IT-journalist Brenno de Winter had de hack van zijn server kunnen voorkomen als hij geen software uit 2005 had gebruikt die niet meer werd ondersteund. Dat zegt Frank van Vliet, CTO van certificeringsautoriteit Certified Secure. "Iedere website op het internet is afhankelijk van software die door anderen is ontwikkeld. Denk hierbij aan het besturingssysteem van de webserver. Verder maken veel websites ook gebruik van een standaard product, zoals Wordpress, Drupal, Plone, PHPBB en ook het door De Winter gebruikte Twig", merkt Van Vliet op.

Voor de beveiliging van de website is het dus belangrijk om de beveiligingsupdates van alle software direct te installeren. "Zie ook het verhaal over Cheaptickets.nl waar dit misging en de version maddness hackme. Maar wat als die updates niet worden ontwikkeld?", stelt Van Vliet de vraag.

Ondersteuning
"Iemand moet de beveiligingsupdates ontwikkelen en producten als Wordpress hebben daarom een actief team dat zich hier mee bezig houdt. Voor een product als Twig is op hun website te lezen dat de laatste update in 2005 is uitgekomen", gaat Van Vliet verder. Hij merkt op dat de kennis over computerbeveiliging de afgelopen jaren enorm is toegenomen en daarmee de kans dat een product uit 2005 nu, anno 2011, kan worden beschouwd als 'zo lek als een mandje'.

"Het is daarom geen verrassing dat bij De Winter het database wachtwoord via dit pakket achterhaald schijnt te zijn. Het is een duidelijk voorbeeld waarom het belangrijk is om alleen producten te gebruiken die door een actief team worden bijgehouden en waarvoor beveiligingsupdates worden aangeboden."

Illegaal
Wat betreft de actie van het Amersfoortse beveiligingsbedrijf ISSX dat bij De Winter inbrak, is dit volgens ICT-jurist Arnoud Engelfriet strafbaar. "Het is computervredebreuk om binnen te dringen in iemands mailserver, ook als daarbij geen mailberichten daadwerkelijk worden ingezien", zo laat hij tegenover Security.nl weten.

Engelfriet stelt dat op grond van de vrije meningsuiting (nieuwswaarde) heel soms zo'n hack toch mag, als er geen andere manier is om het betreffende nieuwsartikel te onderbouwen of aan het licht te brengen. "Nieuwe Revu mocht de mailbox van Jack de Vries kraken om het nieuwsitem te brengen dat deze zijn mailbox slecht beveiligde. Maar ze mochten niet in de mailbox snuffelen want dat was niet meer journalistiek relevant."

"In dit geval is de nieuwswaarde dat de man achter Lektober die zo veel lekken aan de kaak stelt, zelf ook niet helemaal veilig is. Dat is denk ik wel een rechtvaardigingsgrond, hoewel ik er ook een ondertoon van "terugpakken" in proef", zegt Engelfriet.

Aangifte
De Winter gaf aan dat hij zelf geen aangifte gaat doen. In theorie kan het Openbaar Minister ook zonder aangifte optreden. In de praktijk gebeurt dat volgens de ICT-jurist nooit. "Want onderdeel van de tenlastelegging moet zijn dat er 'wederrechtelijk' oftewel zonder recht (toestemming) is binnengedrongen. En dat kun je niet bewijzen zonder verklaring van de eigenaar dát hij het niet toestond."

De gehackte IT-journalist kan wel een schadevergoeding eisen, hoewel het aantonen van geleden schade niet zal meevallen. Wat betreft het eerst informeren van de Telegraaf adviseert Engelfriet altijd responsible disclosure. "Eerst het slachtoffer informeren en een kans geven het lek te herstellen, en pas daarna publiek gaan met het lek." Ook maakt het niet uit dat er geen gegevens zouden zijn gestolen. "In de Revu-zaak was het onderscheid wel relevant, omdat het nieuwsfeit daar ging om de vraag of de mailbox beveiligd was."