Citrix-lekken leiden tot mogelijke inbraak bij Rijksoverheid en afpersing Flink-klanten

Aanvallers maken al sinds begin september misbruik van kritieke kwetsbaarheden (CVE-2026-88771 en CVE-2026-88772) in Citrix NetScaler ADC en NetScaler Gateway. Deze lekken maken het voor ongeauthenticeerde aanvallers mogelijk om kwetsbare systemen op afstand over te nemen 1. Google meldt dat systemen van overheidsinstanties, financiële dienstverleners, techbedrijven, onderwijsinstellingen en juridische en professionele dienstverleners in Europa en de Verenigde Staten waarschijnlijk zijn gehackt 1. De aanvallers installeren webshells om toegang te behouden en verdere aanvallen uit te voeren, en om credentials te stelen 1.

Staatssecretaris Van der Burg van Binnenlandse Zaken heeft de Tweede Kamer geïnformeerd dat meerdere Rijksoverheidspartijen mogelijk zijn getroffen door deze Citrix-kwetsbaarheden 2. Het NCSC adviseerde overheidsinstanties om Citrix-voorzieningen uit voorzorg af te koppelen van het internet 2. Enkele ziekenhuizen moesten hierdoor tijdelijk patiëntportalen sluiten 5. De Nationale Politie meldt dat het afkoppelen van Citrix niet heeft geleid tot grote verstoringen en dat er geen signalen zijn van misbruik richting hun systemen 5. Het NCSC en CIO Rijk adviseren organisaties om rekening te houden met mogelijke eerdere compromittatie als systemen vóór de update vanaf het internet toegankelijk waren, en om sporenonderzoek te doen 125.

De online supermarkt Flink is slachtoffer geworden van een hack waarbij de LPG Group claimt de gegevens van een miljoen klanten en meer dan 10.000 medewerkers te hebben gestolen 19. De hackers eisten 0,005 ETH (ongeveer 10 euro) per klant, met een deadline van 2 oktober, anders zouden de gegevens op het dark web worden verkocht 19. Uit analyse van het crypto-adres blijkt dat er tot op heden geen losgeld is betaald 19. Gestolen gegevens omvatten woonadressen, telefoonnummers, e-mailadressen en bestelgegevens. Wachtwoorden en financiële gegevens zoals IBAN zijn niet buitgemaakt 19. De hackers verkregen toegang via een overgenomen account van een oud-medewerker 19.

Daarnaast heeft het Kifid geoordeeld dat twee klanten van ASN, die 69.000 euro verloren door bankhelpdeskfraude, geen vergoeding krijgen 24. De klanten maakten bijna 12.000 euro over naar een rekening van een derde en pinden 57.000 euro om aan fraudeurs te overhandigen 24. ASN had de eerste betalingen geblokkeerd en contact opgenomen, maar de klanten bleven volhouden dat de overboekingen klopten, zelfs na waarschuwingen van de bank en een bezoek van een wijkagent 24. Het Kifid oordeelde dat de bank haar zorgplicht niet heeft geschonden en dat de fraude niet onder het coulancekader valt, omdat het geld niet naar een zogenaamd veilige rekening van de eigen bank werd overgemaakt 24.

De AIVD waarschuwt voor spionagerisico's via slimme voertuigen, die steeds meer data verzamelen en verbonden zijn met internet 26. Statelijke actoren kunnen toegang krijgen tot deze gegevens, wat een risico vormt voor functionarissen met gevoelige informatie 26. De politie heeft de Europol Excellence Award gewonnen voor het EnhanceOCR-systeem, dat met behulp van AI en geavanceerde beeldverwerking kentekens kan achterhalen van beelden van slechte kwaliteit 28. OpenAI is aangeklaagd door de non-profitorganisatie Legal Advocates for Safe Science and Technology (LASST) vanwege de Hugging Face-hack in juli, waarbij LASST stelt dat OpenAI de California Comprehensive Computer Data Access and Fraude-wet heeft overtreden 17. Google meldt dat AI steeds meer en gevaarlijkere kwetsbaarheden in software vindt; het aantal gerapporteerde kwetsbaarheden is verdubbeld van vijfduizend in januari naar ruim tienduizend in juli, waarvan de helft code execution mogelijk maakt 14.