Het nieuws kwam vanmorgen naar buiten dat verschillende internetdomeinen van de Nederlandse politie verlopen zijn, waardoor het mogelijk was om DigiD-logins te stelen en malware bij gebruikers te installeren. Dit blijkt in ieder geval uit het onderzoek van Reporter Radio in samenwerking met beveiligingsonderzoeker Wouter Slotboom.
Slotboom ontdekte dat er bij de overstap van 300 verschillende politiewebsites naar het domein politie.nl diverse domeinnamen over het hoofd gezien waren. Daarnaast bleven veel wijkagenten verwijzen naar deze oude internetdomeinen, waarvan de registratie dus ook inmiddels is verlopen. Nog steeds worden in diverse uitingen en artikelen de politie naar deze domeinen verwijzen en hierdoor lopen mensen die op deze websites komen risico.
DigiD
Slotboom registreerde 15 van de verlopen domeinnamen en plaatste een kopie van de echte politiewebsite op drie van deze domeinen als demonstratie. Omdat het mogelijk is om online aangifte te doen, kon Slotboom de DigiD-logingegevens van gebruikers verkrijgen.
Om het voor de gebruiker zo echt mogelijk te laten lijken, had Slotboom ook een beveiligingscertificaat voor de websites geïnstalleerd. Hierdoor ziet de gebruiker bij het bezoeken van het domein een groene balk en lijkt de website authentiek en veilig.
Malware
Tijdens deze demonstratie laat Slotboom zien dat het mogelijk is om malware bij gebruikers te installeren door bijvoorbeeld te vragen of de bezoeker de flash-plugin wilt updaten. Wanneer diegene ook de malafide software-update download, installeren ze ook direct de malware.
Slotboom benadrukt dat de overheid miljoenen besteedt om te waarschuwen voor identiteitsdiefstal. “Juist een vertrouwde organisatie als de nationale politie zou hier scherper op moeten zijn”, aldus de beveiligingsonderzoeker.
Overdragen
Slotboom heeft al zijn bevindingen eind december van vorig jaar bij de politie gemeld en inmiddels zijn de domeinen van Slotboom aan de politie overgedragen.
“Ik ben blij dat ik dit heb gezien, het is heel belangrijk”, zegt Ron de Milde, de verantwoordelijke voor de overstap naar politie.nl. Volgens De Milde zijn de domeinen aan de aandacht ontsnapt: “Ik ben blij dat u ons in de gelegenheid heeft gesteld dit te herstellen.”
De politie zegt agenten erop te wijzen alleen nog maar naar politie.nl te verwijzen. Uit onderzoek van NU.nl blijkt echter dat er nog steeds naar oude domeinen wordt verwezen.
"Politiewebsites maakten kapen DigiD mogelijk"
Geen opmerkingen:
Een reactie posten