Websites offline door het PHP-lek: moet je zelf iets doen met je wachtwoorden?
MijnOverheid, DigiD en ziekenhuissites gingen uit voorzorg offline door een lek in PHP. Moet je nu je wachtwoorden veranderen? Wat wel en niet nodig is.
Woensdag 21 oktober waren ineens tientallen Nederlandse websites onbereikbaar. MijnOverheid, de site van DigiD, de Tweede Kamer, ziekenhuizen, gemeenten en het netwerk van hogescholen en universiteiten gingen uit voorzorg offline. De reden was een waarschuwing over twee ernstige lekken in PHP, de programmeertaal waar volgens NU.nl wereldwijd zo’n 70 procent van alle websites op draait. Inmiddels zijn de meeste sites terug. Maar moet jij nu iets doen met je wachtwoorden?
Wat er aan de hand was
Via de lekken konden kwaadwillenden van afstand een webserver overnemen. Het Nationaal Cyber Security Centrum adviseerde organisaties om zich voor te bereiden op een update die woensdagmiddag om 16.00 uur zou verschijnen, en om kwetsbare systemen zo nodig tijdelijk uit te zetten. Dat deden veel organisaties. Woensdagmiddag kwam de update er, en daarna gingen de sites een voor een weer open. Volgens het liveblog van Hart van Nederland waren MijnOverheid, DigiD en veel ziekenhuissites diezelfde avond weer bereikbaar. De DigiD-app bleef de hele tijd werken.
Het belangrijkste detail voor jou is dat het NCSC tot woensdagavond geen actief misbruik had gezien. De sites gingen dus niet plat omdat er was ingebroken, maar om een inbraak voor te zijn.
Moet je je wachtwoorden veranderen?
Meestal niet. Een wachtwoord veranderen heeft zin als er gegevens zijn gestolen, en daar is bij de bekende sites geen sprake van. Het St. Antonius Ziekenhuis in Nieuwegein liet bijvoorbeeld weten dat het lek niet tot verlies of diefstal van persoonsgegevens heeft geleid.
Er zijn twee situaties waarin je het wel doet.
- Een site meldt een datalek. Krijg je van een organisatie bericht dat er toch gegevens zijn buitgemaakt, verander dan je wachtwoord daar. Doe dat via de site zelf die je intypt, niet via een link in de mail.
- Je gebruikt overal hetzelfde wachtwoord. Dan ben je kwetsbaar zodra een van die sites ooit lekt, met of zonder dit PHP-lek. Dit is een goed moment om daar iets aan te doen.
Eerlijk is eerlijk, dat tweede punt geldt voor heel veel mensen. Met een wachtwoordmanager en tweestapsverificatie ben je in tien minuten een stuk veiliger, en hoe je dat aanpakt staat in de checklist om je accounts te beveiligen.
De echte dreiging komt de komende weken
Cyberexperts waarschuwen dat het lek nog maanden gevolgen kan hebben. Niet elke site wordt meteen bijgewerkt, en oudere PHP-versies krijgen geen updates meer. Volgens het NCSC krijgen alleen versies vanaf PHP 8 een reparatie. Ethisch hacker Wouter van Dongen zegt het zo in het liveblog. “Een patch dicht het lek, maar maakt een eerdere inbraak niet ongedaan.”
Voor jou als gebruiker betekent dat vooral dat je alert blijft op nepberichten. Een groot nieuwsfeit is voor oplichters een kans. Verwacht mails of sms’jes die zeggen dat je je wachtwoord moet resetten vanwege het lek, of dat je DigiD opnieuw moet activeren. Geen enkele organisatie vraagt je om via een link in te loggen omdat er een lek in PHP zat. Hoe je zo’n bericht herkent, lees je in het stuk over een nepmail of nep-sms herkennen.
Heb je zelf een website?
Draai je een eigen site voor je bijbaan, je zzp-werk of een hobby, bijvoorbeeld op WordPress, dan ligt het anders. Kijk bij je hostingpartij of de PHP-versie op je pakket al is bijgewerkt, en zet een oude PHP-versie over naar een versie die nog updates krijgt. Bij de meeste hostingbedrijven doe je dat met een paar klikken in het klantenpaneel. Twijfel je, mail dan je hoster.
