URSIV: hack bij Sloveense staatsadministratie raakt accounts van burgers niet

URSIV (voluit Urad Vlade RS za informacijsko varnost), het Sloveense regeringsbureau voor informatieveiligheid, bevestigde op 2 november: de huidige bevindingen over het incident met het systeem Domino raken geen accounts van burgers. Alleen gebruikersaccounts van ambtenaren en overheidsinstanties zijn getroffen. Wie als burger online bij de overheid inlogt voor publieke diensten, loopt volgens het bureau geen risico.

Een aanvaller drong eerder binnen in een webserver van een Sloveense staatsinstantie, meldde URSIV op 1 november. Daarbij kreeg de aanvaller ongeoorloofde toegang tot gebruikersgegevens van de staatsadministratie. Welke instantie precies is getroffen, maakte URSIV niet bekend. Het bureau liet ook niet weten of er al aanwijzingen zijn van daadwerkelijk misbruik, of wie er achter de inbraak zit. Volgens URSIV buitte de aanvaller daarbij meer dan 15.000 gebruikersaccounts uit het systeem Domino. Domino is het platform waarmee Sloveense overheidsinstanties onder meer e-mail en interne documenten beheren, los van de webportalen waarlangs burgers hun zaken met de overheid regelen. Van die accounts bevatten 7.216 records een gehashte wachtwoordwaarde. Dat is een wiskundig bewerkte versie van het wachtwoord waaruit het origineel volgens URSIV in bepaalde gevallen toch kan worden afgeleid.

Ambtenaren wiens account is getroffen, krijgen van URSIV hetzelfde advies als eerder: wijzig het wachtwoord onmiddellijk, meldt het bureau. Hetzelfde geldt voor elke andere dienst waar een identiek of gelijkend wachtwoord wordt gebruikt. Waar mogelijk raadt URSIV ook meervoudige authenticatie aan, vanwege het risico op misbruik van de buitgemaakte gegevens. Meervoudige authenticatie is een extra controle naast het wachtwoord, bijvoorbeeld een eenmalige code op de telefoon; zonder die controle is een gestolen wachtwoord vaak al genoeg om in te loggen.

De server waarop de inbraak plaatsvond, ging na de ontdekking meteen offline, meldt URSIV. Sindsdien kijkt incidentresponscentrum SIGOV-CERT samen met de bevoegde technische diensten naar de zaak. Zij werken aan maatregelen die de schade beperken en nieuw misbruik moeten tegenhouden. SIGOV-CERT is het team dat beveiligingsincidenten bij de Sloveense overheid onderzoekt en bestrijdt. Nieuwe bevindingen deelt URSIV voortaan via de eigen, officiële kanalen.

Voor Nederlanders en Belgen die in Slovenië wonen of er online zaken regelen bij de overheid, is dat de kern van dit nieuws. Wie als burger een account gebruikt om bij de Sloveense overheid in te loggen, wordt door het incident niet geraakt. Alleen wie voor zijn werk bij een Sloveense overheidsinstantie een account in het systeem Domino heeft, moet het wachtwoord nog wijzigen, tot URSIV nieuwe bevindingen meldt.