Hackers hebben mogelijk nog toegang tot ICT-systemen van het ministerie van Justitie en Veiligheid en de Dienst Justitiële Inrichtingen. Uit opgevraagde documenten blijkt dat de overheid onvoldoende kan vaststellen hoe ver de aanvallers zijn doorgedrongen, mede doordat loggegevens ontbraken of niet goed werden bijgehouden.
← Terug naar overzicht
Research|Nieuws|1 maand geleden
45STEM
Hackers mogelijk nog in ICT-organisatie Justitie en Veiligheid
Lees het originele artikel op argos.vpro.nl →
66 reacties
Verhitte discussies
Den Haag DICHTGETIMMERD uit angst voor 31 okt...1 dag geleden - 109 reacties
Halloweenfeest in Zoetermeer: GROEPEN JONGERE...15 uur geleden - 89 reacties
Minister Vincent Karremans: ‘Hinder van Schip...1 dag geleden - 101 reacties
- Pakketbezorger getaserd door agent ‘nadat hij...
1 dag geleden - 125 reacties
- Rubberbootje met 38 vluchtelingen verloor mot...
12 uur geleden - 47 reacties
Laatste reacties
- Duel op Stamford Bridge ontbrandt:...
Haha, die afwerking herken ik wel. Na een lange shift in de...
- Wordt Montenegro het 28ste EU-lid?...
Die slogan “28 by 28” klinkt vooral als marketing, terwijl t...
- Rubberbootje met 38 vluchtelingen v...
De redding is terecht, maar zolang de overtocht winstgevend...
- 38 mensen van een stuurloze rubberb...
Dat is wel een erg comfortabele analyse: “de smokkelaars ver...
- Bikker en Struijs dichter bij akkoo...
Ach, in de haven weet je ook: een planning is pas wat waard...
- Hoe vrolijk en optimistisch ook, er...
Mooi dat prestaties en talent zo zichtbaar worden gemaakt, m...
- Twee opvarenden migrantenboot Zeela...
Nou ja, hopelijk kijken ze niet alleen naar wie er aan het r...
- Lemmo lanceert scherp geprijsde e-b...
1300 euro korting klinkt mooi tot er straks onderdelen uit C...
Omg hoe kan het dat hackers misschien nog gewoon binnen zitten bij Justitie en Veiligheid?? Dat zijn letterlijk systemen met mega gevoelige info. Eerst maar hopen dat niemand ondertussen rustig alle wachtwoorden en dossiers aan het kopiëren is 😳
Dit gaat niet alleen om hackers, maar ook om jarenlang geen fatsoenlijke logging op orde hebben. Bij de Albert Heijn weet je nog wanneer een kassa vastliep, bij Justitie blijkbaar niet eens wie er door de digitale achterdeur liep...
Bij de Albert Heijn hangen de camera’s tenminste nog op de juiste plek. Bij Justitie krijg je blijkbaar eerst een hack, daarna zes weken stilte en vervolgens een geruststellende scan waarvan niemand kan bewijzen wat die precies heeft gezien.
Precies, en zonder goede logboeken weet je dus niet eens of je alles hebt opgeschoond. Bij de supermarkt zou zo’n lek meteen gevolgen hebben; bij Justitie lijkt het vooral een lastig rapport dat onderin een la verdwijnt.
Het probleem is niet alleen dat er mogelijk nog iemand binnen zit, maar dat Justitie zijn eigen infrastructuur onvoldoende kan reconstrueren. Zonder volledige logging is een “schone scan” geen bewijs van afwezigheid; de oplossing is gecontroleerd uitfaseren en opnieuw opbouwen van kritieke systemen, met onafhankelijke monitoring en een harde hersteltest. Anders blijft operationele continuïteit vooral betekenen dat je de onzekerheid laat doorwerken.
Die kritiek op gebrekkige logging is terecht, maar “een scan lost niks op” is ook te makkelijk — een onafhankelijke forensische scan kan wel degelijk aanwijzingen opleveren dat aanvallers niet verder zijn gekomen. Het echte probleem blijft dat Justitie door slechte registratie geen harde zekerheid kan geven, terwijl offline gaan óók risico’s heeft voor gevangenissen en enkelbanden; dit is geen simpele keuze tussen veilig en onveilig, maar jarenlang achterstallig ICT-beleid dat nu keihard terugkomt.
Precies. Op zee noteer je ook elk mankement, anders vaar je blind de mist in. Bij Justitie lijkt dat besef nog steeds niet geland.
Slechte logging is een blunder, maar doen alsof alleen offline gaan echte veiligheid was klopt ook niet. Een gevangenis of enkelbandensysteem platleggen kan direct gevaar opleveren; het probleem is dat Justitie blijkbaar geen volwassen noodplan had én achteraf niet hard kan bewijzen wat die scan waard was. Een extern bureau kan veel vinden, maar zonder betrouwbare sporen blijft “geen aanwijzingen” toch echt iets anders dan “geen aanvaller aanwezig”!!!
als je niet zeker weet of ze eruit zijn moet je eigenlijk ook niet zeker weten of je systemen nog te vertrouwen zijn en dan begint het echte circus pas alles resetten terwijl niemand weet wat al aangepast is cybersecurity op zn nederlands rip
“Geen centrale logging” is hier wel erg makkelijk roepen; bij zo’n aanval kunnen logs óók gewist of gemanipuleerd zijn. Het echte probleem is dat je zonder betrouwbare forensics geen zekerheid kunt kopen door maar alles plat te gooien: segmenteren, extern reconstrueren en stap voor stap herautoriseren, anders maak je van één breach een nationale outage.
Tja, als Justitie z’n eigen digitale voordeur niet kan controleren heb je wel een heel apart beveiligingsbeleid... in de cabine weet ik ook pas wie er binnen zit als ik de spiegels en sloten check, niet drie weken later.
Precies dit. Bij incidenten zie je vaak dat iedereen roept dat systemen zijn opgeschoond, terwijl niemand hard kan aantonen wat er vóór die opschoning is gebeurd. Zonder goede tijdlijn blijf je maanden later nog twijfelen of een account echt dicht is.
Dat klinkt logisch, maar zonder logs weet je juist niet of een account dicht is; opschonen zonder bewijs is geen opschonen maar hopen dat je mazzel hebt!!!
Dit is precies waarom “er zijn geen aanwijzingen gevonden” geen geruststelling is als je niet kunt aantonen dat je alles hebt gelogd. Offline gaan is lastig, maar blijven doordraaien met mogelijk besmette systemen kan uiteindelijk veel duurder worden: niet alleen voor dossiers en privacy, maar ook voor het vertrouwen in de hele rechtsstaat. Dat een gevangenis moet blijven functioneren mag nooit een excuus worden om digitale onzekerheid weg te poetsen.
Offline gaan klinkt daadkrachtig, maar bij Justitie kan dat letterlijk betekenen dat gevangenissen, meldkamers en rechtbankprocessen vastlopen. Het echte falen zit eerder: geen centrale logging, geen asset-inventaris en geen plan om besmette systemen gecontroleerd te isoleren. “We kunnen het niet vaststellen” is geen cyberstrategie maar een meetprobleem dat jaren eerder opgelost had moeten zijn.
De grootste blinde vlek is dat we alles aan digitale systemen hebben opgehangen en daarna verbaasd zijn als niemand meer weet wat er gebeurt zodra het misgaat. Onze kinderen leren we bewust niet overal een app voor nodig te hebben, maar Justitie blijkbaar wel: zorg voor echte back-ups, handmatige noodprocedures en mensen die zonder scherm kunnen doorwerken. Geen logging betekent gewoon: je weet niet of je veilig bent.
Logging is geen wondermiddel. Bij gehackte systemen kan de aanvaller die sporen wissen of vervalsen. Eerst eruit schoppen en de boel opnieuw opbouwen, daarna pas rapporten schrijven.
De keuze om niet offline te gaan is operationeel begrijpelijk, maar daarmee neem je wel bewust een risico dat je later niet meer kunt reconstrueren. Juridisch gezien wordt het lastig om betrokkenen of benadeelden volledig te informeren als je niet kunt vaststellen welke systemen en gegevens zijn geraakt; “geen aanwijzingen” is dan een nogal magere basis.
“Geen aanwijzingen” is natuurlijk geen bewijs dat er niks is gebeurd, maar zonder betrouwbare logging kun je ook niet automatisch concluderen dat hackers er nog zitten. Wat wél vaststaat: systemen met gebrekkige controle en tegenstrijdige verklaringen geven een energie van totale bestuurlijke mist, en daar hoort gewoon onafhankelijk onderzoek plus herstel van de basisbeveiliging bij.
“Geen aanwijzingen” terwijl je de logboeken mist, is geen geruststelling maar onwetendheid. Bij Justitie hoort controle geen gokwerk te zijn.
“Geen aanwijzingen” is hier geen geruststelling maar een gebrek aan bewijs. Ten eerste wist men wekenlang niet dat de aanvallers binnen waren, ten tweede ontbreken juist de logs waarmee je hun spoor controleert; dan kun je niet serieus beweren dat ze weg zijn. Operationele continuïteit is belangrijk, maar een gevangenis draaiend houden terwijl je mogelijk een open achterdeur laat zitten is geen risicobeheersing, dat is gokken met staatsinformatie.
Dat er geen aanwijzingen zijn, betekent niet automatisch dat er geen bewijs is; een scan en beschikbare logs kunnen wél aantonen dat systemen schoon zijn, ook als de aanval eerder slecht is vastgelegd. De echte fout zit in de gebrekkige logging en de tegenstrijdige verklaringen, maar daaruit volgt nog niet dat hackers de facto nog binnen zitten.
Het echte schandaal is niet alleen dat die hackers misschien nog binnen zitten, maar dat niemand blijkbaar verantwoordelijk is voor fatsoenlijke logging. Een gevangenis laat je ook niet draaien met camera’s die het soms doen en dan roepen dat je geen verdachte bewegingen hebt gezien, godverdomme.
Logging die achteraf “niet volledig” blijkt, is geen technisch detail maar precies hoe je niet kunt weten wat er is buitgemaakt!!! Bij Justitie gaat het om dossiers, persoonsgegevens en gevangenissystemen; wie heeft de sleutels ingetrokken, welke accounts zijn opnieuw uitgegeven en waarom horen we dat pas na vragen van buitenaf? Kijk zelf maar wie hier straks de rekening betaalt.
Ontbrekende logging is wel degelijk ernstig, maar daarmee weet je nog niet automatisch dat alles is buitgemaakt of dat de aanvallers nog overal zitten. Aan de andere kant moet je dan juist extra snel accounts en toegangen vernieuwen en open zijn over wat wel en niet onderzocht kon worden.
Precies, en “we kunnen het niet vaststellen” is bij digitale inbraak gewoon ambtenarentaal voor: misschien ligt de hele kast open, maar we hebben de camerabeelden weggegooid. Bij Justitie hoort logging geen luxe te zijn; zelfs de snackbar weet wie er na sluitingstijd binnen is geweest.
Geen aanwijzingen betekent dus vooral dat ze niet kunnen zien wat er gebeurt!!! Hoe lang blijven systemen dan halfblind draaien, wie controleert onafhankelijk of die aanvallers echt weg zijn en wanneer worden betrokkenen eindelijk eerlijk geïnformeerd?? Een ministerie dat over veiligheid gaat mag toch niet op goed geluk hopen dat de voordeur dicht is terwijl de achterdeur misschien wagenwijd openstaat?!
Het echte probleem is niet alleen de hack, maar dat er daarna geen betrouwbare reconstructie mogelijk was. Een scan zonder goede logs kan aantonen dat je nú niets verdachts ziet, niet dat er wekenlang niets is gebeurd of dat een aanvaller geen verborgen toegang heeft achtergelaten. Dan hoort onafhankelijk forensisch onderzoek, herstel vanuit schone systemen en structurele monitoring de standaard te zijn; “geen aanwijzingen” is in zo’n situatie geen geruststelling.
En wie draait straks op voor de gevolgen als er tóch gegevens uit strafzaken, gedetineerden of opsporingsonderzoeken zijn buitgemaakt? Ik zie dagelijks hoe één administratieve fout mensen jarenlang kan achtervolgen; bij Justitie hoort digitale veiligheid dus geen sluitpost te zijn die je op goed geluk overeind houdt.
Alsof je met perfecte logs hackers buiten de deur houdt… bij een klant van mij lag de hele planning plat door één gestolen wachtwoord, dus zorg eerst dat toegang echt wordt afgesloten en systemen gescheiden zijn. Dat gejammer over ontbrekende loggegevens is vooral achteraf paniek zaaien; zonder bewijs weet je niet eens of er iets is buitgemaakt.
Op de afdeling zie ik hoe één ontbrekende overdracht al genoeg is voor chaos, laat staan wanneer niemand kan zien wie er wekenlang door je systemen loopt. Een scan achteraf is geen bewijs dat je veilig bent; zonder goede logs weet je gewoon niet wat je niet hebt gezien. En ondertussen moeten gevangenissen en medewerkers maar vertrouwen op “waarschijnlijk valt het mee”... nogal een gok.
In mijn oude IT-werk was “we hebben geen aanwijzingen” meestal de zin die viel nadat iemand vergeten was de monitoring aan te zetten. En dat offline gaan lastig is klopt, maar een gevangenis die doordraait op systemen die je niet meer vertrouwt is geen continuïteit, dat is gokken met staatsgeheimen.
Het echte probleem zit misschien nog wel vóór de hack: organisaties die hun logboek niet op orde hebben, kunnen achteraf ook niet betrouwbaar aantonen dat gegevens níét zijn bekeken. Dan is “geen aanwijzingen gevonden” een veel te geruststellende formulering; bij justitie hoort bewijs van veiligheid net zo controleerbaar te zijn als bewijs tegen een verdachte.
Zonder logboeken wordt “geen aanwijzingen” wel een soort digitale versie van: we hebben in het donker gekeken en niks gezien. Bij Justitie is dat geen detail maar een risico voor burgers én medewerkers; liefde voor verbinding begint hier misschien gewoon met fatsoenlijk beheer...
ALS ZE NOG BINNE ZITTE KRIJG JE STRAKS NOG EEN WACHTWOORDRESET MET EEN BRIEFIE PER POST, WANT DE MAILSERVER VERTROUWE ZE OOK NIE MEER!!! EN DAN MAG DE BURGER WEER BETALEN VOOR DEZE DIGITALE KELDERBOX ZONDER LAMP, LEKKER DAN MAN!
Het echte probleem is niet alleen dát hackers mogelijk binnen zitten, maar dat niemand blijkbaar kan zeggen hóé lang al en wat ze hebben ingezien!!! Hoe kan zo’n ministerie met gevoelige dossiers geen harde controle en volledig overzicht hebben, en moeten burgers straks maar hopen dat hun gegevens niet op straat liggen??
Dit is vooral een governance-probleem: niemand lijkt eigenaar van de vraag wanneer een systeem weer aantoonbaar betrouwbaar is. Leg die verantwoordelijkheid bij één securitychef met budget en rapporteer maandelijks openbaar over herstel; zonder meetbare deadline blijft “we onderzoeken het” gewoon de goedkoopste optie.
Lekker dan... bij ons op een klus lag een systeem na een hack ook weken “onder controle”, terwijl niemand wist wie de knoop mocht doorhakken. Eén baas, geld erbij en elke maand laten zien wat er echt dichtgezet is... anders blijft het rapporten schuiven tot er weer iemand binnen zit.
Een extra baas en meer budget lossen geen ontbrekende loggegevens of ondeugdelijke segmentatie op. De kern is dat niemand vooraf een werkbare keuze heeft ingericht tussen continuïteit en isoleren; achteraf “onder controle” melden zonder aantoonbaar forensisch beeld is vooral bestuurlijke mist.
Eén baas en meer geld lossen geen ontbrekende sporen op. Zonder goede logging weet je niet eens of je de aanvaller eruit hebt.
Het lastigste is misschien niet eens de hack, maar dat niemand blijkbaar precies kan zeggen welke systemen betrouwbaar zijn. Dan moet je naast technisch herstel ook gewoon eerlijk melden wat onzeker is en wie daar toezicht op houdt; vertrouwen komt niet terug met alleen een persbericht dat er “geen aanwijzingen” zijn.
EN WIE GAAT DIE BETROUWBAARHEID DAN ECHT CONTROLERE, WANT ALS DEZELFDE MENSE DIE DEZE DIGITALE KELDER HEBBE LATEN INSTORTE OOK DE RAPPORTAGE SCHRIJVE KEN JE NET ZO GOED EEN SLOT OP EEN KRANT ZETTE MAN!!!
Dat er gaten in de logging zitten is ernstig, maar daarmee weet je nog niet automatisch dat hackers overal vrij rondlopen. Eerst systemen isoleren, sporen veiligstellen en onafhankelijk laten controleren; vertrouwen op een eigen rapport zonder controle is hier wel een beetje varen met dichte mist.
Dat er mogelijk nog toegang is blijft echt ernstig, maar “gatenkaas” is wel makkelijk geroepen op basis van alleen dit bericht. Eerst moet duidelijk worden welke systemen geraakt zijn en hoelang, anders maak je mensen vooral onnodig bang.
Het probleem zit dieper dan een ontbrekende logregel: zodra je niet meer kunt bepalen welke data betrouwbaar zijn, verliest een organisatie haar digitale geheugen. Kwantumfysica toont aan dat meten het systeem beïnvloedt; zonder continue observatie ontstaat er een bewustzijnsveld waarin een hacker niet weg is, maar simpelweg niet meer waarneembaar... en dat is bestuurlijk veel gevaarlijker dan een gewone storing.
Dat kwantumverhaal klinkt interessant, maar hier gaat het gewoon om achterstallige monitoring en gebrekkige beveiliging, geen bewustzijnsveld. Bij Justitie is “mogelijk nog toegang” al ernstig genoeg: laat een onafhankelijke partij de logs en systemen controleren en publiceer wat er misging. EIGEN ONDERZOEK, GEEN MISTGORDIJNEN!!!
Wat mij vooral zorgen baart: dit gaat mogelijk ook over medische en psychologische gegevens van gedetineerden, personeel en slachtoffers. Als je niet kunt aantonen wie erbij kon, moet je niet alleen wachtwoorden resetten, maar ook eerlijk beoordelen welke mensen geïnformeerd en extra beschermd moeten worden; anders wordt gebrekkige beveiliging ineens hun probleem.
Dat risico voor medische en psychologische gegevens is reëel, maar uit dit stuk blijkt nog niet dat die gegevens daadwerkelijk zijn ingezien of gewijzigd — dat onderscheid moet je wel maken. De kern is juist dat Justitie het door ontbrekende of tegenstrijdige logging niet betrouwbaar kan uitsluiten; welke systemen bevatten die dossiers, en waarom is er na zes weken onopgemerkte toegang nog steeds geen sluitend overzicht?
En ondertussen moeten gewone mensen voor elke DigiD- of belastingkwestie drie keer bewijzen wie ze zijn. Bij Justitie kan blijkbaar niemand achteraf zien wie waar is geweest... da vertrouwen in zo’n systeem dan maar eens terug te krijgen.
Het verschil is dat burgers overal een controleerbaar spoor moeten achterlaten, terwijl de overheid hier niet eens betrouwbaar kan reconstrueren wat er op haar eigen systemen is gebeurd. Een scan achteraf is geen tijdmachine; zonder goede logging kun je hooguit zeggen dat je niets hebt gevonden, niet dat er niets is gebeurd.
Dat DigiD-gedoe is vervelend, maar juist omdat daar wel wordt gelogd en gecontroleerd. Bij deze hack ontbreekt die controle blijkbaar deels, en dat is geen klein technisch foutje maar gewoon slecht beheer; zonder goede logs weet je niet eens wat je moet opruimen.
Het gaat hier niet alleen om gebrekkige logging, maar om een overheid die digitale veiligheid jarenlang als kostenpost behandelt en daarna doet alsof een scan alles oplost. En dat “essentiële diensten mogen niet stilvallen” klinkt logisch, maar zonder betrouwbare systemen weet je niet eens of gevangenissen en persoonsgegevens veilig zijn — bezuinigen op ICT is blijkbaar ook nationale veiligheidspolitiek.
Bezuinigen op ICT is dom, maar zonder logs weet je nog niet dat hackers binnen zitten. Eerst feiten, dan paniek zaaien.
Dat is te simpel. Een scan achteraf bewijst hooguit dat men toen niets heeft gevonden; zonder volledige, betrouwbare logging kun je niet reconstrueren wat er weken eerder is gebeurd. De tegenstrijdige verklaringen zijn hier ernstiger dan de ontbrekende paniek: bij justitiële systemen hoort aantoonbare controle, niet alleen de mededeling dat alles wel schoon zal zijn.
Tuurlijk weer: als burger moet ge overal DigiD, codes en extra controles regelen, maar bij de overheid zelf blijft de digitale voordeur blijkbaar openstaan. En straks mag niemand weten wat er precies is buitgemaakt want “lopende onderzoeken”... lekker makkelijk.
De keuze om niet offline te gaan was misschien praktisch, maar daarmee is ook de bewijspositie van de overheid verzwakt. Als later blijkt dat dossiers zijn ingezien of gewijzigd, zal men niet alleen moeten aantonen wat de aanvaller deed, maar ook dat de eigen administratie betrouwbaar is gebleven. Dat is een veel ernstiger probleem dan een ontbrekende firewallregel; het raakt rechtstreeks aan de rechtsgeldigheid van besluiten en strafzaken.
En ondertussen moeten gewone mensen voor elke DigiD- of belastingkwestie drie keer bewijzen wie ze zijn. Bij Justitie kan blijkbaar niemand achteraf zien wie waar is geweest... da vertrouwen in zo’n systeem dan maar eens terug te krijgen.
Die strenge DigiD-controles zijn juist zodat niemand zomaar bij gegevens kan, maar intern lijkt de beveiliging dan alsnog een gatenkaas 😳 En als ze niet eens weten of die hackers er nog zitten, hoe moet je daar als burger ooit vertrouwen in hebben??
als je niet weet of ze er nog zitten moet je ook even stoppen met doen alsof alleen de data gevaar loopt bro straks blijkt de grootste kwetsbaarheid gewoon de powerpoint met het incidentplan te zijn lol
Dat is geen bewijs dat de data veilig is, maar wel een teken dat de beveiliging zelf niet op orde is. Zonder goede logboeken kunt ge niet eens zien hoe ze binnenkwamen en of ze nog rondneuzen, da is juist het probleem.
Tuurlijk weer... voor burgers is elke fout meteen fraude of een boete, maar als Justitie zelf de controle kwijt is heet het ineens een incident en een lopend onderzoek. Ben benieuwd of iemand persoonlijk verantwoordelijk wordt, of dat er straks alleen een rapport komt waar niemand wat aan heeft.
Het meest verontrustende is misschien niet eens de Citrix-kwetsbaarheid, maar dat niemand kennelijk eigenaar was van het totale incidentbeeld. Bij zulke systemen heb je een aantoonbare exitstrategie nodig: segmenteren, credentials vervangen, forensisch veiligstellen en pas daarna gecontroleerd terug online. “De gevangenis moet blijven draaien” is begrijpelijk, maar operationele continuïteit zonder betrouwbare integriteit van de systemen is vooral schijncontinuïteit.
Het verschil is dat burgers overal een controleerbaar spoor moeten achterlaten, terwijl de overheid hier niet eens betrouwbaar kan reconstrueren wat er op haar eigen systemen is gebeurd. Een scan achteraf is geen tijdmachine; zonder goede logging kun je hooguit zeggen dat je niets hebt gevonden, niet dat er niets is gebeurd. In de zorg zie ik hetzelfde principe: als je niet vastlegt wie wanneer wat heeft gedaan, kun je achteraf ook niet serieus zeggen dat alles goed is gegaan.
“De gevangenis moet blijven draaien” is geen tegenargument om een gehackte infrastructuur online te houden; juist dan moet je kunnen aantonen dat systemen betrouwbaar zijn. Zonder complete logs weet je niet of enkelbanden, dossiers of toegangsrechten zijn gemanipuleerd, dus die continuïteit kan pure schijn zijn. Maar ok, zolang de schermen nog aangaan noemen we het blijkbaar bedrijfsvoering.
Tja, bij een vrachtwagen weet je tenminste waar ie staat en wie ermee rijdt... bij Justitie blijkbaar niet wie er digitaal rondloopt. Maar wel miljoenen voor prestigeprojecten en consultants, de gewone burger mag straks weer betalen voor de puinhoop.
Klopt, maar dit soort incidenten laat ook zien dat ICT-beveiliging geen eenmalig project is dat je na een audit kunt afvinken. Er moet gewoon duidelijk worden wie elke dag controleert of logging, updates en toegang nog werken, anders begint iedereen na een paar jaar weer van voren af aan.