NCSC publiceert Wall of Fame met impactvolste overheidshackers

Het Nederlands Nationaal Cyber Security Centrum heeft een lijst gepubliceerd van ethisch hackers die de waardevolste kwetsbaarheden hebben aangedragen in 2024. In de lijst staan niet de specifieke kwetsbaarheden die zijn opgelost, maar het gaat onder andere om bugs in het Kadaster.

Een T-shirt voor ethisch hackers

Het Nationaal Cyber Security Centrum heeft voor de derde keer een Wall of Fame gepubliceerd. Daarin staan verschillende beveiligingsonderzoekers die in 2024 via responsible disclosure een bug hebben aangedragen bij het NCSC. Het NCSC is verantwoordelijk voor het bugbountybeleid van de Nederlandse Rijksoverheid. Een hacker die een kwetsbaarheid vindt op een website of dienst van bijvoorbeeld een ministerie, kan die melden bij het NCSC in plaats van het ministerie zelf.

De Wall of Fame bevat geen informatie over de specifieke kwetsbaarheden die gemeld zijn, maar alleen de namen van de hackers. Een daarvan, Chester van den Bogaard, stond al eerder op de lijsten. Een andere hacker, Jelle Ursem, is onder andere ook op Tweakers actief als Schizoduckie. We interviewden hem in 2022 over zijn werk als bugbountyjager.

Hoewel de specifieke kwetsbaarheden niet genoemd worden, zijn die van sommigen alsnog te vinden. Hackers Roel van Etten en Jules Huls, op Tweakers actief als ApexAlpha, beschreven eerder al publiek hoe ze afgeschermde Kadaster-data wisten te bemachtigen. Een andere kwetsbaarheid werd ontdekt door Alwin Peppels, die verkeerslichten op afstand kon bedienen en zijn bevindingen deelde met RTL Nieuws. Het NCSC zegt dat het een jury gebruikt om alle binnengekomen meldingen te beoordelen voordat ze op de Wall of Fame kunnen komen. Daarbij moet een bugmelding 'een grote impact hebben op de digitale veiligheid van Nederland', of moet er veel gevoelige data kunnen worden bemachtigd.

Het NCSC begon in 2022 met een Wall of Fame. Ethisch hackers die een bug aandragen krijgen geen geldbeloning, maar wel een T-shirt met daarop de tekst "I hacked the Dutch government and all I got was this lousy T-shirt". Hackers die op de NCSC-Wall of Fame komen te staan, krijgen een trui met daarop een iets andere tekst: "I am on the 2024 Wall of Fame of NCSC and all I got was this lousy hoody!"

Op de Wall of Fame staan de volgende hackers:

Alex Hornyai	LinkedIn
Alwin Peppels	-
Andreas Hauser	LinkedIn
Chester van den Bogaard	LinkedIn
Erik de Jong	LinkedIn
Jelle Ursem	Website
Jeroen van den Bosch	Linkedin
Jules Huls & Roel van Etten	LinkedIn & Website
Wrecker1602	-
Robin van Lutterveld	Linkedin
Wilfred Vos	Linkedin

Update 12.58 - Jelle Ursem werd in het artikel aanvankelijk per abuis Van Ursem genoemd.

Reacties (39)

[ApexAlpha]

Kost je 17 jaar maar dan sta je toch met je account in het artikel!

Moet zeggen ook kudo's voor NCSC en Kadaster destijds, ze pakten de melding zeer vlot op en binnen 2 dagen was alles gepatcht.

Zo een vermelding is altijd leuk dan.

Hackers die op de NCSC-Wall of Fame komen te staan, krijgen een trui met daarop een iets andere tekst: "I am on the 2024 Wall of Fame of NCSC and all I got was this lousy hoody!"

Wow, spoiler alert!

[Reactie gewijzigd door ApexAlpha op 30 januari 2025 10:06]

[Lisadr]

Gefeliciteerd! Wat ga je met jouw trui doen? Inlijsten of dragen bij sollicitatiegesprekken?

[ApexAlpha]

Nou meestal liggen ze fijn in de kast.

Héél af en toe naar een CTF of zo doe ik ze aan.

[CapnCrinkle]

Ach, ik gok dat het wel érg goed op je CV staat. Het is toch wel een genoteerde prestatie.

[wica]

Serieus goed werk van deze mensen en ook die niet genoemd worden.

Mijn enigste opmerking is, alles wat je krijgt is een T-Shirt, Goed voor je ego, maar rampzalig voor je hypotheek

Ander iets, wordt er na het ontdekken van een probleem en het oplossen er van. Ook een vervolg onderzoek gedaan. Naar hoe het kon ontstaan en waarom het niet door de commerciële pentester is gevonden?

[Silentek]

Op je laatste vraag: pentesten gebeurd vaak op bekende kwetsbaarheden, en bijna altijd geautomatiseerd.
echte hackers (dus niet die een script op het donkere web kopen), die zullen die kwetsbaarheden snel naast zich laten liggen en juist op zoek gaan naar de kwetsbaarheden die in dat soort testen niet naar boven komen.

In veel gevallen zijn dit dus nog onbekende of behoorlijk obscure kwetsbaarheden.
Als deze vaker voor komen, dan zal een pentest deze ook opnemen.
Maar lang verhaal kort: Als je daadwerkelijk wilt testen of iets veilig is, huur geen pentester in maar een paar ethische hackers.

[himlims_]

Zou eerder zeggen; begin met het laaghangend fruit via pentest. Heb je al die aanbevelingen toegepast, en wilt security niveautje hoger; huur dan etnische ethische hacker

@Wild Chocolate

[Reactie gewijzigd door himlims_ op 29 januari 2025 17:40]

[Silentek]

Je hebt uiteraard helemaal gelijk, ik was enigzins uitgegaan dat die stappen al gedaan waren.
Maar je hebt gelijk dat dit waarschijnlijk het juiste pad is. Vooral als je certificeringen wilt, dan is een pentest onmisbaar.

[Wild Chocolate]

Ik weet niet of je daar per se een etnische hacker voor nodig hebt. Op zich kan je het denk ik ook wel af met een gewone ethische hacker

[zuma]

Het eigendom van zo'n T-shirt of hoody mag best wel op je CV. Daar waar het relevant is kan het zeker van invloed zijn op de onderhandeling qua salaris. En kenners weten wat het betekent en het is altijd sowieso een leuk item dat zeker vragen gaat oproepen in een sollicitatiegesprek.

[wica]

Ik vond het niet de moeite waard om op mijn CV te zetten, maar is misschien wel een goed idee.

[c-nan]

Ik heb mijn shirt welgeteld 0 keer aangehad en ligt ergens stof te happen in de kast.

Wel heel trots een foto van genomen en op LinkedIn gedeeld

[Nox]

Shirt aantrekken bij salarisonderhandelingen.

[CivLord]

Mijn enigste opmerking is, alles wat je krijgt is een T-Shirt, Goed voor je ego, maar rampzalig voor je hypotheek

Alleen rampzalig voor je hypotheek wanneer je hiervoor je eigenlijke baan links laat liggen.

[Stroopwafels]

Leuk om zo extra credit te krijgen, de meeste ethical hackers waarderen dit het meeste als pronkwaarde.

Ik heb dit veel gedaan tussen 2016-2020 en ook veel van deze t-shirtjes ontvangen. Mijn meest bijzondere "trophy" is toch echt wel van de RDW; een kenteken plaat met HA-CK-ER erop (blind SQL injection op een subdomain van de RDW gevonden.)

[CH4OS]

Saillant detail: HA-CK-ER is geeneens een valide kenteken in NL...

[Stroopwafels]

Helaas is dat waar voor wie nieuwsgierig is heb ik een foto van de kenteken in mijn fotoalbum geüpload. https://tweakers.net/foto...2EkZdfKRQk32l7YqgQFkH.jpg

[Reactie gewijzigd door Stroopwafels op 29 januari 2025 13:09]

[Hansie9999]

Goh,

Nu vind ik persoonlijk toch dat de RDW dan had kunnen zorgen dat dit als bedankje dan toch wel echt een geldige plaat zou worden

Super cool om mee rond te rijden, (als je het dan leuk vind om een paar keer per maand het verhaal te vertellen aan een verkeersagent die je tegenhoud omdat je nummerplaat niet ok is )

[Halfscherp]

Had gekund met de kentekenplaat '11-AK-ER', is ook nog niet bezet. Helaas is 'H4-CK-3R' niet geldig. En daarnaast, wat geef je dan aan de volgende bounty? Haha.

[TijsZonderH]

Omg dat wist ik niet, dat is zo vet haha. Lijkt me ook leuker om naast je vijftien t-shirts te krijgen als je een beetje een serieuze bugbountyjager bent.

[Triblade_8472]

Pas maar op met het kenbaar maken, dadelijk worden ze 100x meer 'aangevallen' omdat alle ethische hackers zo'n gave plaat willen

[Hatsjoe]

Dan hebben ze hun doel bereikt. Het liefst heb je als bedrijf natuurlijk dat je door 1000 ethische hackers aangevallen wordt die allemaal een shirt of ander klein gebaar willen, dan door 1 bad actor die enorm veel schade toebrengt. Het is dan ook juist goed om dit naar buiten te brengen, stimuleert misschien meer etische hackers met een kritische blik te kijken

[SchizoDuckie]

*Jaloers*
Die staat ook nog echt op m'n wishlist maar tot nu toe nog niets van ze kunnen vinden (dus applaus!)

[metalmania_666]

Gave kentekenplaat. Ben benieuwd als je deze op je auto gebruit. Hij is tenslotte uitgegeven door het RDW

//serieus// Kudos voor jou en alle andere ethische hackers

[Nox]

Pluspunten als ze dit kenteken hadden uitgegeven. Al sta je waarschijnlijk wel regelmatig aan de kant denk ik.

[Aalard99]

Een goede hacker wordt niet zo snel gepakt 😀

[Nox]

Nouja, als je een politiewagen tegenkomt dan zien de inzittenden daarvan vlot dat er iets niet pluis is.

[kodak]

Als het een echt kenteken was geweest dan was het om meerdere redenen geen valide kado geweest en kon er waarschijnlijk zelfs aangifte worden gedaan vanwege onwettige aanmaak en uitgifte. Het zou dus vooral saillant zijn als ze een echt kenteken zouden uitgeven met tekens en opbouw die niet valide is.

[eazyq]

Vet om zo genoemd te worden. Ego boost +1

[oZy]

argh...!

"...die verkeerslichten op afstand kon bedienen..."

Dat de MSM dit zo vertalen uit ontwetendheid is tot daar aan toe maar hier verdient dit nuance!

"...die een bekende tekortkoming in een openbaar radio protocol heeft gebruikt om zich voor te doen als prioriteitsvoertuig (ambu, bus, etc)..."

By no means werden hier verkeerslichten op afstand bediend.

[yevgeny]

Ben eerlijk gezegd niet onder de indruk van deze hackers.

Voor het reverse engineeren van het tetra algoritme en publiceren van de 32 bits backdoor door medewerkers van midnightsky heb ik meer bewondering.

[Reactie gewijzigd door yevgeny op 29 januari 2025 17:15]

[SchizoDuckie]

Ohnee. Hoe ga ik nu slapen vannacht

[CodeAsm]

in je mooie T-shirt natuurlijk

[nicenemo]

gewoon op die ferry stappen en in slaap laten wiegen. Dagje London en dan weer terug.😂.

Gefeliciteerd. Ik sta niet op de lijst, maar heb bij interne hack challenges 2x een paar BOL bonnen gewonnen.

[metalmania_666]

Dus jij kan het beter?

Ik iig niet en ben er wél van onder de indruk

[Skit3000]

Goed werk, allemaal!

[Robru1]

Geweldig!

[Dark Angel 58]

Wel moedig dat rest gewoon hun naam heeft vermeld, want ik zie 1 nickname op lijst.

LOL, sorry Alwin Peppels… ik dacht dat je naam vals was, want het klonk beetje grappig en bovendien dat er geen LinkedIn op lijst was vermeld.Ik controleerde het op internet en zag je foto met naamsvermelding en ik heb ook zijn LinkedIn profiel gevonden.

[Reactie gewijzigd door Dark Angel 58 op 29 januari 2025 14:23]

[boner]

ik mis de naam van Victor Gevers.
Co-founder at Dutch Institute for Vulnerability Disclosure The Hague
https://www.linkedin.com/...llCorrectionEnabled=false