ieder geval al bijgewerkt, laat een woordvoerder weten. Ook is er aanvullend onderzoek gedaan: „De reclassering heeft onderzocht of er compromittatie is geweest en de uitkomst daarvan is negatief.” De DJI, de Dienst Justitiële Inrichtingen, verantwoordelijk voor gevangenissen, gevangenenvervoer en monitoring van enkelbanden, wil niet zeggen wanneer hun Citrix-installatie gepatched is. „We doen wat nodig is om de informatievoorziening veilig te houden”, zegt een woordvoerder. Een onderzoek loopt nog.

Sinds 4 juli – ruim twee weken na het bekend worden van de kwetsbaarheid – scant ethisch hacker Kevin Beaumont iedere paar dagen wereldwijd duizenden Citrix-servers. Zo kijkt hij of ze nog kwetsbaar zijn. De overgrote meerderheid van de Nederlandse organisaties – waaronder het Openbaar Ministerie – hebben het lek inmiddels gedicht, blijkt uit zijn onderzoek. Toch waren nog bijna 25 Nederlandse installaties tijdens zijn scan van 18 juli nog kwetsbaar. Wereldwijd zijn nog ruim 3.500 apparaten kwetsbaar, 15 procent van de Citrix-servers die Beaumont monitort.

Als eenmaal bekend is hoe de kwetsbaarheid misbruikt kan worden, probeert iedere opportunist zijn slag te slaan

Het klinkt als een simpele operatie om kwetsbaarheden te patchen, legt een woordvoerder van het NCSC uit – alsof je een update van Windows installeert. Maar vaak ontbreekt goed zicht op het IT-landschap, zeker bij de grote organisaties. „Bij spoed is dit een complexe opgave voor organisaties.” Het wordt nog lastiger wanneer software beheerd wordt door externe partijen, zoals het geval is bij veel overheidspartijen, waaronder het OM. „Voor het patchen is een organisatie dan afhankelijk van de ingeschakelde leverancier. Goede afstemming met de leverancier is van belang.”

Wie verantwoordelijk is voor de aanvallen die momenteel geregistreerd worden, is nog niet te zeggen. Vorig jaar september maakten hackers de e-mailadressen en deels ook telefoonnummers van 65.000 politiemensen buit. Die hack werd door de AIVD en de MIVD herleid naar de aan de Russische staat gelieerde hackersgroep Laundry Bear. Zogenoemde honeypots, kwetsbare Citrix-systemen die onderzoekers bewust in de lucht houden om te kijken wie er toehapt, zien aanvallen vanuit Rusland en China, door cybercrimebendes en geavanceerdere hackersgroepen. Als eenmaal bekend is hoe de kwetsbaarheid misbruikt kan worden, probeert iedere opportunist zijn slag te slaan.

Gevoelige gegevens

Bij het OM staat veel op het spel. Weinig organisaties in Nederland zitten op zo veel gevoelige informatie: getuigenverklaringen, huisadressen van officieren van justitie, persoonsgegevens van slachtoffers, strafdossiers met beelden van kinder- en wraakporno, namen en verblijfplaatsen van (kroon)getuigen, geheime opsporingsonderzoeken, tactische analyses van criminele netwerken, informatie over de inzet van undercoveragenten, vertrouwelijke informatie over internationale strafzaken zoals in het MH17-onderzoek.

Het Openbaar Ministerie wordt daarbij niet geholpen door de staat van zijn IT-huishouding. Drie jaar geleden waarschuwde het Adviescollege ICT-toetsing al voor de continuïteit van de verouderde IT-systemen en het gebrek aan interne kennis, omdat te zwaar op commerciële partijen wordt geleund.

De afgelopen jaren had het OM geregeld te maken met storingen. „Het is al tijden rampzalig en het wordt alleen maar erger”, zei een hooggeplaatste officier van justitie vorig jaar april tegen NRC. Geregeld konden officieren vanuit de rechtszaal niet bij hun digitale dossiers en ondervonden ze problemen met mailen. Op het intranet sprak het OM van „problematiek in de performance van de kantoorautomatisering” en werd overlegd met een speciale task-force om de moeilijkheden op te lossen. In april dit jaar deden zich opnieuw soortgelijke problemen voor waardoor 1.300 van de ongeveer 6.000 OM-medewerkers niet bij hun stukken konden. Medewerkers, zo bleek uit het jaarbericht over 2024, kregen dat jaar zelfs „een tegemoetkoming” vanwege de aanhoudende IT-problemen.

Forensisch onderzoek naar welke vertrouwelijke gegevens bij het OM eventueel ingezien of buitgemaakt zijn, is nog lang niet afgerond. In interne berichten meldde het OM wel dat „de hoog beveiligde omgeving” niet getroffen is.

Delen

Mail de redactie

De milieuvergunning van varkensboer Pieter Haenen in Sevenum wordt ingetrokken. Dat heeft het college van burgemeester en wethouders van de Noord-Limburgse gemeente Horst aan de Maas dinsdag besloten. Met het besluit zet de gemeente een reeks bizarre gebeurtenissen op het gemeentehuis recht, die voor de buurt aanleiding waren om vals spel te vermoeden.

Het college voert als argument voor de intrekking aan dat de stallen van Haenen aan de Kleefsedijk 9 niet aan de eisen voldoen, en dat er al vijf jaar geen varkens meer worden gehouden.

Afgelopen dinsdag publiceerde NRC over de controverse rond de komst van de megavarkensstal aan de Kleefsedijk in Sevenum. De buurt, verenigd in de ‘werkgroep Kleefsedijk’, streed bijna twintig jaar tegen de bouw van de stal door boer Haenen.

Rol provincie

De gemeente wilde de stal niet, maar de provincie bleef zich inzetten voor de plannen. De boer liet zich in zijn procedures bijstaan door een oud-gedeputeerde van de provincie, de CDA’er Ger Driessen, en een oud-wethouder van de gemeente, de CDA’er Leon Litjens, die beiden optraden als zijn adviseur. De gang van zaken deed de buurt vermoeden dat de boer ooit een stal was toegezegd toen hij grond moest verkopen voor de komst van een groot logistiek-industrieel terrein, Greenport.

Gebeurtenissen in 2021 versterkten het wantrouwen in de lokale overheid bij omwonenden. In dat jaar nam de gemeente een besluit over een verzoek tot het intrekken van de milieuvergunning van de boer. De gemeente verwisselde in een officiële publicatie een huisnummer, en nam een tegenovergesteld besluit dat niet bekend werd gemaakt. Pas jaren later kwam de buurt erachter dat de boer nog steeds een geldige vergunning had. De gemeente kon niet reconstrueren wie er verantwoordelijk was voor de vreemde gebeurtenissen.

Door de verwisseling en de publicatie van het verkeerde besluit kon de boer zijn plannen voortzetten. Vorig jaar diende Haenen een nieuwe aanvraag in voor de bouw van een stal.

De gemeente moet nog een besluit nemen over die aanvraag. Wethouder Robert Martens (ruimtelijke ordening, D66) laat aan de telefoon weten dat Haenen, nu hij zijn vergunning kwijt is, een aanvraag moet doen voor een “compleet nieuwe inrichting”, waar zwaardere eisen aan zijn verbonden.

Delen

Mail de redactie