Wie woensdag wilde inloggen op MijnOverheid of de site van DigiD bezocht, stond voor een dichte deur. Ook de Tweede Kamer, het Nationaal Cyber Security Centrum, de Autoriteit Persoonsgegevens en een reeks gemeenten en veiligheidsregio’s haalden hun website uit de lucht. Dat klinkt als een grote hack, maar dat was het niet. Het waren voorzorgsmaatregelen, en dat verschil bepaalt wat jij nu wel en niet hoeft te doen.
Wat er aan de hand was
Bijna elke website bestaat uit twee delen. Er is het deel dat jij ziet, en er is de server erachter die bijvoorbeeld je ingevulde formulier verwerkt. Op een groot deel van die servers draait PHP, een programmeertaal die al ruim dertig jaar meegaat en waar onder meer WordPress op is gebouwd. Dinsdag werd bekend dat PHP twee ernstige fouten bevat. Een kwaadwillende kon daarmee via één verzoek de server van een website overnemen, zonder wachtwoord. Het probleem was dat de details uitlekten voordat er een reparatie klaarstond.
Organisaties stonden daardoor voor een keuze. Ze konden hun website online laten met het risico dat iemand de server overneemt, of hem een paar uur uitzetten tot de update er was. Veel overheidsdiensten kozen voor het tweede. Logius, dat MijnOverheid en DigiD beheert, bevestigde dat het om een voorzorgsmaatregel ging. Woensdagmiddag kwam de reparatie uit, en in de loop van de avond kwamen de meeste sites terug, meldden onder meer de NOS en het Reformatorisch Dagblad.
Welke diensten bleven werken
Niet alles lag eruit, ook al leek dat soms zo. Wie die dag iets moest regelen, had vaak meer mogelijkheden dan de dichte websites deden vermoeden.
| Dienst | Wat er gebeurde | Wat bleef werken |
|---|---|---|
| DigiD | De informatieve website ging offline en kwam later terug | Het inlogscherm bleef bruikbaar, dus inloggen bij andere instanties lukte meestal |
| MijnOverheid | Uit voorzorg offline, woensdag later terug | Sinds woensdagavond weer gewoon te gebruiken |
| 113 Zelfmoordpreventie | De website was woensdagavond nog offline | Telefoon via 0800-0113 en de chat bleven bereikbaar |
| Veiligheidsregio’s | Dertien van de 25 regio’s offline, rond 20.30 uur nog acht | NL-Alert staat los van die websites |
| Gemeenten met NotuBiz | Raadsstukken en vergaderingen tijdelijk niet te zien | De informatie wordt op donderdag terugverwacht |
Ook Meld Misdaad Anoniem en het Centrum Seksueel Geweld hadden hun site woensdagavond nog uit de lucht. Bij zulke diensten is de website vooral een ingang, de hulp zelf loopt via de telefoon gewoon door.
Moet je zelf iets doen?
Op je eigen telefoon of computer hoef je niets te installeren. PHP draait op de servers van websites, niet op jouw apparaat, dus er is geen update die jij moet binnenhalen. Je wachtwoorden hoef je ook niet uit voorzorg te wijzigen. Het NCSC heeft op Nederlandse sites geen misbruik gezien, en een site die offline ging, was juist voorzichtig. Wijzig een wachtwoord alleen als een website je laat weten dat er gegevens zijn gelekt, en doe dat dan via de site zelf.
Waar je wel op moet letten, zijn berichten die op dit nieuws inspelen. Oplichters gebruiken grote nieuwsverhalen graag als aanleiding. Denk aan een mail die zogenaamd van DigiD of je bank komt, met de boodschap dat je account na het beveiligingslek opnieuw gecontroleerd moet worden. Geen enkele instantie vraagt je dat via een link. Ga zelf naar de site via je eigen bladwijzer of de app. Heb je tweestapsverificatie nog niet aanstaan op je mail en je bank, dan is dit een goed moment om dat te regelen.
Waarom dit nog even doorspeelt
De grote hostingbedrijven installeerden de update in de nacht naar donderdag. Maar niet elke website zit bij zo’n partij. Kleine verenigingen, oudere webshops en sites die al jaren niemand meer bijhoudt, draaien vaak op een verouderde versie van PHP die geen officiële reparatie meer krijgt. Daar komt bij dat Amazon al op 17 oktober een eerste aanvalspoging zag, dagen voordat het lek bekend werd. Beveiligers waarschuwen dat een update een eerdere inbraak niet ongedaan maakt.
Het NCSC verwacht dat aanvallers het lek nog lang blijven gebruiken, juist omdat bijwerken overal tijd kost. Gedraagt een vertrouwde website zich de komende weken vreemd, omdat hij opeens om je wachtwoord vraagt terwijl je al bent ingelogd of zomaar een download start, verlaat de pagina dan meteen. Dat is geen paniek, gewoon gezond wantrouwen.
