DIVD gehackt via zerodays in Zammad, toename staatsgesteunde cyberaanvallen

Het Dutch Institute for Vulnerability Disclosure (DIVD) is gehackt via twee zerodaylekken in het helpdesk- en ticketsysteem Zammad 8. Het Nationaal Cyber Security Centrum (NCSC) waarschuwt dat deze kwetsbaarheden sinds 21 september actief worden misbruikt 8. De eerste kwetsbaarheid, CVE-2026-102489, maakt remote code execution (RCE) mogelijk voor een ongeauthenticeerde aanvaller en is aanwezig in Zammad versies 6.3.0 tot en met 6.5.4 8. De tweede kwetsbaarheid, CVE-2026-102490, stelt een aanvaller met toegang tot het systeem in staat om zijn rechten te verhogen tot die van root, en hiervoor is nog geen update beschikbaar 8. Het DIVD adviseert te upgraden naar Zammad versie 7 of het systeem offline te halen 8.

De topman van het Franse defensie- en technologieconcern Thales, Patrice Caine, waarschuwt voor een beangstigende toename van cyberaanvallen, die steeds vaker door overheden worden ondersteund en zich richten op kritieke diensten 6. Deze aanvallen zijn niet primair gericht op financieel gewin, maar op het verkrijgen van toegang tot systemen en gegevens om organisaties te verstoren 6. Afgelopen zomer werd de Franse belastingdienst gehackt, waarbij gegevens van bijna 700.000 belastingbetalers werden gestolen 6.

Minister Van Weel van Justitie en Veiligheid gaat in gesprek met de Autoriteit Persoonsgegevens (AP) over de aanpak van spyware-apps zoals mSpy 11. Deze app, die al decennia bestaat, maakt het mogelijk om telefoongebruik te monitoren, inclusief gesprekken, sms, e-mails, gps-locatie en chatgesprekken 11. D66-Kamerlid El Boujdaini stelt dat minstens 2,4 miljoen mensen in Europa deze app op hun telefoon hebben, vaak gebruikt voor stalking en dwingende controle 11. Het installeren van dergelijke apps zonder toestemming is computervredebreuk en kan leiden tot aangifte 11.

Uit het Cybersecurity Gedragsonderzoek Alert Online 2026 blijkt dat Nederlanders wel de intentie hebben om beveiligingsmaatregelen zoals tweefactorauthenticatie (2FA) en wachtwoordmanagers te gebruiken, maar dit in de praktijk vaak nalaten 18. Slechts 13 tot 20 procent gebruikt altijd een wachtwoordmanager en 16 tot 32 procent altijd 2FA, ondanks dat 77 tot 84 procent de gevolgen van online criminaliteit ernstig vindt 18. Gedrag wordt uitgesteld of vermeden als het als te veel moeite of gedoe wordt ervaren 18.

Een onderzoek van cyberbeveiliger Northwave toont aan dat Chief Information Security Officers (CISO's) bij 82 procent van de organisaties niet het definitieve besluit nemen over de aanschaf van securitydiensten 23. De beslissingsmacht ligt vaker bij IT-management (32 procent) of de directie (27 procent), terwijl de CISO slechts in 18 procent van de gevallen de beslisser is 23. Dit creëert een risico waarbij de inhoudelijke verantwoordelijkheid bij een securityspecialist ligt, maar de beslissingen elders worden genomen 23.