Uit onderzoek van Reporter Radio blijkt dat bijna 900 Nederlandse bedrijven kwetsbaar zijn voor een gevaarlijk lek in de Fortigate-VPN. Het gaat om een vergelijkbare kwetsbaarheid als bij VPN-dient Pulse Secure waar de Volkskrant zaterdag over berichtte. Het lek vormt een ernstig veiligheidsrisico voor bedrijven en instellingen in Nederland.
Het radioprogramma deed samen met IT-beveiligingsbedrijf ESET Nederland onderzoek naar het lek bij de Fortigate-VPN, waar net als bij Pulse Secure in maart dit jaar een gevaarlijke kwetsbaarheid werd ontdekt. Uit het onderzoek kwam een lijst met bijna 900 Nederlandse bedrijven waarvan de systemen kwetsbaar zijn door het lek.
Via het VPN-netwerk kunnen gebruikers via een veilig verbinding op afstand werken. Door de kwetsbaarheid kunnen kwaadwillenden toegang krijgen tot dit netwerk en toegang krijgen tot gevoelige gegevens of zelf software installeren op systemen.
Het beveiligingslek is in mei al verholpen door Fortinet met een update, maar uit het onderzoek van Reporter Radio blijkt dat 900 bedrijven de update nog niet hebben geïnstalleerd. Om veiligheidsreden kan de lijst met bedrijven niet gedeeld worden, maar volgens het programma gaat het om veel ICT-bedrijven, zorginstellingen, onderwijsinstellingen en een beursgenoteerde onderneming.
De kwetsbare bedrijven zijn gemeld bij het Nationaal Cyber Security Centrum (NCSC). Het NCSC kwam in augustus met een beveiligingsadvies met betrekking tot de kwetsbaarheid in de software van Fortigate en beoordeelde het lek als zeer gevaarlijk, mede omdat het lek actief gebruikt wordt door kwaadwillenden om bij bedrijven binnen te komen. Het NCSC gaat organisaties van de Rijksoverheid die kwetsbaar zijn door het lek waarschuwen na de melding van het radioprogramma.
MKB-bedrijven extra kwetsbaar door lek
Volgens de directeur van ESET Nederland, Dave Maasland, komen er ook veel MKB-bedrijven voor op de lijst met kwetsbare bedrijven. Deze zijn volgens Maasland extra kwetsbaar “omdat in de praktijk blijkt dat deze bedrijven hun ICT-beveiliging helemaal niet goed op orde hebben.” Hier door kunnen kwaadwillenden meer schade aanrichten als ze binnenkomen via de kwetsbaarheid in de VPN-verbinding.
Via kleine bedrijven kunnen ook grote instellingen kwetsbaar zijn. Zo bleek afgelopen week nog dat Chinese hackers hebben geprobeerd om vliegtuigfabrikant Airbus aan te vallen via aannemers. Met het lek in de Fortigate-VPN is dit ook mogelijk, bijvoorbeeld via de ICT-bedrijven die Fortigate gebruikt hebben en de update niet hebben geïnstalleerd.
