Het datalek bij de politie, waarbij de gegevens van 62.000 medewerkers werden gestolen, is veroorzaakt doordat een politiemedewerker met infostealer-malware besmet raakte, zo stelt securitybedrijf Hudson Rock op basis van aangetroffen data. Ook de politie heeft laten weten dat infostealer-malware de oorzaak was. Hudson Rock claimt informatie te bezitten over miljoenen met infostealer besmette systemen.

Infostealer-malware is ontworpen om allerlei inloggegevens en andere data van geïnfecteerde systemen te stelen. Bij de aanval op de politie werden vpn-inloggegevens en politie.nl sessiecookies gestolen, wat een pass-the-cookie-aanval mogelijk maakt, zo stelt Hudson Rock in een analyse. Het bedrijf laat in de analyse informatie zien die afkomstig zou zijn van de besmette computer van de politiemedewerker. Bij een succesvolle pass-the-cookie-aanval wordt een actieve sessie van een account overgenomen met de bijbehorende rechten.

De AIVD en MIVD lieten gisteren weten dat de aanval het werk is van een groep genaamd Laundry Bear. "Het datalek bij de Nederlandse politie begon met een infostealer die sessiecookies buitmaakte, waardoor Laundry Bear de authenticatie kon omzeilen en toegang tot het netwerk kreeg. Dit laat een groeiende trend zien: door staten gesponsorde actoren gebruiken infostealers voor high-impact aanvallen. Standaard bescherming zoals multifactorauthenticatie (MFA), kort bruikbare sessietokens en training van personeel hadden dit incident kunnen voorkomen", zo laat het securitybedrijf weten.

Naar aanleiding van de publicatie door de inlichtingendiensten kwam het Nationaal Cyber Security Centrum (NCSC) met advies voor organisaties. Zo wordt onder andere aangeraden om sessiecookies te beheren, phishingbestendige MFA te gebruiken, Endpoint Detectie en Response in te richten en te investeren in bewustwordings- en trainingsprogramma's voor het personeel. Die punten worden ook door Hudson Rock genoemd. Hoe de infectie van de politiemedewerker plaatsvond laat het securitybedrijf niet weten.

De politie kwam gisteren ook met een reactie op de publicatie van de AIVD en MIVD. Volgens de politie werden veel slachtoffers van de groep op een vrij generieke manier gemaakt. "De politie was één van de vele getroffen organisaties van deze hackersgroep", zegt Stan Duijf, hoofd Operatiën bij de eenheid Landelijke Opsporing en Interventies (LO), en verantwoordelijk voor cybercrime bij de politie. Tevens stelt de politie dat diefstal van de benodigde tokens plaatsvond door infostealer-malware.