Wat gebeurt er als de hackers gehackt worden?

Foto Reuters

Groot alarm bij Adobe, maker van het veelgebruikte programma Flash. Door een grote fout in Flash zijn honderden miljoenen internetgebruikers kwetsbaar voor cybercriminelen. In allerijl voerde Adobe woensdag een update door om het lek te dichten.

Het is een van de tastbare gevolgen van de inbraak bij het Italiaanse beveiligingsbedrijf Hacking Team, afgelopen weekend. De daders – vermoedelijk activisten – stalen 400 GB aan data, waaronder een miljoen mails en geheime kwetsbaarheden in software. Ze zetten alles online.

Wat is Hacking Team?

Hacking Team maakt Galileo, spionagesoftware waarmee overheidsorganisaties de computers en telefoons van personen kunnen afluisteren. Hacking Team levert de software aan tientallen landen, waaronder Mexico, Singapore, Saoedi-Arabië, Oman, Kazachstan, Soedan, Bangladesh, Egypte en Rusland.

Galileo stelt overheden in staat om op afstand de versleutelde communicatie van verdachten te omzeilen en camera en microfoon te gebruiken om het doelwit te bespioneren.

Heeft dit gevolgen voor Nederland?

De Nederlandse MIVD was, blijkt uit de mails, al in 2011 een klant van Hacking Team. Ook de Belastingdienst en de Nationale Politie hebben interesse voor Galileo, blijkt uit de mailwisseling: Hacking Team had een afspraak voor een ‘pre-sales’ gesprek met Nederlandse politiemedewerkers, afgelopen maandag. Het contact voor deze demonstratie werd tot stand gebracht via een tussenpersoon van een Amsterdams beveiligingsbedrijf, nadat vertegenwoordigers van de politie eerder Hacking Team bezochten op een beurs in het Verenigd Koninkrijk.

Waarom is Hacking Team het doelwit van activisten?

Galileo is een remote control system (RCS) dat volledig toegang heeft tot telefoons en computers. Om in te breken gebruikt Hacking Team nieuwe softwarefouten, die nog niet door de fabrikant zijn gerepareerd.

Het is een omstreden methode: als zulke lekken zelf uitlekken, bedreigt dat alle internetters. Dat verklaart Adobes ijver om ‘the most beautiful Flash bug in the last four years’ deze week onmiddellijk te dichten – die omschrijving komt van medewerkers van Hacking Team.

Hacking Team is ook controversieel omdat de software gebruikt wordt door regeringen die daarmee politieke tegenstanders afluisteren. De inbrekers, vermoedelijk hacktivisten, wilden Hacking Team daarvoor aan de schandpaal nagelen.

https://twitter.com/richietynan/status/618189814152695808/photo/1

Daar zijn ze in geslaagd. Het Italiaanse bedrijf bleek zelf erg slecht beveiligd – terwijl de medewerkers zich ervan bewust waren dat ze onder vuur lagen van de hacktivisten. Hacking Team was een van de ‘vijanden van het internet’, net als andere bedrijven die spionagesoftware ontwikkelen.

Hacking Team-medewerkers grapten onderling via de mail over wat er zou gebeuren als al hun gegevens gestolen zouden worden. Desondanks gebruikt ze zwakke wachtwoorden en bleken de computers die ‘los’ van internet hoorden te staan, toch met de buitenwereld verbonden. Dat is een doodzonde in de beveiligingsindustrie.

Is het bedrijf nog wel te vertrouwen?

“Hacking Team krijgt een koekje van eigen deeg”, zegt Bart Jacobs. De Nijmeegse hoogleraar digitale beveiliging is lid van de landelijke Cyber Security Raad. Volgens hem zou de Nederlandse politie zich niet moeten inlaten met een bedrijf dat handelt in “softwarelekken met een laagje vernis erom heen.”

Volgens Jacobs heeft de overheid als taak om de veiligheid te verbeteren:

“Onze infrastructuur is al rot genoeg. Softwarefouten moet je niet exploiteren maar zo snel mogelijk publiek maken, zodat ze gerepareerd kunnen worden.”