120 hackers vallen digitale beveiliging Den Haag aan

120 ethische hackers hebben op maandag 5 oktober, de digitale infrastructuur van de gemeente Den Haag onder de loep genomen. Vanuit het Atrium van het stadhuis probeerden studenten en professionele hackers de systemen binnen te dringen tijdens de zevende editie van Hâck The Hague. Er zijn in totaal 125 meldingen ingediend. Het grootste deel van de meldingen is dezelfde dag nog opgelost. De gevonden kwetsbaarheden waren onder andere achterstallige updates of misconfiguraties bij leveranciers.

Adeel Mahmood, wethouder Dienstverlening bij de gemeente Den Haag: “In een samenleving die in rap tempo digitaliseert is digitale veiligheid een belangrijke voorwaarde voor betrouwbare dienstverlening aan onze medewerkers, inwoners en ondernemers. Wij zijn voortdurend bezig met het verbeteren van de veiligheid van onze systemen. Dat kunnen we niet zonder de menselijke creativiteit van zowel eigen security experts als eerlijke hackers. Dat is best spannend maar levert tegelijkertijd veel nieuwe inzichten op die ons enorm helpen. Dat blijkt ieder jaar weer tijdens Hack The Hague.”

Chain Reaction in cyber security

Het thema van deze zevende editie is chain reaction (kettingreactie). In de cybersecurity verwijst een chain reaction naar een aanval waarbij verschillende kleine, op zichzelf staande kwetsbaarheden of acties slim achter elkaar worden gecombineerd. Het eindresultaat is veel groter en schadelijker dan de losse acties.

Hackers gebruiken deze techniek om verdedigingssystemen te omzeilen. De hacker breekt vaak in via een relatief onschuldige kwetsbaarheid, zoals een verouderde plug-in op een website of een ‘ge-phishte’ medewerker met minimale rechten. Vanuit die positie zoekt de aanvaller naar een tweede fout, zoals een verkeerde configuratie van een systeem of een script dat met beheerdersrechten draait. Door de eerste toegang te gebruiken om de tweede fout te triggeren, kan de hacker soms maximale rechten krijgen. Dat is een situatie die iedere organisatie wil voorkomen.

Met dit thema legt Hâck The Hague dit jaar extra nadruk op hoe kleine, ogenschijnlijk onschuldige kwetsbaarheden samen tot grote risico’s kunnen leiden. Dat laat zien waarom het testen van volledige ketens van systemen minstens zo belangrijk is als het testen van losse onderdelen.

Gevonden kwetsbaarheden en prijzen

Er zijn dit jaar verschillende geldprijzen uitgereikt in de categorieën Most Creative Hack, Most Sophisticated Hack, Most Impactful Hack en The Hackademic Award, aangevuld met twee bonusprijzen: Best Use of AI en Best Report. In totaal is er € 17.000 aan prijzengeld uitgekeerd.
Lilian Knippenberg, CISO bij de gemeente Den Haag: “We zijn ontzettend blij met alle bevindingen van deze editie. Hackers kijken met een frisse, kritische blik naar onze systemen en dat levert inzichten op die we zelf niet altijd zien. Een deel van de meldingen hebben we met het team deze dag al kunnen oplossen, ook samen onze leveranciers. Digitale veiligheid is een verantwoordelijkheid van ons allemaal. Ook dat wordt met Hâck The Hague ieder jaar weer onderstreept.”

Grote opkomst

Er deden dit jaar 120 hackers mee, waaronder studenten en professionele hackers. Van het totaal waren er 80 professionele hackers en 40 student hackers. In de digitale samenleving staat elke organisatie dagelijks bloot aan risico’s van cybercriminaliteit. In de fysieke wereld is het duidelijk waar de bevoegdheden van een gemeente liggen. In de digitale wereld is dat vaak nog pionieren. Tijdens Hâck The Hague krijgt de gemeente Den Haag een frisse blik van buiten op eigen gemeentelijke ICT-systemen. Bovendien draagt deze wedstrijddag bij aan het enthousiasmeren van studenten voor een carrière in cybersecurity. Dat is hard nodig omdat de vraag naar cybersecurity-specialisten komende jaren verder toeneemt.