'Lek bij Citrix actief gebruikt door hackers en spionnen'

Hackers en spionagegroepen hebben actief gebruikgemaakt van de beveiligingsproblemen bij Citrix, die eind vorig jaar aan het licht kwamen. Zeker 25 Nederlandse organisaties die het lek na het bekend worden van de problemen dichtten, zijn toch gehackt, schrijft de Volkskrant op basis van onderzoek van beveiligingsbedrijf Fox-IT. Het is niet duidelijk wat de schade is.

Citrix is een door bedrijven, overheden en organisaties veelgebruikt computersysteem waarmee mensen op afstand verbinding kunnen maken met de interne systemen van hun werkgever. Het wordt bijvoorbeeld gebruikt om thuis te kunnen werken. Vanwege het lek besloten veel gebruikers die met gevoelige informatie werken om het hele systeem af te sluiten.

Er kwam een aantal weken later, in stappen, wel een oplossing, maar die is niet zaligmakend. Fox-IT heeft onderzocht of er misbruik wordt gemaakt van het lek, waar Citrix eind vorig jaar melding van maakte, en dat blijkt het geval. Bedrijven die zogeheten 'patches' gebruikten om het probleem te verhelpen, waanden zich veilig maar bleken al gehackt te zijn. De patches werkten daardoor niet, zegt Fox-IT. Frank Groenewegen van Fox-IT vergelijkt het met de deur op slot doen terwijl kwaadwillenden de sleutel hebben bemachtigd.

Onzichtbaar kattenluik

In een toelichting aan de NOS zegt Groenewegen dat bedrijven en organisaties nog verder moeten gaan. "De achterdeur kun je veranderen maar je moet ook onderzoek doen of iemand er gebruik van heeft gemaakt. In de fysieke wereld kijk je even op camerabeelden of iemand de deur is binnengegaan en wellicht klantgegevens heeft gestolen, of gijzelsoftware heeft uitgerold."

Volgens Groenewegen moeten bedrijven en organisaties niet alleen kijken of de 'achterdeur' weer dicht is, maar ook of criminelen "een onzichtbaar kattenluikje" hebben geïnstalleerd, waardoor ze nog steeds toegang hebben.

De Nederlandse inlichtingendiensten zeggen dat de kwetsbaarheid van Citrix door zeker één staat is misbruikt bij (voorbereidingen voor) spionagedoeleinden. Het Nationaal Cyber Security Centrum NCSC, dat valt onder het ministerie van Justitie, waarschuwde deze week nog voor de grote gevolgen die een kwetsbare digitale omgeving kan hebben. Daarbij noemde het ook expliciet Citrix. "Onze maatschappij is in grote mate afhankelijk van digitale processen en analoge terugvalopties zijn niet voorhanden."

Volgens het NCSC zijn door het lek honderden en mogelijk zelfs meer dan 3700 organisaties getroffen, waaronder partijen die gevoelige, vitale processen beheren.

Over het onderzoek van FOX-it zegt een woordvoerder van het NCSC: "De oplossing voor het probleem is algemeen bekend. Die staat op onze website." Of dat betekent dat de genoemde 25 Nederlandse organisaties die zijn gehackt de beveiliging nu wel op orde hebben, kan het NCSC niet zeggen. De woordvoerder benadrukt dat het NCSC alleen de bevoegdheid heeft om overheidsorganisaties en bedrijven die zich bezighouden met zogeheten vitale processen te waarschuwen. "Wij informeren actief vitaal en rijk."