120 ethische hackers hebben op 5 oktober de digitale infrastructuur van de gemeente Den Haag getest tijdens de zevende editie van Hâck The Hague. Studenten en professionele hackers probeerden vanuit het Atrium van het stadhuis de gemeentelijke systemen binnen te dringen. In totaal werden 125 meldingen ingediend. Het grootste deel daarvan is nog dezelfde dag opgelost. Onder de gevonden kwetsbaarheden waren onder meer achterstallige updates en misconfiguraties bij leveranciers.

Adeel Mahmood, wethouder Dienstverlening van de gemeente Den Haag, benadrukt het belang van het evenement. “In een samenleving die in rap tempo digitaliseert is digitale veiligheid een belangrijke voorwaarde voor betrouwbare dienstverlening aan onze medewerkers, inwoners en ondernemers. Wij zijn voortdurend bezig met het verbeteren van de veiligheid van onze systemen. Dat kunnen we niet zonder de menselijke creativiteit van zowel eigen security experts als eerlijke hackers. Dat is best spannend maar levert tegelijkertijd veel nieuwe inzichten op die ons enorm helpen. Dat blijkt ieder jaar weer tijdens Hack The Hague.”

Kettingreactie in cybersecurity
Het thema van de zevende editie is chain reaction, oftewel kettingreactie. In de cybersecurity staat die term voor een aanval waarbij verschillende kleine, op zichzelf staande kwetsbaarheden of acties achter elkaar worden gecombineerd. Het uiteindelijke resultaat kan daardoor veel groter en schadelijker zijn dan de afzonderlijke kwetsbaarheden.

Een aanvaller kan bijvoorbeeld beginnen met een relatief onschuldige kwetsbaarheid, zoals een verouderde plug-in op een website of een medewerker die via phishing is benaderd en slechts beperkte rechten heeft. Vanuit die eerste toegang kan vervolgens worden gezocht naar een tweede fout, bijvoorbeeld een verkeerde systeemconfiguratie of een script dat met beheerdersrechten draait. Door beide kwetsbaarheden te combineren kan een aanvaller uiteindelijk maximale rechten verkrijgen.

Met het thema wil Hâck The Hague laten zien dat kleine kwetsbaarheden gezamenlijk grote risico’s kunnen opleveren. Daarom is het volgens de organisatie belangrijk om niet alleen afzonderlijke systemen en onderdelen te testen, maar ook te kijken naar de volledige keten.

Prijzen voor hackers
Tijdens de bijeenkomst werden geldprijzen uitgereikt in de categorieën Most Creative Hack, Most Sophisticated Hack, Most Impactful Hack en The Hackademic Award. Daarnaast waren er twee bonusprijzen: Best Use of AI en Best Report. In totaal werd 17.000 euro aan prijzengeld uitgekeerd.

Lilian Knippenberg, CISO bij de gemeente Den Haag, noemt de bevindingen waardevol. “We zijn ontzettend blij met alle bevindingen van deze editie. Hackers kijken met een frisse, kritische blik naar onze systemen en dat levert inzichten op die we zelf niet altijd zien. Een deel van de meldingen hebben we met het team deze dag al kunnen oplossen, ook samen onze leveranciers. Digitale veiligheid is een verantwoordelijkheid van ons allemaal. Ook dat wordt met Hâck The Hague ieder jaar weer onderstreept.”

120 deelnemers
Aan de editie van dit jaar deden 120 hackers mee. Het ging om 80 professionele hackers en 40 studenten. De gemeente Den Haag gebruikt Hâck The Hague om de eigen digitale systemen vanuit een extern perspectief te laten testen.

Volgens de gemeente is die externe blik belangrijk omdat de risico’s van cybercriminaliteit in de digitale samenleving voortdurend veranderen. Waar in de fysieke wereld de bevoegdheden en grenzen van een gemeente duidelijker zijn, is dat in de digitale wereld minder vanzelfsprekend. Het evenement moet daarnaast studenten enthousiast maken voor een carrière in de cybersecurity. De vraag naar specialisten op dit gebied zal de komende jaren naar verwachting verder toenemen.

Bron: persbericht Gemeente Den Haag