Hackers mogelijk nog in ICT-organisatie Justitie en Veiligheid

Vorig jaar zomer vielen hackers verschillende kritieke organisaties in Nederland aan via een kwetsbaarheid in de thuiswerksoftware Citrix. Een van de getroffen organisaties, het Openbaar Ministerie, besloot na de hack om offline te gaan, om de indringers eruit te werken. De Justitiële ICT Organisatie en DJI besloten dat niet te doen. Uit de stukken blijkt dat ambtenaren spreken over een daad van 'digitale oorlogsvoering'. Zij vrezen dat er onvoldoende is gedaan om de aanvallers buiten te zetten en stellen dat ‘het risico bestaat dat de aanvaller aanwezig is, maar zich stilhoudt’.

Verstoren van kritieke infrastructuur

Cybersecurityspecialist Chantal Stekelenburg geeft hen gelijk: “Wat wij kunnen lezen in die documenten is dat ze gewoon niet kunnen uitsluiten dat de hackers dieper de systemen in zijn gegaan.” De manier waarop de aanvallers te werk zijn gegaan duidt er volgens Stekelenburg op dat de hackers uit waren op het heimelijk verzamelen van informatie of het verstoren van de kritieke infrastructuur om zodoende chaos te creëren. Het is daarom aannemelijk dat de hackers gelieerd zijn aan een kwaadwillende overheid. Stekelenburg: “Ik denk dat we ons in Nederland soms te weinig realiseren dat we een target zijn voor landen zoals Rusland, maar ook Amerika en China.”

Fout in firewall

Uit de opgevraagde documenten blijkt dat hackers zijn binnengedrongen in de justitiële systemen en dat minstens zes weken lang niemand leek door te hebben dat ze erin zaten. Eenmaal binnen stuitten de hackers op een firewall die door een fout niet fungeerde als een verdedigingsmuur, maar eerder als een soort toegangspoort. Via die toegangspoort waren allerlei systemen – inclusief die van het ministerie van Justitie en Veiligheid zelf – bereikbaar.

Of de hackers daadwerkelijk ook zover zijn doorgedrongen en of ze mogelijk nog steeds toegang hebben is niet na te gaan omdat het de betrokken overheidsorganisaties hun administratie niet op orde hadden: van verschillende systemen werden de logs – de digitale dagboeken - niet goed bijgehouden. Hierdoor hebben cybersecurityexperts te weinig informatie om te kunnen bepalen hoe ver de hackers zijn doorgedrongen. En kunnen ze dus ook niet uitsluiten dat de hackers nog altijd in de systemen zitten.

Het ministerie betwist dat de logging van een van de interne firewalls niet op orde was: “De logs van de interne firewalls waren en zijn beschikbaar.” Dit is in tegenspraak met de documenten die de Justitiële ICT Organisatie heeft aangeleverd.

Versterken van digitale weerbaarheid

Het ministerie van Justitie en Veiligheid laat verder weten dat er binnen het ministerie voortdurend aandacht is “voor het verder versterken van de digitale weerbaarheid in het licht van de toenemende dreigingen”. Bovendien heeft een extern onderzoeksbureau na de ontdekking van de hack “een uitgebreide scan” uitgevoerd om te onderzoeken of “de aanvallers verder waren doorgedrongen in de systemen of daar nog aanwezig waren. Daarvoor zijn geen aanwijzingen gevonden.”

Volgens experts is deze boodschap weinig geruststellend. Cybersecurity expert Jean-Paul Sablerolle: “Ze geven aan dat er niks gebeurd is. Dat kunnen ze helemaal niet zeggen. Want er is helemaal geen bewijs of er wel of niet iets is gebeurd. Als je dit niet logt en monitort, weet je helemaal niks. Punt.”

Justitiële ICT Organisatie ging niet offline

Ondanks de risico’s besloot de Justitiële ICT Organisatie, in overleg met het ministerie, om na de hack niet offline te gaan en de hele boel op te schonen. De reden daarvoor is dat de bestuurders bang waren dat het dan heel moeilijk zou worden om de betrokken organisaties, waaronder dus de gevangenissen, draaiend te houden. Het interne crisisteam waarschuwt in de stukken dat medewerkers hierdoor noch thuis, noch op locatie zouden kunnen werken. Uit eerder onderzoek van Argos bleek dat bestuurders ook bezorgd waren dat de enkelbanden van gedetineerden niet meer zouden werken als DJI offline zou gaan.