Ivanti-lek gaf hackers toegang tot personeelsdata Dienst Justitiële Inrichtingen

Ook de Dienst Justitiële Inrichtingen is getroffen door een datalek. Hackers zouden daarbij gegevens van medewerkers hebben gestolen. Ook kunnen onbevoegden mogelijk de mobiele apparaten op afstand bedienen.

De oorzaak ligt bij een actief misbruikte kwetsbaarheid in Ivanti-securitysoftware, CVE-2026-1281. Daardoor hadden aanvallers ten minste vijf maanden toegang tot de Ivanti Endpoint Manager-server van de Dienst Justitiële Inrichtingen, blijkt uit onderzoek van Argos. Van daaruit hadden ze toegang tot een database met personeelsgegevens van medewerkers. Het gaat om hun zakelijke telefoonnummers en e-mailadressen en om (beveiligings)certificaten. Het is volgens Argos nog onduidelijk of ook locatiegegevens zichtbaar waren. Die worden normaal gesproken wel opgeslagen in deze database.

Ivanti EPMM wordt door de DJI en veel andere (overheids)organisaties gebruikt voor het beheer van hun zakelijke mobiele telefoons. Zo is het mogelijk om op afstand apparaten te wissen en updates uit te voeren. Het Nationaal Cyber Security Centrum waarschuwde eerder deze maand al dat de kwetsbaarheid het mogelijk maakt om 'data te stelen of controle over het systeem te verkrijgen'. Eerder werd al bekend dat er door de kwetsbaarheid in Ivanti ook gegevens zijn gestolen van de Nationale Rechtspraak en van de Autoriteit Persoonsgegevens.

Hoewel er inmiddels een patch beschikbaar is voor de kwetsbaarheid, helpt dat volgens het NCSC niet volledig tegen systemen die al zijn gecompromitteerd. "De actoren kunnen namelijk een achterdeur op het systeem hebben geplaatst." Het is daardoor mogelijk dat de onbevoegden nog steeds toegang hebben tot de server. Dat kan volgens het NCSC alleen worden verholpen door het systeem volledig te resetten.

Ivanti EPMM

Reacties (34)

[Triblade_8472]

Je zou bijna zeggen dat het een goed idee zou zijn om in Nederland, of de EU, een veilig eigen alternatief te ontwikkelen. Volledig open source en zeer regelmatig gechecked door auditors.

Dat èn minder zaken aan elkaar knopen en via het web toegankelijk hebben. Ja, dan lever je in op gemak, is dat erg?

[Luchtbakker]

Ivanti heeft een leger aan devs en hackers in dienst dat dag in dag uit op zoek is naar lekken als deze. En jij denkt dat wijzelf hetzelfde kunnen bouwen met minder risico's?

[xavierk]

Heb je daar een bron bij? Ivanti heeft na overname door private equity juist veel security experts ontslagen en sinds 2021 plukken ze daar de wrange vruchten van:

https://techcrunch.com/2026/02/23/vpn-flaws-allowed-chinese-hackers-to-compromise-dozens-of-ivanti-customers-says-report/

The previously unreported breach is the latest example of how acquisitions, layoffs, and cost-cutting driven by private equity firms helped to compromise the quality and security of Ivanti’s most critical technologies. After private investment giant Clearlake Capital Group acquired Ivanti in 2017, Bloomberg reported rounds of cuts — particularly in 2022 — affecting employees who had deep institutional knowledge of the company’s products and their security.

[SunnieNL]

Je bron is niet up-to-date gezien Bloomberg het artikel heeft aangepast. Gezien ik zelf bij Ivanti werk kan ik er niet zo veel over naar buiten brengen (normaal geef ik ook geen reactie op artikelen waar mijn werkgever zelf in voor komt). Maar meer over onze respons kun je vinden in de update bij Bloomberg: netwerk Pulse Secure gehackt via kwetsbaarheid in eigen vpn-software - update - Security.NL of de originele bron, het Bloomberg artikel.

Mocht Tweakers vragen hebben, dan weten ze mij te vinden en kan ik ze doorzetten naar onze woordvoerders.

[Reactie gewijzigd door SunnieNL op 27 februari 2026 11:53]

[Mosterd]

Aandeelhouders moeten ook wat verdienen

[Danfoss]

open source en gechecked door auditors zegt niet zo heel veel. De .xz hack is daar een goed voorbeeld van Wikipedia: XZ Utils backdoor

[Klauwhamer]

Aansluitend hier op: het is ook niet voor niets dat supply chain "features" opgenomen zijn in de OWASP-10 voor 2025.

[MeNTaL_TO]

Of voor mensen die liever een YT er over willen kijken
YouTube: The Internet Was Weeks Away From Disaster and No One Knew

[xzaz]

Niet de sterkste video. Ze maken een video over iets wat niet gebeurd is.

[GeleKoplamp]

Wat net op tijd is ontdekt. Maar denk inderdaad dat als dit wel was gebeurd, de video nog veel sterker was geweest

[SunnieNL]

Het internet is continue op 5 voor 12 voor een disaster terwijl niemand er iets van af weet.

[Sp3ci3s8472]

Die hack had een langdurige opzet van 2.5 jaar; met een groot deel van die tijd besteed aan social engineering.

Juist doordat het opensource is is het gevonden en koste het ze zoveel moeite en werk om de code en hack te verstoppen.

[GertMenkel]

Of er nou een kwetsbaarheid zit in een Europees asset-managementsysteem of een Amerikaanse asset-managementsysteem maakt niet zoveel uit, de kwetsbaarheid blijft erin zitten. Open source is mooi (en publieke investeringen zouden ook open source moeten zijn, vind ik) maar biedt weinig extra vrijwaring tegen bugs.

[Donstil]

Je zou bijna zeggen dat het een goed idee zou zijn om in Nederland, of de EU, een veilig eigen alternatief te ontwikkelen. Volledig open source en zeer regelmatig gechecked door auditors.

Nou he, dan zou het magisch ineens allemaal opgelost zijn. Want in een Eu alternatief gaat natuurlijk geen kwetsbaarheden zitten

[kr4t0s]

In open source zitten ook genoeg kwetsbaarheden soms tientallen jaren lang.

[Xilonz]

Misschien denk ik als buitenstaander te simpel, maar waarom word er niet door bedrijven/organisaties meer gebruik gemaakt van vpns of vergelijkbare oplossingen. Dat geeft je 1 centrale plek om alle toegang van buitenaf te controleren.

Al die verschillende software lekker open op het internet gooien is toch vragen om dit soort problemen?

[barbarbar]

vpn's zijn ook regelmatig in het nieuws (geweest) met bugs waardoor ingelogd kon worden. Meest bekend was denk ik wel de overflow in openssl, waardoor je alle admin sessies zo kun uitlezen. Een vpn is in dat opzicht niks veiliger dan een single-sign on systeem.

[Pasteis]

Misschien denk ik als buitenstaander te simpel, maar waarom word er niet door bedrijven/organisaties meer gebruik gemaakt van vpns of vergelijkbare oplossingen. Dat geeft je 1 centrale plek om alle toegang van buitenaf te controleren.

Al die verschillende software lekker open op het internet gooien is toch vragen om dit soort problemen?

Dat lijkt mij ook een goede stap te zijn. Maar ook binnen het eigen netwerk moet informatie gewoon veel beter beveiligd worden. Persoonsgegevens misschien encrypten? Exports beperken of met een multifactor of 4-ogen principe beveiligen? Of minstens en deel ervan? En bij gebruik altijd decrypten?

Oke, het zal niet de meest snelste manier zijn, maar wel veiliger dan plain text. En een extra hobbel zijn om gevoelige data bloot te stellen.

[xavierk]

Ivanti is juist via een lek in hun VPN software Pulse "Secure" in 2021 ook al gecompromitteerd, met 119 andere organisaties die gebruikmaakten van Ivanti's VPN. Dat hebben ze vervolgens 5 jaar lang stilgehouden:

https://techcrunch.com/2026/02/23/vpn-flaws-allowed-chinese-hackers-to-compromise-dozens-of-ivanti-customers-says-report/

In February 2021, software giant Ivanti discovered that Chinese hackers had breached the network of Pulse Secure, one of its subsidiaries that provided VPN appliances to dozens of companies and government agencies around the world, according to new reporting by Bloomberg.

The hackers exploited preexisting vulnerabilities in Pulse Secure’s VPN software to plant a backdoor, Bloomberg reported, citing Ivanti’s chief security officer at the time and other sources. The backdoor allowed the hackers to gain access to 119 other unnamed organizations that used the company’s same VPN product.

[Blokker_1999]

Met deze tool beheer je net je apparaten. Het is een gecentraliseerd platform van waaruit je bijvoorbeeld je policies kunt beheren, configuratie kunt doorsturen of applicaties kunt installeren. En als je dat kan, dan kan je dus bijvoorbeeld een kleine aanpassing aan apparaten maken waarmee die apparaten zelf naar huis gaan bellen om zo een toegangspoort te maken voor de aanvaller om in je netwerk in te breken.

Dat maakt opsporen en tegenhouden enorm moelijk. Niet onmogelijk, maar wel moeilijk.

En omdat deze tool ook in staat moet zijn om mobiele apparaten zoals iPhones en Android telefoons te beheren, moet de tool zelf dus wel op het internet kunnen draaien, want die mobiele apparaten moeten weer in contact kunnen komen met deze tool.

[vuilputje]

Aanbieders van publieke VPN-software opereren vanuit juridisch wonderlijke locaties. Ik begrijp nog steeds niet goed waarom daar zoveel vertrouwen in is. Bruce had daar een mooi stukje over een paar jaar geleden: https://www.schneier.com/blog/archives/2021/06/vpns-and-trust.html

Ik heb zelfs al eens met de inspector van de browser gezien dat NordVPN gewoon javascript-meuk toevoegt. Het is vast voor de "verrijking van de websurf-ervaring", maar ik vertrouw het voor geen meter.

Natuurlijk met uitzondering van the-good-guys :)

[Asitis]

"Zero trust architecture" krijgt zo wel een nieuwe betekenis

[eheijnen]

Het internet: een vloek en een zegen in één ! ....

[MrXzombie]

Elke bewaarder die ook klant was/is bij Odido mag elke avond wel even controleren of de deuren goed op slot zitten. Je zou maar net iets hebben gedaan wat een crimineel niet leuk vind, die weet nu meteen waar je huis woont en op basis van adres ook meteen wie je partner en kinderen zijn.

[Lord Anubis]

Als je weet dat de hack er is; waarom wachten met het systeem te resetten. Of nauwkeurig door lopen op deze backdoor’s, een week geen of beperkte toegang is beter dan de data in gevaar laten met wederom dat er info op straat ligt of komt te liggen.

[CuBras]

Helaas zijn dit belangen van bedrijven/managers/directeuren/klanten...

In de always-online wereld van tegenwoordig is er gelijk paniek als "een dienst" het niet meer doet.
Wat volgt is een shitstorm aan vergaderingen waarin iemand op het matje wordt geroepen want de dienstverlening komt in gevaar..
Money always wins ..

/r.

[Sebas1979]

Waarom denk je dat dat bij DJI, RvdR en AP niet gebeurd is?

[marcelvb]

Worden we nu eigenlijk wel veiliger van dit soort control-freakerige security oplossingen die heel erg diep in je OS en devices geïntegreerd zijn en alle toegang centraliseren? Je probeert een probleem op te lossen, maar je krijgt er andere problemen voor terug.

Als ik "zero trust architecture" zie, dan snap ik daar eigenlijk ook niks van. Je hebt zero trust in je personeel? Of in je telefoons? Of in je telefoon OS? Of je moet je security leverancier niet vertrouwen?

[Linux_Aries]

De beste oplossing is: Alles op papier doen en weg met het Internet .

[fc Wu Utd]

En dan jouw reactie moeten missen? Dat nooit! ;)

[Dutchzilla]

Kan gewoon een brief schrijven aan jou.

[kujinshi]

Dan gaat de snelheid uit de maatschappij en is nieuws weer iets van dagen geworden.

[Hawkysoft]

"Dat kan volgens het NCSC alleen worden verholpen door het systeem volledig te resetten."

Zolang ze niks hebben kunnen wegschrijven op bepaalde plaatsen wat opnieuw wordt geladen.. denk bijv. aan bootsector. Misschien ver gedacht, maar mensen die dit soort hacks uitvoeren zijn wss niet de daily scriptkids. En beter voorkomen dan genezen, aangezien het remote code execution was en het hier wel om de veiligheid gaat van zowel nieuw als bestaand personeel..

Ten minste 5 maanden,,, late update naar 12.5.0.0? Want die was gereleased in april 2025

[Grimm]

Misschien moeten we maar eens stoppen om belangrijke zaken aan een netwerk te knopen.
Desnoods weer terug naar pen en papier of een ouderwetse typemachine.
Het lijkt wel schering en inslag met data breaches overal.
Of zeg ik nu wat geks...