Ergens in Denemarken ligt een ingevulde leveranciersvragenlijst in een map. Ik durf er een goede fles wijn om te verwedden dat de vraag “Hanteert u een wachtwoordbeleid?” met een overtuigend “Ja” is beantwoord.
De feiten, voor zover nu bekend. Een aanvaller kreeg toegang tot het Deense bevolkingsregister, de tegenhanger van onze BRP. Niet via het register zelf, maar via een Deens bedrijf dat daar legitiem in mocht zoeken. Volgens de krant Politiken gebruikten minstens drie accounts bij dat bedrijf, waaronder een beheeraccount, het wachtwoord 123456. De aanvaller had 21 dagen toegang en nam de burgerservicenummers mee van 5,5 miljoen levende en 3,3 miljoen overleden Denen.
Een eerlijke kanttekening: de bron van het wachtwoordverhaal is de aanvaller zelf. Maar het is zo pijnlijk geloofwaardig dat niemand in ons vak het meteen wegwuift. En dat zegt eigenlijk al genoeg.
Het wachtwoord is de clou, niet de grap
Iedereen lacht om 123456, en terecht. Maar wie bij het wachtwoord stopt, mist het eigenlijke verhaal. Een zwak wachtwoord is een individuele misser. Dat zo’n wachtwoord een beheeraccount op een nationaal register mag openen, is een ontwerpkeuze. Meerdere zelfs:
- het register dwong blijkbaar geen wachtwoordeisen af bij externe partijen;
- multifactorauthenticatie was geen toegangsvoorwaarde;
- een partij die alleen hoefde op te vragen, had een beheeraccount;
- niemand merkte het toen er drie weken lang data de deur uit ging.
Die laatste verdient een rekensom. 8,8 miljoen records in 21 dagen is ruim 400.000 per dag. Dat is geen opvraging meer. Dat is een verhuizing, en er stond geen buurman op de stoep die zich afvroeg waarom de vrachtwagen elke dag terugkwam.
Een vragenlijst meet hoe goed een leverancier vragenlijsten invult
NIS2 en de Nederlandse Cyberbeveiligingswet maken ketenbeveiliging expliciet onderdeel van de zorgplicht. De meeste organisaties geven daar invulling aan met een vragenlijst. Honderdveertig vragen, een Excel met kleurtjes, een handtekening, map dicht.
Het probleem: een vragenlijst meet wat een leverancier zegt, niet wat een leverancier doet. “Wij hanteren een wachtwoordbeleid” en “ons beheeraccount heet admin met wachtwoord 123456” kunnen prima naast elkaar bestaan. Papier is geduldig; een inlogscherm niet.
De rebelse conclusie is eigenlijk heel saai: vertrouw minder op wat de ander belooft en dwing meer af aan je eigen hek. Toegang die jij verleent, beveilig jij.
- MFA als toegangsvoorwaarde aan jouw kant, niet als vinkje in hun vragenlijst.
- Rechten naar functie. Wie alleen hoeft op te vragen, krijgt geen beheeraccount. Ook niet omdat het “handiger” was bij de implementatie.
- Volumedrempels met een alarm dat iemand leest. Een normale klant vraagt geen 400.000 records per dag op.
- Periodieke hercertificering van externe accounts. Ieder kwartaal de vraag: bestaat deze partij nog, en heeft ze dit nog nodig?
Geen van deze maatregelen is nieuw. Ze staan gewoon in ISO 27002. Ze zijn alleen minder fotogeniek dan een leveranciersbeoordeling met een groen totaalcijfer.
Het juridische lichtpuntje
Voor 3,3 miljoen betrokkenen is er goed nieuws: de AVG is niet van toepassing op gegevens van overledenen (overweging 27). Voor de verwerkingsverantwoordelijke is dat een schrale troost. Er blijven 5,5 miljoen levende Denen over, en de nabestaanden van de rest lezen ook de krant.
Drie vragen voor maandagochtend
- Welke externe partijen hebben vandaag toegang tot onze kroonjuwelen, en met welke rechten?
- Wordt MFA aan ons hek afgedwongen, of vertrouwen we op wat de leverancier heeft ingevuld?
- Merken wij het als iemand 400.000 records per dag ophaalt, en zo ja: wie belt wie?
Wie op de derde vraag antwoordt met “dat zou in de logging moeten staan”, heeft het antwoord eigenlijk al gegeven.
123456 is geen wachtwoord. Het is een aftelling.
