Al jaren aan het waarschuwen voor kwetsbare overheidswebsites

Gepubliceerd op 18 juni 2021 om 15:00

Al in 2018 had Cybercrimeinfo al diverse overheidswebsites die een zeer hoog risico liepen om gehackt te worden persoonlijk gewaarschuwd, echter werd daar helaas nauwelijks gehoor aangegeven. Anno 2021 zou je toch wel verwachten, nu er veel meer aandacht is in de media, dat dit niet meer het geval zou zijn. Maar helaas. Gelukkig nu 3 jaar na dato worden er kamervragen gesteld over dit onderwerp. Hieronder een overzicht van gemeenten die risico's lopen.

Status op 18 juni 2021

De beste en slechtste, organisaties met de meeste risico's

Men schiet te kort bij het treffen van digitale beveiligingsmaatregelen

De Tweede Kamer maakt zich zorgen om de veiligheid van tientallen overheidswebsites. Sommige leden vinden dat het kabinet tekortschiet bij het treffen van digitale beveiligingsmaatregelen. De Kamer wil weten wat de regering gaat doen om de digitale weerbaarheid te vergroten.

Dat blijkt uit schriftelijke vragen van Stephan van Baarle (DENK) aan demissionair staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties Raymond Knops.

Onderzoek beveiliging websites overheid

Afgelopen week schreef Trouw over een onderzoek dat ze had uitgevoerd naar de beveiliging van websites van de overheid en andere politiek-bestuurlijke instanties. Het dagblad concludeerde dat de Rijksoverheid, een tiental gemeenten, acht omgevingsdiensten, vijf veiligheidsregio’s, vier regionale GGD’s, enkele waterschappen, de FIOD, douane en de Belastingdienst ‘een extra groot risico’ lopen om gehackt te worden.

Hun sites draaien op het content management systeem WordPress. Het CMS werkt met een publiekelijk toegankelijke inlogpagina. Om toegang te krijgen tot de achterkant van een site, surf je naar deze pagina en voer je hier je gebruikersnaam en wachtwoord in. Het feit dat deze pagina voor iedereen toegankelijk is, maakt de websites volgens Trouw kwetsbaar. Zeker als hackers technische hulpmiddelen gebruiken om gebruikersnamen en wachtwoorden te achterhalen en automatisch te laten invoeren, totdat er een match is.

Experts schrokken van de bevindingen en vermoeden dat de overheid geen of onvoldoende aandacht schenkt aan het probleem. Marten van Dijk, hoofd van de onderzoeksgroep Computer Security van Centrum Wiskunde & Informatica, stelt dat de overheid op deze manier de cyberrisico’s vergroot. Van de 1.148 overheidswebsites maken er 165 gebruik van WordPress.

Wat vind je hier van staatssecretaris

Voor Stephan van Baarle (DENK) was het onderzoek van Trouw om schriftelijk vragen te stellen aan demissionair staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties Raymond Knops. Het Kamerlid vraagt zich af wat de staatssecretaris ervan vindt dat tientallen websites van de overheid niet voldoen aan de richtlijnen voor digitale veiligheid. Deze adviseren onder meer om de openbare pagina’s en de inlogpagina van de webmaster of beheerder strikt van elkaar te scheiden. Bij de sites die op WordPress draaien is dat niet het geval.

Van Baarle wil van de staatssecretaris weten of hij van mening is dat de overheid tekort is geschoten in het treffen van digitale beveiligingsmaatregelen tegen hackers. Het Kamerlid vindt dat burgers erop moeten kunnen vertrouwen dat de regering en overheidsinstanties als de Belastingdienst ‘vertrouwelijk en verantwoord’ met gevoelige gegevens omspringen. Hij vraagt aan Knops of het eigenlijk niet beter is dat een overheidsorgaan pas persoonsgegevens mag verwerken als de beveiligingsrisico’s in kaart zijn gebracht en de digitale beveiliging op orde is.

Al jaren aan het waarschuwen

Het Nationaal Cyber Security Centrum (NCSC) waarschuwt al jaren voor het gevaar van een openbare inlogpagina. Sinds 2014 heeft de instantie 36 waarschuwingen gestuurd om het probleem bespreekbaar te maken. Van Baarle vraagt zich af wat er met dit advies is gebeurd, aangezien er 165 websites van overheidsinstanties op WordPress draaien. Ook de website van de Informatiebeveiligingsdienst (IBD), dat gemeenten helpt bij cyberincidenten, is gemaakt in WordPress. Het DENK-Kamerlid wil weten wat de staatssecretaris daarvan vindt.

Van Baarle vraagt of staatssecretaris Knops bekend is met de richtlijn van het NCSC om ‘de openbare pagina en de plek waar beheerders in kunnen loggen’ strikt van elkaar te scheiden. Hij wil van Knops horen of hij daar werk van gaat maken. Het Kamerlid wil tevens van de staatssecretaris weten of hij bereid is om de genoemde overheidssites zo snel mogelijk aan de veiligheidseisen te laten voldoen. Tot slot vraagt hij welke beleidsmatige inspanningen het kabinet nemen om de digitale weerbaarheid van overheidswebsites te vergroten.

E Stand Van Zaken Met Betrekking Tot De Digitale Beveiliging Van Overheidswebsites In Nederland
PDF – 38,3 KB 173 downloads

Bron: diverse, tweedekamer.nl, vpngids.nl

Meer info over cybercrime

Tips of verdachte activiteiten gezien? Meld het hier.

Cybercrime gerelateerde berichten

Aanhouding in onderzoek naar Remote Access Trojans (RAT’s)

De politie heeft in een onderzoek naar cybercrime een 28-jarige man in Lelystad aangehouden. De man wordt verdacht van het gebruiken van Remote Access Trojans (RAT’s), kwaadaardige software waarmee cybercriminelen computers van slachtoffers kunnen binnendringen en overnemen. Ook heeft de politie twee woningen en een bedrijfspand doorzocht, waarbij administratie, gegevensdragers en twee auto’s in beslag zijn genomen.

Lees meer »

Moet er eerst een ramp gebeuren bij de Rijksoverheid?

Bij elf van de achttien onderzochte overheidsorganisaties is de informatiebeveiliging niet op orde. Over de gehele linie is de stand van informatiebeveiliging niet anders dan in 2019. Toch is er het afgelopen jaar vooruitgang geboekt en hebben organisatie waar de informatiebeveiliging niet op orde was daar werk van gemaakt. Dat heeft er echter niet toe geleid dat tekortkomingen en onvolkomenheden zijn opgelost.

Lees meer »

Cybercrime complexe onderzoeken met 95 procent gegroeid

Afgelopen jaar zat cybercriminaliteit in de lift. Dat heeft ervoor gezorgd dat de politie meer verdachten van WhatsApp-fraude, identiteitsfraude en andere vormen van cybercrime heeft gearresteerd. Tegelijkertijd werden er minder verdachten veroordeeld voor online gerelateerde misdrijven.

Lees meer »

Malware Moriya heeft controle over de Windows-kernel

Cybersecurity onderzoekers hebben TunnelSnake blootgelegd, een lopende advanced persistent threat (APT) campagne, die actief is sinds 2019. De APT richtte zich op regionale en diplomatieke organisaties in Azië en Afrika. De aanvallers hebben een voorheen onbekende rootkit ingezet, die de naam Moriya heeft gekregen. Dit stuk malware, met bijna volledige macht over het besturingssysteem, stelde bedreigingsactoren in staat om netwerkverkeer te onderscheppen en kwaadaardige instructies te verbergen die werden gegeven aan de geïnfecteerde organisaties. Dit leidde ertoe dat de aanvallers maandenlang stiekem de controle hadden over de netwerken van de beoogde instanties.

Lees meer »

Waarom tweestapsverificatie instellen?

Het aantal cyberaanvallen is sinds de coronacrisis vervijfvoudigd. Alleen al in de Microsoft cloud zijn er 300 miljoen frauduleuze inlogpogingen per dag. Jouw bedrijf neemt waarschijnlijk allerlei maatregelen om de kans op een datalek te verkleinen. Het instellen van tweestapsverificatie voor medewerkers is hierbij enorm belangrijk. Want 80 procent van de hacking-gerelateerde aanvallen komen binnen via wachtwoorden.

Lees meer »

Cyberaanvallen het meest gericht op telecomsector

Van alle organisaties in Nederland die aangevallen zijn door cybercriminelen behoort 21 procent tot de technologie-, media- en telecomsector. Dit is 60 procent meer dan financiële dienstverlening, die met dertien procent de tweede plaats bezet. De telecomsector besteedt weliswaar het meeste aan cybersecurity (gemiddeld dertien miljoen euro per bedrijf), maar wordt desondanks het hardst getroffen.

Lees meer »