Ministerie van Financiën is getroffen door een cyberincident

Het Nederlandse ministerie van Financiën is getroffen door een cyberincident. Het ministerie spreekt zelf over 'ongeautoriseerde toegang tot systemen voor primaire processen'. Het is nog onduidelijk of er bijvoorbeeld data gestolen is en wie verantwoordelijk is voor het incident.

Het incident vond op 19 maart plaats bij het beleidsdepartement, aldus het ministerie. Het ministerie heeft de toegang tot de getroffen systemen vandaag geblokkeerd en doet inmiddels onderzoek naar het incident.

Het is niet duidelijk welke systemen er precies getroffen zijn en of het om een gerichte cyberaanval gaat. Het ministerie benadrukt dat de dienstverlening zoals de Belastingdienst, Douane en Toeslagen voor zowel burgers als bedrijven niet verstoord is door het incident.

Reacties (27)

[itsme]

De trivy hack is ook van de 19e: nieuws: Aanvallers verstoppen infostealer in kwetsbaarhedenscanner Trivy
Daar is gister/vandaag een nieuwe wave bij gekomen: https://www.stepsecurity.io/blog/trivy-compromised-a-second-time---malicious-v0-69-4-release

[Anonymoussaurus]

Die wave is er niet vandaag bijgekomen, maar enkel vandaag bekend gemaakt.

[itsme]

Volgens Aqua zelf was er wildegelijk een nieuwe wave met nieuwe activiteit de 22e:

https://www.aquasec.com/blog/trivy-supply-chain-attack-what-you-need-to-know/

"the team identified additional suspicious activity on Sunday, March 22nd, involving unauthorized changes and repository tampering."

[Anonymoussaurus]

Je hebt gelijk, gisteren vond het plaats en vandaag zijn ze met een statement gekomen: https://github.com/aquasecurity/trivy/security/advisories/GHSA-69fq-xp46-6x23. Maar dat zei ik ook: die wave vond niet vandaag plaats maar gisteren, vandaag is het bekend gemaakt.

[Reactie gewijzigd door Anonymoussaurus op 23 maart 2026 19:04]

[Anonymoussaurus]

Wel interessant dat het incident zich donderdag afspeelde, want toen kwam ook naar buiten dat een aanvaller een malware-injected release heeft kunnen doen namens Trivy, in andere woorden een supply-chain attack. Dat gebeurde namelijk donderdag en kwamen ze bij Trivy pas 3-12 uur later achter: https://github.com/aquasecurity/trivy/security/advisories/GHSA-69fq-xp46-6x23

[Lord Anubis]

supply-chain attack.. Vind ook dat bedrijven en instanties er te veel afhankelijk van zijn. Wederom 1 landelijke instantie die dit allemaal regelt en beheert onder 1 onafhankelijke ministerie die niet laat beïnvloeden door welke politieke kleur of budget.

Terzijde vind ik ook dat iedere partij ( idg Aqua en met het docker image) een soort alarm knop moet hebben die iedere afnemer gelijk bericht hierover. Toch ook wel apart, als ik het goed begrepen heb, is er dus een docker of iig een update uitgevoerd. Nooit getest? Niet de communicatie die er toen al was begrepen?

[Reactie gewijzigd door Lord Anubis op 23 maart 2026 18:51]

[Mmore]

En dan? Als er bij de leverancier van zo'n "onafhankelijk ministerie" dan wat mis gaat dan heb je precies hetzelfde nieuwsartikel als nu, alleen dan met alle ministeries die geraakt zijn?

Ergens moet er geaccepteerd gaan worden dat incidenten altijd kunnen voorkomen, en dat het vooral een kwestie is van hoe incidenten worden afgehandeld. Werd de aanval vroegtijdig opgemerkt bijvoorbeeld? En werd de schade beperkt? Dat zijn veel belangrijkere aspecten dan iets proberen volledig veilig te krijgen (waarmee ik niet zeg dat je het dan maar moet opgeven trouwens, maar juist het hebben van meerdere stapelende beheersmaatregel zou hopelijk moeten leiden tot een beperking van de schade bij incidenten).

Dit nieuwsartikel zegt eigenlijk nog helemaal niets over of en zo ja, welke schade er is ontstaan uit het incident, maar ondertussen is heel het land al in rep en roer.

[Lord Anubis]

vanuit de bron, dus niet dit artikel. lees daar maar dat ze er al mee bezig waren voor de attack.

ook zal de kennis groeien bij 1 departement waardoor minder kosten en meer controle , ipv externe ondersteuning.

[Reactie gewijzigd door Lord Anubis op 23 maart 2026 18:57]

[angushansen]

bro...het aantal cyberaanvallen de afgelopen paar weken is niet normaal...ministerie van financiën, justitiële ICT organisatie, signal en whatsapp phishing, digid ddos, crunchyroll/telus lek, odido, veeam en ivanti, etc etc etc

[peregrine101]

Het ministerie houdt zich heel erg op de vlakte over de aard van de aanval. Ik hoop niet dat dit een tweede odido wordt, waarbij er steeds meer duidelijk wordt over de gestolen informatie en het steeds een stukje erger blijkt. Ongeautoriseerde toegang op primaire processen klinkt vrij onheilspellend. We zullen moeten gaan zien wat er verder nog naar buiten gaat komen. Ten eerste welke afdelingen zijn getroffen en welke data daar gebruikt wordt. Daarna zien wat er eventueel is gestolen of ingezien. Ook is natuurlijk interessant hoe ze binnen gekomen zijn, maar dat is zelfs bij odido nooit helemaal duidelijk geworden, voor zover ik weet.

[Homer J.Simpson]

Ik ben heel benieuwd wat hier uit gaat komen en ben vooral benieuwd of de logging op firewalls en andere netwerkhardware fatsoenlijk ingeregeld was.

Misschien leuk om hier een poll voor op te zetten? €10,- op “Nee” voor mij…

[Kalief]

Als ze maar niet mijn belastingaangifte hebben gestolen. Anders zouden ze illegaal mijn belastingaanslag kunnen gaan betalen. 😱

[YGDRASSIL]

Ze veranderen hooguit het rekeningnummer als je terug zou krijgen...

[Ruben279]

Maar dan moet je ook al aangemeld zijn met DigiD of eHerkenning toch? Ik ken geen optie waarbij je aangifte kan doen zonder in te loggen.

[ASS-Ware]

Maar dan moet je ook al aangemeld zijn met DigiD of eHerkenning toch? Ik ken geen optie waarbij je aangifte kan doen zonder in te loggen.

DigiD lag toch deels plat vandaag? ;-)

[jpsch]

Donderdag een incident gesignaleerd en nu afsluiten van de systemen. Het hele weekend dus open gestaan.

[Reactie gewijzigd door jpsch op 23 maart 2026 17:29]

[R_Zwart]

Dat kan ook onderdeel van de opsporing zijn. Mogelijk laten hackers nog sporen na die je mist als je alles afsluit.

[adje123]

Donderdag een incident gesignaleer

Dat staat er niet.

Dit staat er.

Het incident vond op 19 maart plaats bij het beleidsdepartement

Het kan prima zijn dat ze er vandaag achtergekomen zijn dat het sinds vorige week donderdag speelde

[Reactie gewijzigd door adje123 op 23 maart 2026 17:47]

[Miyamoto]

Daarom even de bron controleren:

De ICT-beveiliging van het ministerie van Financiën heeft donderdag 19 maart ongeautoriseerde toegang gesignaleerd tot systemen voor een aantal primaire processen op het beleidsdepartement.

[NimbleGenius]

Als dat zo is mogen de IT'ers daar billenkoek krijgen.

[Mushroomician]

Hoezo de IT’ers? Misschien wel HR of management. Een IT’er is namelijk alleen aan het werk en oproepbaar als de arbeidsovereenkomst dat ook weerspiegelt.

[CH4OS]

Waarom met de vinger gelijk naar "de IT'ers" wijzen als ik vragen mag? Heden ten dage kan je zo in een physhing mail trappen, dat kan iedereen overkomen

[mrmrmr]

Maar het is wel veel erger als iemand met beheerrechten dat doet.

[CH4OS]

Aan de andere kant, malware kan tegenwoordig ook een hoop waardoor het uiteindelijk alsnog beheerdersrechten krijgt. Dus het is zeker niet 'limited to', zal ik maar zeggen.

[BSimpson]

Zou het die Cisco kwetsbaarheid zijn met een 10 score?