Minder aandacht in buitenland voor PHP-gevaar: 'Nederland overdreef niet'

Op voorpagina's van Nederlandse nieuwssites voerden de problemen met PHP woensdag de boventoon. Maar in media in buurlanden, zoals de Britse BBC of het Duitse Bild, bleef de aandacht beperkt tot een enkel artikel.

Dat betekent overigens niet dat de buitenlandse cyberveiligheidsdiensten het risico van de PHP-zwaktes onderschatten. Zo gaven het Britse National Cyber Security Center en het Duitse Bundesamt für Sicherheit in der Informationstechnik vroeg in de middag waarschuwingen uit voor kritieke zwaktes in PHP. Het Nederlandse Nationaal Cyber Security Centrum (NCSC) deed hetzelfde.

Net als in Nederland waren verschillende buitenlandse websites tijdelijk offline. Dat was onder meer het geval bij sites van de Franse belastingdienst en Franse departementen, Finse overheidswebsites en de site van de Britse politie.

De waarschuwing werd dus in verschillende landen gedeeld door de verantwoordelijke diensten. Bovendien gingen in meerdere landen sites plat. Het blijft dan opvallend dat de aandacht in Nederland aanzienlijk groter was. Het is lastig daar een concrete verklaring voor te geven, al zijn er een paar factoren die kunnen meespelen.

Zo spelen waarschijnlijk eerdere cyberincidenten in Nederland een rol, denkt communicatiewetenschapper Mark Boukes van de Universiteit van Amsterdam. "Iedere week is er wel een verhaal van dit thema", zegt hij.

Daarmee verwijst hij bijvoorbeeld naar het cyberincident van Albert Heijn, kwetsbaarheden bij een Citrix-programma dat ziekenhuizen gebruiken of de eerdere hack bij Odido. "We weten uit onderzoek dat als iets in het nieuws is geweest, het waarschijnlijker is dat journalisten iets over hetzelfde onderwerp schrijven", vertelt Boukes. Nederlandse journalisten hadden daardoor waarschijnlijk meer aandacht voor de gevaren van digitale veiligheidsproblemen.

Ook Bram van Tiel, cyberexpert bij zakelijke dienstverlener PwC, wijst op de eerdere cyberincidenten waar aandacht voor was in de media. "In andere landen is dat misschien toch wat minder. In Frankrijk zullen ze nu wel andere dingen aan het hoofd hebben", verwijst hij naar de gewelddadige protesten in Franse steden.

Dat buitenlandse media minder uitgebreid berichtten over de PHP-problemen, betekent niet dat de instanties de risico's daar niet serieus namen. "De cybersecuritycentra van verschillende landen hebben allemaal waarschuwingen gegeven", zegt Van Tiel.

Cyberexperts vinden niet dat de grote aandacht in Nederland overdreven was. "Ik vind de vele media-aandacht voor cybersecurityzaken een positief ding", zegt cybersecurityexpert Erik de Jong van Tesorion. "We hebben het probleem op waarde geschat."

De Jong vindt dat diensten als het NCSC goed hebben gehandeld door met klem te wijzen op risico's vanwege de zwaktes binnen PHP. Verschillende websites gingen vervolgens uit voorzorg offline, zoals je in deze video kunt zien.

"Als je een probleem identificeert waar nog geen oplossing voor is, is er niet zoveel keuze", zegt De Jong. "Offline gaan is dan de beste keuze. Als je site aangevallen wordt, heb je een groter probleem."

Bovendien vindt hij de aandacht gerechtvaardigd, omdat de PHP-problemen het dagelijks leven beïnvloedden. "Er waren significante websites waar je niet bij kon. Dat is iets wat niet vaak voorkomt."

Cyberexperts verwachten dat problemen zoals die bij PHP vaker zullen gebeuren. "Door AI kunnen we sneller dit soort kwetsbaarheden zien die mogelijk al jaren in de software zaten", legt Van Tiel uit. "Als je dit op een traditionele manier zonder AI had moeten uitbuiten, waren meerdere mensen maanden bezig geweest om de kwetsbaarheid te benutten. Nu was het een kwestie van uren of dagen."

Dat betekent voor organisaties ook dat ze snel moeten kunnen reageren, zegt Van Tiel. "Ze moeten snel weten wat ze moeten doen. Wat schakel je uit, en wat is het effect als je bijvoorbeeld een webshop hebt? En als er updates uitkomen, moet je die heel snel kunnen doorvoeren."