Citrix niet gepatcht betekent een hack

Organisaties die het beveiligingsgat in hun Citrix-systemen pas na 9 januari hebben aangepast, of dat helemaal niet hebben gedaan, kunnen ervan uitgaan dat hun systemen zijn aangevallen. Om die systemen nu nog van een digitale pleister, een patch, te voorzien is zinloos. Dat zegt het Nationaal Cyber Security Centrum (NSCS) in een advies.

Lapmiddel 

Op 9 januari waarschuwde het NCSC voor een beveiligingsproblemen met de Citrix-systemen, en een dag later bleek dat hackers daadwerkelijk een wapen hadden ontwikkeld om die kwetsbaarheid te misbruiken, en gegevens te stelen of systemen plat te leggen. De problemen met de Citrix-software zijn al een maand bekend, maar pas dit weekend zijn de eerste patches vrijgegeven. Het bedrijf heeft wel eerder al een tijdelijk lapmiddel geadviseerd.

Gehackt

Gedupeerden die de tijdelijke oplossing niet hebben gebruikt, zijn hoogstwaarschijnlijk gehackt, zegt de NCSC, en moeten de verbinding van hun systemen met internet verbreken, de systemen laten onderzoeken en goed in de gaten houden of de aanvallers ook op andere plekken opduiken. Van een aantal organisaties, waaronder de gemeente Zutphen, is bekend dat ze aangevallen zijn. Maar wat de gevolgen van die aanvallen zijn is vooralsnog niet duidelijk.

IBD

In navolging van de NCSC adviseerde ook de Informatiebeveiligingsdienst (IBD) vrijdag gemeenten om hun Citrix-systemen uit te schakelen. Veel gemeenten gaven daar gehoor aan, met het gevolg dat websites van tientallen gemeenten en provincies op dit moment beperkt toegankelijk zijn, en ambtenaren niet thuis kunnen werken, omdat ze daar een Citrix-oplossing voor gebruiken. Inmiddels hebben Amsterdam en Rotterdam aangegeven dat ze toegang tot de systemen weer hebben hersteld. Ze zeggen dat ze maatregelen hebben genomen om misbruik te voorkomen. De gemeente Den Haag haalde de servers kort uit de lucht, maar zette ze later die dag weer aan. De gemeente Utrecht heeft weinig last van de hack: ze gebruiken zelf geen systemen van Citrix voor een thuiswerkoplossing.  (Redactie/ANP)