Tweaker ontdekte admingegevens Azure-ontwikkelomgeving Belastingdienst op GitHub

Een medewerker van de Belastingdienst bewaarde admincredentials van een server van de ontwikkelomgeving in een openbare Git-repository. Dat werd door tweaker SchizoDuckie ontdekt, die dat vervolgens via responsible disclosure bekendmaakte bij de instantie.

Op 15 november trof whitehat-hacker SchizoDuckie een publieke repository aan op GitHub van iemand die bij de Belastingdienst werkt. Daar vond hij onder andere Continuous Integration-scripts gerelateerd aan de ontwikkelomgeving van de instantie. Hier werd zowel de gebruikersnaam als het wachtwoord aan een curl-commando gegeven om zo een andere Git-repository te clonen. Toen hij dat spoor volgde, kwam hij terecht bij meer hardcoded wachtwoorden in de privé-GitLab-repository van de desbetreffende Belastingdienst-medewerker.

SchizoDuckie toont op Twitter een chatgesprek waarin hij uitlegt wat er vervolgens gebeurde. Hij besloot de relevante repositories te clonen voor verder onderzoek en meteen de Belastingdienst in te lichten. Tijdens het opstellen van een e-mail naar de securityafdeling van de instantie besloot hij nog even naar 'password' te zoeken in de privéomgeving van de medewerker om daar screenshots te maken voor de e-mail. Zo stuitte hij op de admincredentials voor de Microsoft Azure-testomgeving waar deze infrastructuur gehost werd.

Een inlogpoging leerde SchizoDuckie dat het geldige gegevens waren, maar het account was beveiligd met meerfactorauthenticatie. Tot zijn verbazing werd de inlogpoging echter bevestigd door de eigenaar van het account. Omdat hij niet van plan was daadwerkelijk de server binnen te komen, sloot hij het venster en lichtte hij de Belastingdienst in.

In de repositories trof SchizoDuckie ook een telefoonnummer aan dat de Belastingdienst-medewerker gebruikte voor authenticatie op een iCloud-account. Na enige tijd besloot de tweaker de medewerker zelf op te bellen, om hem te helpen alle veiligheidsproblemen op te lossen. Daarna bevestigde het Security Operations Center van de Belastingdienst dat de melding was ontvangen en de problemen waren opgelost.

SchizoDuckie zegt tegen Tweakers dat hij rond 17.00 uur 's middags de eerste e-mail stuurde en dat hij rond 22.30 uur 's avonds de eerste melding van het SOC kreeg dat er zaken opgeruimd waren. De betreffende medewerker heeft SchizoDuckie nog teruggebeld en bedankt voor zijn hulp. De medewerker heeft geen adminprivileges meer, kon fluiten naar een salarisverhoging, maar heeft zijn baan behouden. Voor zijn melding kreeg SchizoDuckie een 'I hacked the Dutch Tax Administration and never got a refund'-bokaal.

De Belastingdienst bevestigt tegenover Tweakers dat SchizoDuckie toegang had tot een ontwikkelomgeving van de instantie: "Er is intensief contact geweest tussen het Security Operations Center van de Belastingdienst en SchizoDuckie over de melding die door hem is gedaan. Door een menselijke fout kon SchizoDuckie toegang krijgen tot deze ontwikkelomgeving. De Belastingdienst heeft SchizoDuckie de ruimte gegeven om hierover te publiceren. De Belastingdienst wil namelijk bewustzijn creëren voor het feit dat zelfs met multifactorbeveiliging, de mens een zwakke schakel kan zijn."

SchizoDuckie is positief over de toestemming van de Belastingdienst om zijn verhaal naar buiten te brengen: "Veel van wat ik doe breng ik überhaupt niet naar buiten, maar zonder af en toe de publiciteit te zoeken, verandert er nooit iets aan de bewustwording van nerds over de hele wereld. Het is niet eens zeldzaam om Azure-admincredentials tegen te komen als je eenmaal weet hoe je de GitHub search engine moet gebruiken. Alsjeblieft, stop met het uploaden van je wachtwoorden naar GitHub, en probeer ook zelf eens je eigen bedrijfsnamen en domeinnamen op te zoeken om te kijken wat er allemaal over jouw organisatie te vinden is."

Volgens de Belastingdienst heeft SchizoDuckie geen toegang tot persoonsgegevens of fiscale informatie van burgers gehad: "De omgeving waar SchizoDuckie toegang toe had verkregen, is een ontwikkelomgeving waarin geen persoons- en fiscale gegevens aanwezig zijn. Er is dus ook geen sprake van een datalek voor de AVG", aldus de woordvoerder. De woordvoerder benadrukt ook dat de melder zich keurig aan de afspraken over het melden van beveiligingslekken heeft gehouden.