Het Medisch Centrum Leeuwarden en de gemeente Zutphen waren deze week slachtoffer van een hack. Daarbij werd een poging gedaan om een eerder deze week bekend geworden zeer ernstige kwetsbaarheid in Citrix ADC en Citrix Gateway-servers uit te buiten.
Zowel volgens de gemeente als het MCL zou de hack niet gelukt zijn. Het Leeuwardse ziekenhuis besloot woensdagmorgen om al het dataverkeer met de buitenwereld af te sluiten. Het gevolg is onder meer dat medewerkers niet meer van buitenaf kunnen inloggen op digitale werkplekken. Datzelfde geldt voor medewerkers van de gemeente. Citrix-servers worden onder meer gebruikt om werkplekken vanaf elke locatie en met elk device toegankelijk te maken.
Bij het ziekenhuis kunnen patiënten ook hun medische gegevens niet meer inzien via het patiëntportaal. Voor inwoners van Zutphen zouden er geen directe gevolgen zijn. Op de websites van gemeente en MCL blijkt uit de meest recente informatie dat er onderzoek wordt uitgevoerd naar de impact van de hackpoging. Het dataverkeer via de Citrix-servers zou nog niet hersteld zijn.
Melding Citrix-kwetsbaarheid
Het Nederlands Cyber Security Center, onderdeel van het Ministerie van Justitie en Veiligheid, meldde dinsdag de zeer ernstige kwetsbaarheid in Citrix ADC en Citrix Gateway servers. De ernst werd ingeschaald op een 9,8 op een schaal van 1 tot en met 10. Het NCSC adviseert met klem om zo snel mogelijk de mitigerende maatregelen toe te passen zoals geadviseerd door Citrix.
Nu.nl schreef dat meer dan 700 Nederlandse servers kwetsbaar zijn voor hackers door dit beveiligingslek bij het Amerikaanse softwarebedrijf Citrix. Het baseert dit op onderzoek van Bad Packets. Volgens IT-beveiligingsexpert Matthijs Koot ging het om onder meer servers van ministeries, ziekenhuizen, ggz-instellingen, een grote bank en een luchthaven.
Lek in VPN's
De Citrix-kwetsbaarheid heeft een recente voorganger. Eind september, begin oktober 2019 kwam naar buiten dat VPN-platforms van Pulse Secure en Fortinet kwetsbaar waren voor hacks. De bedrijfskritieke systemen van belangrijke instanties, zoals de luchtverkeersleiding op Schiphol, zouden daarmee in theorie open liggen voor cyberaanvallen.
Minister Grapperhaus (Justitie) stelde daarop dat de overheid harder wil optreden tegen organisaties die te weinig werk maken van hun digitale beveiliging. Momenteel kan de overheid via instanties zoals het NCSC weinig meer doen dan wijzen op alle cybersecurity-gevaren.
