Bron: © Canva. Een hack bij justitie, wat zijn daar de gevaren van?
Een hack bij justitie zet de digitale veiligheid van belangrijke overheidsdiensten onder druk. De Justitiële ICT Organisatie (JIO), die de ICT beheert voor onder meer het ministerie van Justitie en Veiligheid, blijkt het afgelopen jaar meerdere keren te zijn gehackt. Wat zijn daarvan de gevolgen voor justitie en andere overheidsinstanties?
Uit onderzoek van het radioprogramma Argos blijkt dat hackers afgelopen zomer zijn binnengedrongen via een kwetsbaarheid in thuiswerksoftware. De organisatie beheert systemen voor onder meer de Dienst Justitiële Inrichtingen, de Autoriteit Persoonsgegevens en de Raad voor de Kinderbescherming. Daardoor kan de impact van de hack bij justitie aanzienlijk zijn.
Hack via lek in thuiswerksoftware
De hackers kwamen volgens betrokkenen binnen via een beveiligingslek in de thuiswerksoftware Citrix. Via hetzelfde lek werd eerder ook het Openbaar Ministerie gehackt. Destijds besloot het OM de systemen volledig offline te halen, wat grote gevolgen had voor de strafrechtketen.
De Justitiële ICT Organisatie koos echter voor een andere aanpak. De systemen bleven online. Volgens betrokkenen speelde daarbij de angst dat belangrijke processen stil zouden vallen.
Elektronische enkelbanden gedetineerden
Zo was er bijvoorbeeld onzekerheid over het functioneren van elektronische enkelbanden van gedetineerden. Als systemen offline zouden gaan, zou het mogelijk zijn dat deze monitoring tijdelijk uitvalt.
Het Nederlands Cyber Security Centrum waarschuwde eerder al dat via het Citrix-lek meerdere kritieke organisaties in Nederland zijn aangevallen, meldt het centrum in een eerdere analyse, aldus het NCSC.
Firewall werkte niet optimaal
Volgens bronnen die betrokken waren bij het onderzoek konden hackers zich mogelijk verder door het netwerk bewegen. De interne firewall, die indringers moet tegenhouden zou, door een configuratiefout, nauwelijks bescherming hebben geboden.
Cybersecurityonderzoeker Jeroen van der Ham-de Vos van de Universiteit Twente noemt dat zorgelijk. “Als die firewall uitstond is dat heel zorgelijk. Daardoor kan een indringer proberen in te loggen op achterliggende interne systemen”, stelt Van der Ham-de Vos.
Volgens hem zijn interne systemen vaak minder streng beveiligd, waardoor een ervaren hacker uiteindelijk bij meerdere onderdelen van een organisatie kan komen.
De Justitiële ICT Organisatie erkent dat de firewall meer verkeer doorliet dan normaal noodzakelijk is, maar ontkent dat de monitoring volledig was uitgeschakeld. Volgens de organisatie werkte de logging zoals bedoeld.
Onzeker hoe groot de hack werkelijk is
Juist die logging vormt een belangrijk punt van discussie. Volgens meerdere bronnen stond het registreren van digitale activiteiten deels uit. Daardoor zou het lastig zijn om te achterhalen wat hackers precies hebben gedaan. Als dat klopt, betekent het dat niemand met zekerheid kan zeggen hoe diep de indringers in de systemen zijn doorgedrongen. En dat maakt de mogelijke gevolgen van deze hack bij justitie extra lastig in te schatten.
Want de Justitiële ICT Organisatie beheert systemen voor een groot aantal instellingen. Behalve het ministerie van Justitie en Veiligheid gaat het onder meer om de Dienst Terugkeer en Vertrek, het Centraal Justitieel Incasso Bureau en de Autoriteit Persoonsgegevens. Als hackers toegang hebben gehad tot interne systemen, kan dat gevolgen hebben voor gevoelige gegevens of digitale processen binnen de overheid.
Waarom systemen niet offline gingen
Na de ontdekking van de hack adviseerden verschillende betrokkenen om de systemen tijdelijk offline te halen. Daarmee zou verdere verspreiding van de aanval voorkomen kunnen worden. De leiding van de organisatie besloot dat advies niet op te volgen. Volgens betrokkenen kon men niet goed inschatten welke gevolgen dat zou hebben voor andere systemen.
Het ministerie van Justitie en Veiligheid adviseerde destijds om de ICT-omgeving niet van het internet los te koppelen, aldus de Justitiële ICT Organisatie. In plaats daarvan werd de kwetsbaarheid gedicht en werd extra monitoring ingesteld.
- Lees ook: Nederlandse hacker ontvangt 50.000 euro van Apple voor ontdekken van een beveiligingslek..
Tweede Kamer niet volledig geïnformeerd
De hack roept ook politieke vragen op. Zo wordt de Tweede Kamer niet volledig geïnformeerd over de resultaten van het onderzoek naar de aanval.
De organisatie liet cyberbeveiligingsbedrijf Fox-IT onderzoek doen naar de hack, maar stelt dat de resultaten vanwege veiligheidsredenen niet openbaar worden gemaakt. Volgens critici maakt dat het moeilijk om de werkelijke omvang van de hack te beoordelen.
- Lees ook: Autodiefstal neemt explosief toe: criminelen openen auto’s digitaal, vaak binnen 5 minuten.
Vertrek van directeur
Opvallend is dat de algemeen directeur van de Justitiële ICT Organisatie, Marcel Hoogland, eind februari vertrok. De organisatie wil niet zeggen of zijn vertrek verband houdt met de hack. De timing voedt speculaties over mogelijke interne problemen rond de digitale beveiliging.
Wat uiteindelijk precies de gevolgen van deze hack bij justitie zijn, blijft voorlopig onduidelijk. Zeker is wel dat het incident opnieuw laat zien hoe kwetsbaar digitale systemen van de overheid kunnen zijn, en hoe groot de impact kan worden wanneer die beveiliging hapert.
Bronnen:
Argos, Universiteit Twente, Nederlands Cyber Security Centrum, ministerie van Justitie en Veiligheid.