Tientallen ethische hackers en studenten hebben 2 weken lang geprobeerd websites, software en contactformulieren van de Belgische overheid te hacken. Ze probeerden bijvoorbeeld binnen te dringen bij politie of defensie. En dat mocht. Meer nog, het Centrum voor Cybersecurity (CCB) had hen dat gevraagd. Het CCB wilde zo nagaan waar de beveiliging van overheidssystemen nog tekortschiet. Uiteindelijk hebben ze 96 veiligheidsrisico's gevonden.
"Hack the government": 71 ethische hackers proberen Belgische overheidssystemen te kraken
Dorien Vanmeldert
Gepubliceerd:
Bijgewerkt:
Het CCB organiseert deze hackersmarathon #HackTheGovernment al voor het tweede jaar op rij.
"Het doel is om zwakke plekken te vinden vóór mensen met slechte bedoelingen er misbruik van kunnen maken", legt Miguel De Bruycker, directeur van het CCB, uit. "Onze overheid heeft veel digitale systemen. Dankzij de ethische hackers leren we wat nog beter kan."
De ethische hackers mochten de systemen van 7 overheidsinstellingen proberen te kraken. Naast defensie en de federale politie deden een lokale politiedienst, het Federaal Agentschap voor Geneesmiddelen en Gezondheidsproducten (FAGG), de Rijksdienst voor Jaarlijkse Vakantie, de FOD Beleid en Ondersteuning (BOSA) en het CCB mee aan de oefening.
Wat is ethisch hacken?
Ethisch hacken is het testen van veiligheidssystemen van een (overheids)bedrijf. De hackers breken in om fouten en lekken te ontdekken die een bedrijf zelf over het hoofd ziet. Sinds februari 2023 is ethisch hacken, zonder dat je toestemming moet vragen aan het bedrijf, legaal in ons land. De kwetsbaarheden die een ethische hacker vindt, moet hij of zij wel binnen de 72 uur aan het bedrijf melden.
Weerbaar maken
Eerder deze maand bleek uit het jaarrapport van techgigant Microsoft dat 5 procent van alle aanvallen door Russische hackers op ons land gericht zijn.
"De dreiging neemt toe", zegt ook De Bruycker. "Met dit initiatief willen we ook tonen dat België een betrouwbare gemeenschap van ethische hackers heeft. Ethische hackers worden vaak onterecht scheef bekeken terwijl ze ons net weerbaarder kunnen maken."
"Moeilijk om iets te vinden"
In totaal namen 32 professionele ethische hackers en 39 studenten deel.
"Het is best moeilijk om iets te vinden", vertelt de 20-jarige Kynan Van Looy op deze laatste dag van de marathon. Hij studeert Cloud en Cybersecurity met optie ethisch hacken aan de Thomas More Hogeschool in Geel. "Maar als je naar het scorebord kijkt, vonden andere mensen duidelijk wel al wat."
"Je mag systemen proberen te hacken waar je anders nooit toegang toe hebt. Dat is zeer uniek", zegt Logan Homolka, student industrieel ingenieur aan UHasselt (19 jaar). "Ik heb al iets gevonden, maar om veiligheidsredenen mag ik niet zeggen wat."
84 risico’s bij vorige editie
Tijdens de editie van vorig jaar werden 84 kwetsbaarheden gevonden. Een daarvan was een zogenoemde 'zero-day kwetsbaarheid'. Dat is een kwetsbaarheid die nog niet door de ontwikkelaar van een digitaal product werd ontdekt. "Dat we zoiets kunnen melden is heel impactvol", legt Johan Caluwé van het CCB uit. Hij controleert de kwetsbaarheden die gemeld worden.
"Het gaat om producten die door zowel onze overheidsinstellingen als organisaties in binnen- en buitenland gebruikt kunnen worden. Als de ontwikkelaar het gat kan dichten, is het product voor elke afnemer wereldwijd veiliger gemaakt."
Alle kwetsbaarheden die vorig jaar gevonden werden, werden in de week na het hackersevenement opgelost.
96 kwetsbaarheden
Tijdens deze editie vonden de hackers 96 kwetsbaarheden. "Over het soort kwetsbaarheden kunnen we nog niets zeggen", zegt Miguel De Bruycker, directeur van het CCB. "Het is belangrijk dat ze eerst worden gedicht. Zodat een hacker ze niet kan misbruiken om informatie te stelen of te wijzigen."
