Skip to main content

Microsoft Exchange Server gehackt: wat zijn de gevolgen?

De afgelopen dagen kwamen heftige koppen voorbij in het nieuws. Tienduizenden bedrijven zouden risico lopen door grote kwetsbaarheden in Microsoft Exchange Server. Die kwetsbaarheden zou bovendien actief misbruikt worden. Maar wat is er nu echt aan de hand en wat zijn de risico’s?

Op 2 maart 2021 bracht Microsoft een beveiligingsupdate uit voor Exchange Server 2019, 2016, 2013 en 2010. Deze update was opvallend, aangezien Microsoft normaal gesproken alleen beveiligingsupdates uitbrengt op de tweede dinsdag van de maand, ook wel bekend als Patch Tuesday. Deze patch wijkt af van die updatecadans. Ook bijzonder is dat Exchange Server 2010 ook nog een patch kreeg: de ondersteuning van deze elf jaar oude versie liep afgelopen oktober af.

Wat bleek: de patch dicht vier kwetsbaarheden die aanvallers toegang kunnen geven tot het volledige netwerk waar Exchange Server op geïnstalleerd is. Dit was een enorm probleem, aangezien tienduizenden, zo niet honderdduizenden bedrijven wereldwijd gebruikmaken van Exchange om hun e-mail- en kalenderdiensten mee te hosten. Deze kwetsbaarheden werden ook daadwerkelijk uitgebuit door hackers. Daarmee zijn deze kwetsbaarheden gemakkelijk het grootste cybersecurity-incident te noemen in zeker drie maanden. 

Dat klinkt misschien niet als veel, maar dat komt omdat we pas net het SolarWinds-debacle achter de rug hebben.

Zo werkt de hack

Microsoft heeft de hack uitgelegd in een blogpost. In totaal gaat het om vier kwetsbaarheden: CVE-2021-26855CVE-2021-26857CVE-2021-26858 en CVE-2021-27065. De aanvalsmethode, die Microsoft Hafnium noemt, maakt gebruik van een combinatie van deze vier kwetsbaarheden om binnen te dringen op het netwerk waar de Exchange-server op is aangesloten. Met de eerste kwetsbaarheid kon de aanvaller toegang tot de Exchange-server krijgen. 

Verder lezen bij de bron
IB&P

Nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

De AVG vraagt meer dan goede bedoelingen: aantoonbaarheid in de praktijk
Zorgvuldig werken met persoonsgegevens is onder de AVG niet genoeg. Je moet ook kunnen laten zien welke keuzes je hebt gemaakt, welke maatregelen daarbij horen en wie waarvoor verantwoordelijk is.
Informatiebeveiliging is geen ICT-feestje
Informatiebeveiliging wordt zichtbaar via MFA, logging, back-ups en pentests. Maar de risico’s die er echt toe doen ontstaan in inkoop, procesinrichting, gegevensdeling en bestuurlijke prioriteiten. Erna Havinga over hoe je daar het goede gesprek over voert.
De nieuwe Archiefwet: waarom informatiebeveiliging hierbij moet aanhaken
Op 1 januari 2027 treedt de nieuwe Archiefwet in werking. Op het eerste gezicht lijkt dat vooral een onderwerp voor informatiebeheer, DIV, de gemeentearchivaris of juridische zaken. Toch raakt de nieuwe wet ook duidelijk aan informatiebeveiliging.

Meer recente berichten

Nieuwe toe­zicht­hou­der voor elek­tro­ni­sche pa­ti­ën­ten­dos­siers
Verder lezen
Kabinet trekt honderden miljoenen extra uit voor veiligheid
Verder lezen
Amerikaanse tak van TikTok schikt voor 400 miljoen in kinderprivacyzaak
Verder lezen
Minder DDoS-aanvallen, maar ze worden wel zwaarder en moeilijker te herkennen
Verder lezen
Hoe kun je een onterechte boete van een scanauto aanvechten?
Verder lezen
EU Data Act dwingt cloudsector tot transparantie en open deuren
Verder lezen
‘DPIA-vrij­stel­lin­gen voor kleine ondernemers gaan veel te ver’
Verder lezen
NCSC informeert organisaties over gelekte Fortinet-wachtwoorden
Verder lezen
AP adviseert Twitch-gebruikers: zet instellingen uit voor delen van data met Amazon AI
Verder lezen
Nederland loopt achter op Europa bij AI-cyberdreigingen
Verder lezen