Onverantwoord: veiligheidsdiensten sparen lekken op

De wereldwijde veiligheidsdiensten zijn verzamelaars. Naast grote hoeveelheden informatie over personen bewaren ze ook details over kwetsbaarheden in software. Ze speuren daar zelf naar, of kopen het van mensen die ze gevonden hebben. Zoiets gebeurde óók met MS17-010, een kwetsbaarheid in Windows waardoor onbevoegden kunnen inbreken op je computer.

Informatie over dit lek werd afgelopen april de wereld in geslingerd door Shadow Brokers, een club die hacktools publiceert. Hun bron was de Amerikaanse National Security Agency (NSA, slogan ‘Defending our Nation. Securing the Future’) die het al langer in de kluis had liggen als digitaal inbraakgereedschap.

Zo werd de WannaCry-ransomware geboren. Een programma dat gebruikmaakt van dit lek én dat bij toegang tot een computer bestanden versleutelt en ze pas weer vrijgeeft als de gebruiker driehonderd dollar aan bitcoins overmaakt.

Ondanks een update van Microsoft in maart, die het veiligheidslek dicht, werden afgelopen weekend zo’n 200.000 computers geïnfecteerd. In Engeland sloten ziekenhuizen afdelingen omdat artsen niet meer bij de gegevens van hun patiënten konden. In Frankrijk legde Renault de productie van auto’s uit voorzorg stil. Verder werden computers onbruikbaar bij FedEx, Deutsche Bahn en het Nederlandse Q-Park.

Microsoft valt weinig te verwijten. Zij kwamen in maart al met een oplossing. Nu wijst de president van het bedrijf Brad Smith terecht met de vinger naar de mensen van de veiligheidsdienst. Volgens Smith moeten zij ophouden met het verzamelen van dergelijke hacktools. En daar hebben ze volledig gelijk in. Het bewust onder de pet houden van softwaregebreken is risicovol en doet de wereld uiteindelijk meer kwaad dan goed.

Hoger doel

Veiligheidsdiensten zoals de Amerikaanse NSA of de Nederlandse AIVD opereren in het belang van onze veiligheid. Zij voorkomen aanslagen in de echte én digitale wereld. Het is nu cru dat een van de meest succesvolle cyberaanvallen van de laatste tijd uit de trukendoos van een veiligheidsdienst zelf komt.

Kwetsbaarheden zouden zoveel mogelijk gemeld moeten worden aan de makers van de software. En niet opgespaard. Natuurlijk hebben de veiligheidsdiensten een ‘hoger doel’, net zoals ze mensen aftappen met een hoger doel. Maar zoals meestal heiligt ook hier het doel de middelen niet. Mensen zijn er persoonlijk de dupe van geworden, fabrieken vielen stil en ziekenhuizen sloten hun eerste hulp.