Zijn nu al je gegevens gehacked? Verschillende websites offline door PHP-lek

Waarom websites uit voorzorg op zwart gaan

De onrust volgt op waarschuwingen over ernstige kwetsbaarheden in PHP, software waarop veel websites draaien. Verschillende diensten werden uit voorzorg onbereikbaar gemaakt. Ook Smartschool werd offline gehaald na de waarschuwing over het mogelijke veiligheidslek. Voor ouders en leerlingen betekent dat vooral dat vertrouwde schoolcommunicatie plots wegvalt.

Een website tijdelijk afsluiten kan een beschermingsmaatregel zijn. Beheerders proberen daarmee te voorkomen dat aanvallers een zwakke plek benutten terwijl een beveiligingsupdate wordt voorbereid of geïnstalleerd. Het tijdelijk offline halen van kwetsbare systemen behoort ook tot de maatregelen die cybersecurityspecialisten bij deze waarschuwing naar voren schuiven. Zo’n ingreep zegt op zichzelf niets over een geslaagde inbraak.

Zijn je gegevens dan gestolen?

Nee, een website die offline gaat door een beveiligingsprobleem betekent niet automatisch dat je gegevens gestolen zijn. Een kwetsbaarheid is een zwakke plek die mogelijk misbruikt kan worden. Een geslaagde aanval betekent dat iemand die mogelijkheid daadwerkelijk heeft benut. Om vast te stellen of daarbij persoonsgegevens zijn bekeken of buitgemaakt, is onderzoek nodig.

Vergelijk het met een slot waarvan een fout wordt ontdekt. Dat slot vervangen is verstandig, maar de fout bewijst nog niet dat er iemand in je huis is geweest. Andersom bewijst het afsluiten van de website ook niet dat alles voordien veilig was. Daarvoor moeten beheerders onder meer onderzoeken welke systemen geraakt zijn en welke sporen er zijn achtergebleven.

Let daarom goed op de formulering van een bericht. ‘Uit voorzorg offline’ heeft een andere betekenis dan ‘onbevoegde toegang vastgesteld’. Ook ‘nog geen aanwijzingen voor misbruik’ is geen definitieve garantie. Het beschrijft wat op dat moment bekend is; verder onderzoek kan meer duidelijkheid geven.

Een datalek gaat over meer dan gestolen informatie

Bij het woord datalek denk je waarschijnlijk aan wachtwoorden die op straat liggen. Maar een inbreuk op persoonsgegevens kan ook gaan over informatie die verloren gaat, onrechtmatig wordt gewijzigd of onbeschikbaar raakt. Niet ieder beveiligingsprobleem is dus een datalek, en niet ieder datalek betekent dat criminelen gegevens hebben gekopieerd.

Wanneer een vastgesteld datalek waarschijnlijk een hoog risico voor jou oplevert, moet de verantwoordelijke organisatie je vanaf het begin zonder onnodige vertraging informeren. Er bestaan uitzonderingen, bijvoorbeeld wanneer effectieve versleuteling de gegevens beschermt. Geen persoonlijke waarschuwing ontvangen is daarom op zichzelf geen bewijs dat er niets is gebeurd.

Moet je meteen je wachtwoord veranderen?

Alleen een onbereikbare website is onvoldoende reden om te besluiten dat je wachtwoord gestolen is. Controleer eerst de officiële communicatie van de dienst. Komt er een oproep om je wachtwoord opnieuw in te stellen, volg die dan via de vertrouwde website of app zodra die veilig beschikbaar is.

Gebruik je hetzelfde wachtwoord op meerdere plaatsen, dan is het verstandig daar unieke wachtwoorden van te maken. Daarmee voorkom je dat een buitgemaakt wachtwoord ook andere accounts openzet. Schakel waar mogelijk tweestapsverificatie in. Die extra beveiliging helpt je account beschermen, maar kan geen zwakke plek in de servers van een aanbieder herstellen.

Let vooral op berichten die je onder druk zetten

Wees voorzichtig met een onverwachte mail of sms die beweert dat je door de storing onmiddellijk opnieuw moet inloggen. Een bericht over ‘je account redden’ of ‘je gegevens veiligstellen’ kan bedoeld zijn om je naar een valse inlogpagina te lokken. Open zelf de bekende app of typ het vertrouwde adres in, in plaats van zomaar de meegestuurde link te volgen.