Openbaar Ministerie

In het kort. Hackers drongen in juni 2025 of eerder het netwerk van het Openbaar Ministerie (OM) binnen en hadden daar een kleine maand of langer toegang.¹² Ze kwamen binnen via een fout in Citrix NetScaler, het systeem waarmee medewerkers van buiten inloggen, en voor die fout bestond toen nog geen oplossing.³¹ Het NCSC, het nationale cybercentrum, waarschuwde het OM op 16 juli 2025, waarna het OM zich van internet losmaakte en wekenlang offline was.³⁴

Aanvalspad deels bekend: ✅ 5 bevestigd · 🔎 1 gemeld · 🧠 2 afgeleid · ❓ 1 onbekend

1. In één oogopslag

2. Wat er gebeurde

Het systeem. Het OM gebruikt Citrix NetScaler. Medewerkers loggen daarmee in vanuit huis.² Het systeem werkt als poort tussen internet en het interne netwerk.⁹ Een fout in zo'n poort is dus gevaarlijk. Aanvallers zoeken er vaak naar.¹⁰

Vanaf begin mei 2025. Een onbekende aanvaller misbruikt een fout in NetScaler. Er bestaat nog geen oplossing voor de fout. Dit heet een zero-day. Het NCSC schrijft later dat dit minstens sinds begin mei 2025 gebeurde.¹¹¹²

19 en 20 juni. Uiterlijk op 19 juni staat er een achterdeur op de NetScaler van het OM. Dat kan ook eerder zijn, misschien al in mei.¹ Op 20 juni lukt het een aanvaller om in te loggen op de mailserver van het OM, met een gewoon gebruikersaccount.¹ Daarna kijken de aanvallers rond in het interne netwerk. Ze proberen door te dringen tot de domeincontroller en tot de mailserver.⁶ De domeincontroller is het systeem dat bepaalt wie waar in mag. De aanvallers testen ook gegevens die ze hadden onderschept. Ze bekijken de gegevens van één gebruiker.⁶

Het lijkt erop dat de aanvallers niet verder kwamen in het kantoornetwerk van het OM.⁶ De commissie denkt dat ze hun aandacht misschien moesten verdelen over andere slachtoffers.² Zeker weten kan niemand het. Op het kantoornetwerk was te weinig logging om alles te kunnen nagaan.⁶

25 juni. Citrix maakt de fout bekend en brengt een update uit.⁹ Een update haalt een achterdeur die al staat niet weg.¹¹² De Amerikaanse overheidsdienst CISA zet de fout op 30 juni op de lijst van fouten die actief worden misbruikt.¹³

16 juli. Het NCSC ziet na een scan iets verdachts en waarschuwt het OM.³¹⁴ Het OM zag het zelf niet. Er was geen werkende bewaking op het kantoornetwerk.¹ Volgens de rechter had het OM eerdere updates wel op tijd geïnstalleerd.¹⁴

17 juli. Bij nader onderzoek vindt het OM de achterdeur, een zogeheten web shell.³ Rond 20.00 uur besluit het College van procureurs-generaal om alle systemen los te koppelen van internet.¹⁴ De minister van Justitie en Veiligheid informeert die dag de Tweede Kamer.⁵

18 juli tot 7 augustus. Er loopt een forensisch onderzoek. Dat is onderzoek naar wat er precies is gebeurd.¹ Het bedrijf Deloitte levert op 7 augustus zijn rapport af. Het rapport is niet openbaar.² Medewerkers kunnen in deze weken alleen op kantoor inloggen en zijn niet bereikbaar per mail.¹ Mail die tussen 17 juli en 7 augustus naar het OM gaat, komt niet aan.⁴

23 en 24 juli. Het AD meldt dat er sterke aanwijzingen zijn voor Rusland. Dat komt van anonieme bronnen. Het OM noemt geen land en geen groep.¹⁵⁷

4 augustus. Het OM begint het herstel stap voor stap. E-mail met de buitenwereld komt als eerste terug.¹⁶¹⁷ Op 7 augustus is het OM weer bereikbaar per mail.⁴

Half augustus. Het NCSC meldt dat meer belangrijke organisaties in Nederland zijn geraakt door dezelfde fout. Het NCSC denkt aan een geavanceerde aanvaller, of aan meer dan één. De aanvallers hebben sporen gewist. Alleen updaten is daarom niet genoeg.¹²¹¹¹³

Na afloop. Op 23 september 2026 oordeelt een kantonrechter dat het OM door de hack in overmacht verkeerde van 18 juli tot en met 10 september 2025. Dat zijn 55 dagen.¹⁴ Op 8 oktober 2026 verschijnt het rapport van de onderzoekscommissie. De commissie ziet dat de beveiliging al jaren niet op orde was.²¹⁸ Het OM krijgt een onafhankelijke reviewboard en jaarlijks 50 miljoen euro extra.⁷ De commissie noemt geen naam van een dader. Volgens bronnen van Nieuwsuur zag Deloitte kenmerken van een Chinese staatsactor. Dat is niet bevestigd.²

3. Het aanvalspad

De volgorde in het schema is logisch, maar niet altijd bewezen in de tijd. Bij elke stap staat hoe zeker we zijn. De bronnen noemen niet voor elke stap een techniek. Daar staat dan "Techniek niet gemeld".

Zekerheid: ✅ bevestigd door de organisatie, een overheid, de rechter of een onafhankelijk onderzoek · 🔎 gemeld door betrouwbare media of onderzoekers · 🧠 afgeleid, met de redenering in de noot · ❓ onbekend

4. Waarom het lukte

1. Er bestond nog geen oplossing. Het was een zero-day. Het College van het OM zegt dat de inbraak niet te voorkomen was.⁷ De rechter ziet dat ook zo. Het OM had eerdere updates op tijd gedaan.¹⁴
2. De poort staat aan de rand van het netwerk. NetScaler moet van buiten bereikbaar zijn. Het NCSC schrijft dat de kwetsbare instellingen (Gateway of AAA) vaak standaard zijn.⁹ Ook andere belangrijke organisaties in Nederland werden door deze fout getroffen.¹²
3. Niemand keek mee op het kantoornetwerk. Het OM gebruikte tot eind 2023 een bewakingsprogramma (ArcSight) van het ministerie. De licentie stopte in november 2023. Geld voor nieuwe bewaking kwam pas in het najaar van 2024. Bij de inbraak stond de software er wel, maar de logging was nog niet aangesloten. Het beveiligingscentrum (SOC) kon het kantoornetwerk dus niet zien.¹⁸ De commissie vindt dat Citrix de hoogste prioriteit had moeten krijgen en voortdurend bewaakt had moeten worden.² Het College zegt zelf dat de bewaking eerder op orde had moeten zijn.⁷
4. Beveiliging was geen topprioriteit. De bestuurders wisten dat de informatiebeveiliging achterbleef. De aandacht ging vooral naar prestaties en nieuwe functies. De beveiligingsverantwoordelijke (CISO) had tot kort voor de inbraak geen vaste lijn naar de top. Het OM voldeed nog niet aan alle normen van de BIO, de beveiligingsstandaard voor de overheid. De commissie spreekt van een cultuur van "brandjes blussen".²⁴²⁵
5. Een update haalt een achterdeur niet weg. Wie alleen de update installeert, laat een aanvaller die er al zit gewoon zitten. De aanvallers wisten bovendien sporen, wat het zoeken moeilijker maakt.¹¹²

5. Wat het had kunnen stoppen

Een update was geen optie, want er bestond nog geen. De maatregelen hieronder maken de aanval vooral eerder zichtbaar of kleiner. Het zijn voorstellen op basis van de bronnen. Ze zijn niet getest op het OM.

6. Lessen

Voor bestuur en management - ☐ Weet u welke systemen vanaf internet bereikbaar zijn en wie ze bewaakt? - ☐ Is het geld voor bewaking vastgelegd, ook als een licentie of contract stopt?¹⁸ - ☐ Heeft de CISO een directe lijn naar de top?²⁴ - ☐ Is er een plan voor weken zonder ICT, ook samen met de ketenpartners?²⁶ - ☐ Vraag aan de IT-afdeling: wat doen we als er geen oplossing bestaat?

Voor IT en security - ☐ Sluit de logs van alle toegangspoorten aan op het SOC. Dat geldt ook voor NetScaler.¹⁸ - ☐ Update en zoek daarna naar sporen. Updaten is niet genoeg.¹² - ☐ Beëindig actieve sessies. Wijzig wachtwoorden van gebruikers en servicaccounts. Controleer nieuwe accounts met hoge rechten.¹² - ☐ Controleer de NetScaler-mappen op ongebruikelijke .php-bestanden.¹² - ☐ Bewaar logs op een andere plek dan het apparaat zelf. - ☐ Test of u de gevoeligste omgeving snel kunt loskoppelen van de rest.⁶

Voor iedere medewerker - ☐ Meld iets vreemds bij het inloggen of in uw mail meteen bij de servicedesk. - ☐ Weet hoe u uw werk doet als de systemen weken uitvallen.²⁶ - ☐ Stuur belangrijke mail opnieuw als die in een storingsperiode kan zijn kwijtgeraakt.⁴

7. Voor securityprofessionals

Technieken (MITRE ATT&CK)

Gebruikte versie: ATT&CK Enterprise v19.2.²⁷ In v19 is Defense Evasion opgesplitst in Stealth (TA0005) en Defense Impairment (TA0112). T1562 is vervangen door T1685. In de gelezen bronnen staat geen aanwijzing voor Defense Impairment of T1685 bij dit incident.

De commissie beschrijft het incident "in termen van het MITRE ATT&CK framework", maar noemt alleen tactieken: initial access, persistence, discovery en lateral movement.⁶ De technieken hieronder zijn daarom deels afgeleid van die beschrijving. De Deloitte-rapportage is niet openbaar.²

Software en malware. De web shell heeft geen bekende naam in de openbare bronnen. Er is daarom geen ATT&CK-pagina voor gekoppeld.

Kwetsbaarheden

De kwetsbaarheid is een geheugenfout. Citrix noemde het publiek een "memory overflow" met denial of service als gevolg. Volgens één onderzoeker leidt het in de praktijk tot uitvoering van code op het apparaat.²¹ De kwetsbare instellingen zijn NetScaler als Gateway (VPN, ICA Proxy, CVPN, RDP Proxy) of als AAA-server. Dat is vaak de standaardinstelling.⁹

Dezelfde onderzoeker meldt dat dezelfde dader ook CVE-2025-5777 ("CitrixBleed 2") als zero-day gebruikte. Dat is één bron en niet bevestigd voor het OM. Daarom staat het niet in de tabel en niet in de metadata.²¹

Sporen van de aanvallers

De commissie en het OM hebben in de gelezen bronnen geen technische sporen (IP-adressen, bestandsnamen, hashes) openbaar gemaakt. Daarom is niets bevestigd voor het OM zelf.

Een onderzoeker publiceerde zes IP-adressen die hij koppelt aan de campagne (🔎, niet gekoppeld aan het OM, niet volledig).²¹ Hier onklikbaar gemaakt:

• 91.107.190[.]236
• 88.119.169[.]150
• 38.60.245[.]99
• 101.99.91[.]107
• 84.55.67[.]133
• 194.36.37[.]5

Web shells: PHP- en .xhtml-bestanden, met namen die per slachtoffer verschillen (🔎).²¹ Het NCSC raadt aan te zoeken naar ongebruikelijke .php-bestanden in de NetScaler-mappen.¹²

Detectie en respons

Detectie. - Zoek in de NetScaler-logs naar grote POST-verzoeken naar het inlog-endpoint, korte reeksen van veel verzoeken en foutcode 1245184 (ongeldig clientcertificaat). Dit is gemeld door één onderzoeker (🔎).²¹ - Controleer de NetScaler-mappen op ongebruikelijke .php-bestanden. Controleer ook op nieuwe accounts met verhoogde rechten.¹² - Het NCSC publiceert controlescripts voor NetScaler op GitHub. Het is een algemeen script voor Citrix-lekken en niet alleen voor CVE-2025-6543.³⁷ - Let op verkeer van de NetScaler naar de domeincontroller en naar Exchange. Het forensisch onderzoek bij het OM reconstrueerde precies dat verkeer.¹ - Let op inlogs met servicaccounts vanaf onverwachte bronnen. Dit is een voorstel op basis van het gemelde patroon (🔎).²¹

Respons. - Het NCSC adviseert: actieve sessies beëindigen, wachtwoorden wijzigen, controleren op nieuwe privileged accounts. Een update alleen is niet genoeg.¹² - De onderzoeker adviseert: apparaat offline halen, een image maken voor forensisch onderzoek, LDAP-servicegegevens wijzigen en een nieuw apparaat met nieuwe gegevens neerzetten (🔎).²¹ - Het OM koppelde op 17 juli alles los van internet.³ Het herstel ("Plateau 0") bestond uit een nieuwe NetScaler-omgeving, EDR op het kantoornetwerk vóór thuiswerk, het loskoppelen van de HBO-omgeving van het kantoornetwerk en het opnieuw instellen van Active Directory-wachtwoorden.⁶

8. Wat we niet weten

• Hoe kwamen de aanvallers aan het gebruikersaccount van 20 juni? Dit is niet gemeld. Het Deloitte-rapport zou het antwoord kunnen geven, maar is niet openbaar.²⁶
• Welke gegevens zijn onderschept? De commissie noemt "onderschepte gegevens" zonder uitleg. Het Deloitte-rapport zou dat kunnen verduidelijken.⁶
• Zijn er gegevens gestolen? Het OM ziet geen reden om aan te nemen dat er gegevens zijn meegenomen. De commissie kan het door beperkte logging niet uitsluiten. Een antwoord ligt alleen in logs die er niet zijn.⁷¹⁶
• Wie is de dader? Het OM spreekt van aanwijzingen voor een partij verbonden aan een staat.⁷ Het AD noemde in juli 2025 Rusland, op basis van anonieme bronnen.¹⁵ Bronnen van Nieuwsuur melden in oktober 2026 dat Deloitte kenmerken van een Chinese staatsactor zag. Andere onderzoekers koppelen Volt Typhoon aan hacks via dezelfde fout.² Geen naam is officieel bevestigd. Het Deloitte-rapport en de inlichtingendiensten kunnen het antwoord hebben.
• Zijn er bij het OM sporen gewist? Het NCSC meldt dit voor getroffen organisaties in het algemeen. De commissie meldt het niet voor het OM.¹²⁶
• Welke exacte aanvalstechniek gebruikte de dader bij het OM? De commissie noemt alleen tactieken. De details staan mogelijk in het Deloitte-rapport.⁶
• Hoe lang was de dader binnen? Eerste toegang is uiterlijk 19 juni, mogelijk mei. Het precieze begin is niet bekend.¹
• Gebruikte de dader ook CitrixBleed 2 tegen het OM? Dit staat alleen in één bron over de campagne.²¹
• Wat stond in het zwartgemaakte deel van het commissierapport? Dat deel gaat over de vraag of het OM nu goed beveiligd is.²
• Wat is de uitkomst van het strafrechtelijk onderzoek? Het Landelijk Parket leidde dat onderzoek. De uitkomst is in de gelezen bronnen niet te vinden.⁴

9. Begrippen

Achterdeur: een verborgen toegang. Met een achterdeur kan een aanvaller later opnieuw binnenkomen, ook als het lek is gerepareerd.

Active Directory (AD): het systeem dat bijhoudt welke gebruikers en computers bij een organisatie horen en wat ze mogen.

BIO: de Baseline Informatiebeveiliging Overheid. Dit is de beveiligingsstandaard voor de Nederlandse overheid.²⁴

CISA KEV: een lijst van de Amerikaanse overheidsdienst CISA met fouten die al worden misbruikt. KEV staat voor Known Exploited Vulnerabilities.

CISO: de persoon die in een organisatie verantwoordelijk is voor informatiebeveiliging.

CVE: een uniek nummer voor een bekende beveiligingsfout, bijvoorbeeld CVE-2025-6543.

Domeincontroller: een server die bepaalt wie mag inloggen en wat die persoon mag doen.

EDR: beveiligingssoftware op een computer die verdacht gedrag ziet en daar alarm over slaat.

Exchange: de mailserver van Microsoft.

Forensisch onderzoek: onderzoek naar wat er is gebeurd, aan de hand van sporen op computers.

Gateway en AAA: twee manieren waarop NetScaler kan worden ingesteld. Als Gateway is het de toegangspoort voor medewerkers. Als AAA-server controleert het wie mag inloggen.⁹

HBO: de Hoog Beveiligde Omgeving van het OM, voor de meest gevoelige dossiers.¹⁸

Lateral movement: zijwaartse beweging. De aanvaller gaat van het ene systeem naar het andere in het netwerk.

Logging: het bijhouden van wat er op een systeem gebeurt, zoals wie wanneer inlogt.

MITRE ATT&CK: een overzicht van technieken die aanvallers gebruiken. Het helpt om aanvallen op dezelfde manier te beschrijven.

Monitoring: het continu in de gaten houden van systemen om verdachte dingen te zien.

NCSC: het Nationaal Cyber Security Centrum. Het adviseert en waarschuwt organisaties in Nederland over digitale dreigingen.

NetScaler: een product van Citrix dat als poort werkt tussen internet en een intern netwerk. Medewerkers loggen er mee in om van buiten te werken.⁹

ORG: het kantoornetwerk van het OM, het netwerk voor gewone kantoorautomatisering.¹⁸

Reviewboard: een groep externe deskundigen die meekijkt of de verbeteringen echt worden uitgevoerd.⁷

Servicaccount: een account voor een programma of systeem, niet voor een persoon.

SOC: een Security Operations Center. Dit is het team dat meekijkt naar verdachte activiteit.

Statelijke actor: een aanvaller die werkt voor of namens een staat.

Web shell: een klein programma op een server waarmee een aanvaller op afstand opdrachten kan geven.

Zero-day: een fout in software waarvoor de maker nog geen oplossing heeft, terwijl aanvallers de fout al misbruiken.

Versies

• v1 (2026-10-10): eerste versie.

Bijlage: bronnen en noten