Citrix-omgeving Justitiële ICT Organisatie vorig jaar gehackt
In dit artikel:
De Citrix-omgeving van de Justitiële ICT Organisatie (JIO), die door medewerkers wordt gebruikt om thuis te werken, is vorig jaar aangevallen via dezelfde kwetsbaarheid die het Openbaar Ministerie (OM) trof, bevestigt de JIO tegenover Argos. Nadat het Nationaal Cyber Security Centrum (NCSC) op 17 juli waarschuwde voor mogelijk misbruik van een Citrix-lek, koppelde het OM uit voorzorg zijn interne systemen van internet los; de JIO deed dat niet. Bronnen zeggen dat die afweging mede werd gemaakt omdat het onduidelijk was of essentiële systemen, zoals enkelbanden van gedetineerden, dan nog zouden functioneren.
Eind juli meldde de JIO onderzoek naar de Citrix-omgeving van de Dienst Justitiële Inrichtingen (DJI). Minister Van Weel informeerde in augustus de Tweede Kamer dat via het NCSC signalen waren binnengekomen dat ook bij JIO van de kwetsbaarheid gebruik was gemaakt. De JIO zegt de kwetsbaarheid onmiddellijk te hebben verholpen en een onderzoek te hebben ingesteld; volgens de organisatie is er geen aanwijzing gevonden voor verder misbruik in achterliggende it-omgevingen.
Argos-bronnen betogen echter dat aanvallers via de Citrix-server onopgemerkt dieper in justitiële systemen konden doordringen omdat een interne firewall door een configuratiefout bovenmatig verkeer toeliet en monitoring uit zou hebben gestaan. JIO en het ministerie ontkennen dat logging en monitoring uitstonden en stellen dat de buitenste firewall wel juist was geconfigureerd; de binnenste firewalls lieten wel meer verkeer toe maar binnen dezelfde veiligheidszone. De interne firewall wordt beheerd door ict-leverancier Solvinity; beweringen dat die verkeerd geconfigureerd was en zo toegang gaf tot andere opdrachtgevers worden door het ministerie eveneens tegengesproken.
Na de aanval liet JIO extern onderzoek doen, waarvan de resultaten om veiligheidsredenen niet met de Tweede Kamer worden gedeeld. De zaak illustreert de risico’s van kwetsbaarheden in afstandsbeheersoftware voor vitale overheidsinfrastructuur.