Site van de Nederlandse politie slecht beveiligd

Normaal gesproken is de politie ervoor om de maatschappij tegen misstanden te beschermen, maar zelfs zichzelf beschermen is iets wat hen al niet zo goed lukt. Bezoeker Grote Neus stuurde ons namelijk het berichtje dat de site van de Nederlandse politie gehackt is. Onder de categorie raambiljetten konden naar hartelust regels toegevoegd worden door onbevoegden. Het resultaat:

Update: en het blijft niet bij bovenstaande actie. Bovenaan de nieuwsberichten is ook al iets toegevoegd door iemand die daar vast geen officiële rechten voor had.

Reacties (84)

[flipjevandejam]

hebben de digi-criminelen er toch wel meer dan 5 uur aan kunnen "sleutelen"

van 1700 (toen de post begon) tot ±2200 !!!

elke seconde telt..
.
.
.
.
.
behalve als het weekend is

[Gilles]

hebben de digi-criminelen er toch wel meer dan 5 uur aan kunnen "sleutelen

Nouja digi criminelen zijn dit echt niet hoor. Ik kon als ik wilde ook gewoon een nieuwsposting toevoegen etc. Zonder dat ik een keer de vraag om een password heb gehad. Lijkt me niet echt crimineel eigenlijk...

[Verwijderd]

Inderdaad. Ik heb ook ff gekeken (op advies van een T.net-bezoeker) en zag dat er geen slechte beveiliging is. Er is HELEMAAL geen beveiliging!

[Verwijderd]

Deze mensen schijnen verantwoordelijk te zijn voor de veiligheid van ict diensten bij oa de politie en ze zijn er nog trots op ook
www.ito.nl
Kwaliteit en doeltreffendheid zijn sleutelbegrippen in het functioneren van Justitie en de Nederlandse organisaties op het gebied van Openbare Orde en Veiligheid (OOV). Informatie en communicatie zijn pijlers, waarop die kwaliteit en doeltreffendheid mede zijn gebaseerd. ITO levert ICT-diensten aan de OOV-diensten en Justitie, waardoor zij kunnen beschikken over snelle, betrouwbare en veilige toepassingen en spraak- en datacommunicatie op het hoogste niveau.

ITO ontwikkelt zich tot full serviceprovider van ICT-infrastructuren, -systemen, applicaties en ICT-diensten. De kernaspecten van onze dienstverlening zijn:

Veiligheid en beslotenheid, waarmee we onze afnemers voorzien van veilige (besloten) en bedrijfszekere ICT-voorzieningen;
Synergie, samenhang en doelmatigheid, dat we bereiken door onder meer het concentreren van ICT-functies;
Keteninformatisering, waarmee we informatie-uitwisseling bevorderen.

[OpAmp]

Hoe lang is die site eigenlijk al operationeel? Want misschien zijn het emmm start-bugs, maar dat zal wel niet denk ik. Er waren al bijna 1 milj hits op de start page... maargoed, dat is natuurlijk ook een manier, geen beveiliging op een site, dat is veilig zolang niemand iets probeert

[xoror]

aan degene die dit op zijn geweten heeft:

ik zal eens een paar punten opnoemen waar je vast niet aan gedacht heb toen je dit deed.

1. je bent gelogged. (via IDS, dan wel niet http log etc..). Dat ze hun webpage niet in orde hebben, wil niet zeggen dat de beveiliging van het hele systeem kut is.

2. De politie doet *ALTIJD* aangifte. je bent dus hard genaaid.

3. T.net noemen , en er zelf op reageren is wel ERG stupid. ze kunnen je profile zo opvragen. (en t.net al dan niet 'dwingen' je IP af te staan. hiermee kunnen ze bij je ISP wel je gegevens krijgen) Als de methode bij 1 niets oplevert.

4. KLPD in z'n daglicht zetten is ook niet slim. Die gasten geven juist support aan politie teams mbt 'online-inbraken'

5. Denk aan de schade die de politie heeft opgelopen door je aktie. Dat is niet alleen de website offline, maar ook heel stuk imago dat naar de knoppe is gegaan.

...
...

en ik had nog wel even door kunnen gaan. Hier had je zeker niet aan gedacht he ? vind je het allemaal waard ??? straks heb je een strafblad etc.. FOR WHAT ??

nee, mijn advies is "neem een andere identiteit aan", want als ze je willen vinden is het zo gepiept...

nu voel je je niet zo stoer meer he ?

[edit typo]

[Laurent]

1. Het is niet hacken, nee nee, hacken is door een beveiliging heen gaan, de beveiliging "kraken". Dat is hierbij niet het geval want er is helemaal geen beveiliging.

Het lek is gemeld en ze waren er blij mee enzow, dus ws word er niemand hiervoor opgepakt, sterker nog ze zijn ons dus dankbaar dat wij d'r achterkwamen en dat iedereen zo 1,2,3 het kon misbruiken.

[Jaymz]

(want die bewaar je toch niet op een webserver, toch?)

Ik ben bang dat dat helaas wel gebeurd (is). Ik kan me vaag iets herinneren dat collega's van me redelijk wat "gevoelige" info op de site van (ik dacht) Albert Heijn hebben gevonden.

Zij zijn redelijk netjes geweest, en hebben dit gemeld. Volgens mij heeft dit wel in de krant gestaan (+/- een jaar geleden)

[update]

Wij hebben een applicate "controle Verzekerden recht" op het web draaien (redelijk veilig, ik ben SSL aan't uitzoeken) waar apothekers dmv het invullen van het polisnummer kunnen controleren of de persoon bij ons verzekerd is en hoe (incl. naw gegevens)

Nu is het niet bedrijfskritisch als dit in "onbevoegde" handen valt, maar netjes is het zeker niet.

[Laurent]

CGI Error
The specified CGI application misbehaved by not returning a complete set of HTTP headers. The headers it did return are:


Can't open perl script "D:\InetPub\wwwroot\www.politie.nl\cgi-bin\nieuws\add.pl": No such file or directory

Huh ?
D:\InetPub ? Dat is toch WinNT ?
Sjah nu moeten ze wel iemand gaan oppakken, met de handboeien om de monitor

[Jaymz]

EERSTE TEKSTBLOK ??? BEVEILINGEN!!!!
LEES ALLES OP TWEAKERS.net

HAHAHAHAHA
by me...

Is het slim op T.net hier te noemen ???

Ik denk het niet (maar da's meer voor de crew)

[Verwijderd]

Ik ben hier ook niet echt blij mee. Nu lijkt het net alsof we als site iets met de hack te maken hebben, terwijl alleen maar hier vermeldt wordt wat er gebeurd is.

Wie je ook bent: haal het aub weg.

[Gman]

Ze kunnen "ons" weinig maken.

Hooguit Femme bellen of hij iemand kent met een grote neus ofzo

[Jaymz]

Misschien wel, misschien niet. Maar nu de statistieken gereset zijn door bezoekers van T.net (wat uit de reakties valt uit te leiden) weet ik niet wat ze gaan doen.

IMHO kunnen ze T.net niet veel doen, maar ze kunnen wel om de gegevens van users vragen, en als dit in de dagbladen genoemd gaat worden (wat de vraag is) en T.net wordt in verband gebracht wordt het een ander verhaal. De publieke opinie tegen je is hoe dan ook irritant (ook al is het niet waar)

[Verwijderd]

* 786562 Mark

[AKA_ACE]

Pinokkio ook, maar of ze hem kunnen vangen........
Hmmmmmmmmm..............toch niet.

[kevin]

Ja dit is niet zo'n slimme zet van wie dan ook

[DJ]

hehe, dit is wel kewl

Zo zie je maar weer. De organisaties die het hartst schreeuwen over beveiliging zijn zo te kraken/hacken . . .

DJ

[TheGhostInc]

Ik vind dit net zoiets als snorretjes tekenen op gezocht posters..... beetje nutteloos.
De site heeft een puur informatieve functie en absoluut geen belangrijke/geheime inhoud, waarom moet die dan zo ontzettend scherp beveiligd worden.

* 786562 TheGhostInc

[Verwijderd]

Eigenlijk is dit helemaal niet zo mooi, allemaal info die nog tijdje geheim moet blijven komt zo ook weer vrij.

maar kunnen zo ook boetes enzo weggeschreven worden??
Dat zou wel leuk zijn

[henk jansen]

bij de politie is de database van boetes en dergelijke niet vanaf het internet beschikbaar. het gaat hier natuurlijk gewoon om een webpage hack. organisaties zoals de politie kunnen hun belangrijke gegevens nog niet aan het internet hangen.

uit eigen ervaring wet ik dat 9 van de 10 systeembeheerder op de politieburea's er inrerold is omdat ze wel interesse hadden in de pc. zo'n systeembeheerder kan wel een website bouwen maar weet vaak niet wat de onderliggende gevaren zijn en daarom zal voorlopig nog geen data er aangekoppelt worden.

als dit nu gebeurd bij de FBI dan noem ik dit wereldnieuws maar bij de nederlandse politie?? nee!

[Klein Duimpje]

Door een open deur naar binnen lopen noem ik nu niet echt hacken of inbreken

[Jaymz]

Dit valt volgens mij onder "Huisvredesbreuk" zoiets is er ook (of in de "maak") voor PC's: computervredebreuk.

Wanneer daar sprake van is zou IK niet weten, maar er is vast een slimme Tweaker die dit wel weet.

[Verwijderd]

Volgens mij valt het inbreken in een huis waarvan de deur open stond officieel gezien wel onder de categorie 'inbreken'.

[DynaMikeY]

Nee, inbreken is toegang forceren.

Dit valt onder de noemer 'insluipen' (wat overigens net zo strafbaar is)

[jochemd]

Nee, dan heet het "insluiping". Volgens mij is het echter zo dat voor computers geldt dat er wel een password o.i.d. op moet staan om duidelijk te maken dat de bezoeker weg moet blijven. Het lijkt mij dus dat er in dit geval niet gesproken kan worden van computervredebreuk

[mavink]

Heet dat geen insluip? Inbraak is volgens mij als er "braaksporen" zijn. Bij insluip krijg je bij de meeste verzekeringen ook geen cent terug

[Verwijderd]

Dank tik je na de inbraak zelf toch een ruitje in. Wel van buiten naar binnen tikken, anders staat dat ook zo lullig dat glas dat buiten ligt.

[Danny]

Erg lame manier van 'hacken'.
De boel verneuken lijkt me niet de manier om een veiligheidslek aan het licht te brengen. Dus mochten de hackers dit lezen: Stoere lui hoor *applausje*

[BrammeS]

En daar ben ik het helemaal mee eens dit is geen hacken meer dit is de boel verneuken....... stomme k*t scriptkiddieshackerwannabees

[Tom]

Wie zegt dat dit hacken is?? Ze zeggen gewoon dat het slecht beveiligd is (er is geen beveiliging), dat is IMO nog iets heel anders dan 'hacken'.