Impact ransomware-aanval in Nederland lijkt beperkt, maar nog veel onduidelijk

Op de eerste werkdag na de internationale ransomware-aanval lijkt de schade voor Nederlandse bedrijven te overzien. Toch is Dave Maasland, directeur van IT-beveiligingsbedrijf ESET, er nog niet gerust op. "Er is nu nog veel onduidelijk over de omvang van de hack en over hoe ze de software zijn binnengekomen."

Naar schatting zijn zo'n honderd Nederlandse bedrijven getroffen door de hack, zegt Maasland. Het NCSC, het Nationaal Cyber Security Centrum, laat weten dat daar geen bedrijven in vitale sectoren bijzitten, zoals energie- of drinkwaterbedrijven.

Grote gevolgen

Deze hack laat zien dat de aanvallen steeds geavanceerder worden, zegt Bibi van den Berg, hoogleraar Cybersecurity Governance aan de Universiteit Leiden. "We zien sinds kort een trend dat toeleveranciers in de keten worden aangevallen. Daardoor kun je ineens heel veel organisaties raken. Dat is hier heel duidelijk zichtbaar."

Die keten werkt zo: de hackers kwamen binnen via software van Kaseya, een Amerikaans technologiebedrijf. Het levert software waarmee IT-bedrijven hun klanten op afstand kunnen helpen. Niet alleen de klanten van de Amerikaanse softwareontwikkelaar, namelijk de IT-bedrijven, werden geraakt, maar ook weer de klanten van die IT-bedrijven. Volgens Maasland van ESET zijn op deze manier potentieel 200.000 bedrijven getroffen.

'Kaas-hack'

Ook Frank Breedijk van het Dutch Institute for Vulnerability Disclosure (DIVD) benadrukt dat deze manier van hacken grote gevolgen kan hebben. "Het gevaar is dat je veel bedrijven tegelijkertijd kunt laten uitvallen. Bij de kaas-hack zagen we dat alleen de Albert Heijn geen kaas meer had, maar als je twee derde van de Nederlandse supermarkten uit laat vallen, dan veroorzaak je grote problemen voor de maatschappij."

De ethische hackers waren al op de hoogte van het lek en hebben daar Kaseya van op de hoogte gebracht, maar de hack kwam eerder dan zij het probleem konden verhelpen.

Volgens experts is het heel lastig om een aanval als deze te voorkomen. "We noemen dat de defenders paradox", zegt Frank Breedijk van het DIVD. "Als verdediger moet je alle gaten in je verdediging dichtmaken, terwijl je als aanvaller soms aan een lek al genoeg hebt om de software binnen te dringen."

"Er is een beeld dat als bedrijven hun eigen beveiliging goed op orde hebben incidenten voorkomen kunnen worden", zegt Van den Berg. "En dat bedrijven zelf volledig in controle kunnen zijn over hun beveiliging. Maar deze aanval laat zien dat de hackers maar één kwetsbare plek van een toeleverancier hoeven te vinden. Ieder bedrijf is zo goed beveiligd als de zwakste schakel waarmee het verbonden is."

Dat de impact in Nederland mee lijkt te vallen is volgens Van den Berg ook deels te danken aan die groep ethische hackers. "Zij hadden het opgemerkt. Dat helpt, dan gaan er al waarschuwingen uit."

"Zodra Kaseya vrijdag de hack bekendmaakte, zijn wij zelf waarschuwingen naar netwerkbestuurders gaan sturen", vertelt Breedijk. "Daardoor konden we het aantal servers dat gevaar liep snel terugbrengen. Op zondagochtend waren alle Nederlandse Kaseya-servers van het internet af, als dat niet zo was dan waren er vanochtend mogelijk nog hele raken klappen gevallen."