Een inbraak op systemen van het Europees Geneesmiddelenbureau (EMA) in Amsterdam die vorig jaar plaatsvond was mogelijk door phishing en een onderschept token voor het inschakelen van tweestapsverificatie, zo bericht de Volkskrant vandaag op basis van anonieme bronnen.

Het EMA meldde afgelopen december dat erbij de aanval documenten waren gestolen over het coronavaccin van farmaceuten Pfizer en BioNTech. Het ging om documenten met betrekking tot de toelating van het vaccin tot de Europese markt. De gestolen documenten bevatten geen informatie over personen die aan de tests met het vaccin deelnamen. Pfizer en BioNTech stelden dat de aanval geen gevolgen had voor EMA's beoordeling van het vaccin.

Volgens een beschrijving van de Volkskrant verstuurden de aanvallers verschillende spearphishingmails naar EMA-medewerkers die van een collega afkomstig leken. Nadat aangevallen medewerkers op de mail klikten werd er malware geïnstalleerd. Verdere details over de infectiemethode zijn niet gegeven. Via de malware konden de aanvallers, die Russisch zouden zijn, het e-mailverkeer onderscheppen.

EMA had de toegang tot het interne netwerk met tweestapsverificatie beveiligd, waardoor de aanvallers daar in eerste instantie geen toegang toe konden krijgen. Medewerkers van het Geneesmiddelenbureau die toegang tot het netwerk willen moeten eerst tweestapsverificatie inschakelen. EMA verstuurt hiervoor een zip-bestand met een token naar het e-mailadres van de werknemer.

De werknemer opent dit bestand, voert in een app op zijn telefoon de bijbehorende gebruikersnaam en wachtwoord in, en kan zo een apparaat voor tweestapsverificatie toevoegen. De aanvallers zagen dit zip-bestand en onderschepten het. Vervolgens konden ze zo hun eigen apparaat toevoegen. Volgens bronnen die de Volkskrant sprak had EMA een optie uitgeschakeld die voorkomt dat er meerdere tokens voor dezelfde gebruiker worden aangemaakt.

Het viel ook niet op dat een medewerker met meerdere apparaten inlogde en ook de firewalls bij EMA gaven geen melding van verdachte inlogpogingen. Zo konden de aanvallers meer dan een maand op het interne netwerk inloggen. Tijdens een interne audit kwam de inbraak toevallig aan het licht. Een systeembeheerder die de logbestanden bekeek viel het op dat een werknemer erg vaak buiten kantoortijden inlogde.

De aanvallers zouden niet direct geïnteresseerd zijn geweest in de werking van de Pfizer/BioNTech- en Moderna-vaccins, maar meer in welke landen de vaccins zouden afnemen en in welke hoeveelheden.