Sleutelrol voor Nederlandse media bij snelle reactie op PHP-lek, zegt deze expert: ‘Ik ben hier zowaar opgetogen over’

Een duidelijke waarschuwing van de Europese cybersecuritydienst CERT-EU woensdagochtend, nadat naar buiten was gekomen dat de software waar zo’n 70 procent van de websites wereldwijd op draait serieuze kwetsbaarheden bevat: overweeg je website uit de lucht te halen totdat het lek is gedicht. Het Nederlandse cyberexpertisecentrum NCSC trekt in de vroege middag eveneens aan de bel.

Al snel gaan tal van Nederlandse websites en webapplicaties uit voorzorg op zwart. Van de Tweede Kamer-website tot de Schiphol-app, en van het computernetwerk voor hoger onderwijs tot de sites van voetbalclubs FC Twente en Fortuna Sittard: voor uren ligt een belangrijk deel van het internetverkeer in Nederland plat.

Nog dezelfde dag komen ontwikkelaars van de betreffende programmeertaal PHP met een veiligheidsupdate, die kwaadwillenden buiten de deur moet houden. Een groot deel van de websites komt in de loop van woensdag weer online.

De Autoriteit Persoonsgegevens (AP) verklaart donderdag nog geen meldingen te hebben ontvangen van datalekken, die organisaties verplicht moeten melden. Ook NCSC stelt dat, ondanks geconstateerde aanvalspogingen, er geen signalen zijn dat de kwetsbaarheden in programmeertaal PHP succesvol zijn misbruikt.

Ook in onder meer Finland en Frankrijk werden (overheids)websites offline gehaald. Maar in veel andere landen werd woensdag ogenschijnlijk minder drastisch ingegrepen. Daarmee rijst de vraag: is er in Nederland adequaat gehandeld of, met de kennis van nu, ietwat overdreven gereageerd?

Opgetogen

‘Ik ben hier zowaar opgetogen over’, schrijft cybersecurity-expert Bert Hubert donderdag op sociale media. ‘Dat de Nederlandse overheid, gemeentes en bedrijven het serieus namen. Dit in tegenstelling tot andere landen, die vandaag vermoedelijk grootschalig de sjaak zijn.’

Nederland heeft grotendeels gehandeld voordat de problemen volledig uit de hand konden lopen, licht Hubert telefonisch toe. ‘Cybersecuritybedrijven zien nu dat de aanvallen toenemen tot miljoenen per uur. Nederland heeft gisteren al grootschalig actie ondernomen, terwijl op dat moment de golf nog op gang moest komen.’

Wat volgens Hubert opvalt aan de Nederlandse reactie: hoe snel het nieuws zich heeft vertaald van de kringen van cybersecurity-experts naar het bredere publiek. ‘Onder computerbeveiligingsnerds was dinsdag duidelijk dat we echt aan de bak moesten. Bekende experts die naar de kwetsbaarheden hadden gekeken zeiden: holy shit. De Nederlandse overheid begon in de nacht van dinsdag op woensdag al rond te bellen om informatie te verzamelen.’

Officiële instanties in andere landen slaan pas later alarm. De Amerikaanse National Security Agency waarschuwt enkele uren na de Nederlandse NCSC dat zonder een directe veiligheidsupdate hackers ‘rechtstreeks toegang’ zouden kunnen krijgen tot databases. In Zuid-Korea schakelen de autoriteiten donderdag pas naar een hogere versnelling.

Rol media

Maar zelfs als buitenlandse cybersecuritydiensten er eerder bij waren, wil dat volgens Hubert nog niet zeggen dat beleidsmakers daar direct overgingen tot actie. Hij wijst op de cruciale rol van de media: ‘Beleidsmakers gaan het pas serieus nemen op het moment dat ze zien dat het wordt opgepikt in het nieuws.’

Huberts inschatting is dat dat in Nederland op veel grotere schaal is gebeurd dan in veel andere landen. ‘Ik word nu pas gebeld door journalisten in België die vragen wat er aan de hand is. In Duitsland heb ik er ook weinig over gezien.’

Een verklaring daarvoor zou mogelijk gevonden kunnen worden in de recente (waarschijnlijk ongerelateerde) cyberaanval bij Albert Heijn. Hubert: ‘Daardoor stond iedereen op scherp voor dit soort nieuws. Berichtgeving over hacks voelt nu een stuk minder exotisch. Daarnaast bestaat er in Nederland een vrij goed functionerende pijplijn van de cyberwereld naar de media.’

Tegelijkertijd wil Hubert ervoor waarschuwen om nu in Nederland niet te doen alsof de kust weer veilig is. In de eerste plaats kost het vaak even voor organisaties doorhebben dat ze gehackt zijn. Bovendien hebben nog lang niet alle organisaties de zogeheten ‘veiligheidspatches’ doorgevoerd.

Pleisters

Daarnaast zijn de veiligheidspatches die naar buiten zijn gebracht volgens Hubert ook geen ‘universele pleister die je in één keer op je hele bedrijf kan plakken’. ‘Die moeten worden bevestigd op ieder individueel stukje waar PHP in zit.’ En daar zit de crux, zegt hij: want veel bedrijven zijn zich niet bewust van hoe ver PHP is doorgedrongen in hun systemen, van firewalls tot camerasystemen. Tot de patch is aangebracht, hebben hackers vrij spel.

Niet voor niets sprak OpenAI, wiens AI cybersecuritybedrijven gebruikten om de PHP-kwetsbaarheden op te sporen, woensdag over ‘een van de meest ingrijpende beveiligingsproblemen van de afgelopen jaren’. Een gezaghebbende risicoschaal voor cyberveiligheid gaf het lek een risicoscore van 9,2 uit 10.

Hubert spreekt daarom van een ‘eerste succes’ voor Nederland. Zeker als je dat afzet tegen de problemen waar andere landen de komende tijd tegenaan zullen lopen. ‘De activiteit van hackers is enorm hard aan het toenemen. Het is een kwestie van tijd voordat we zullen zien dat dat op grote schaal succesvolle hacks heeft opgeleverd.’