De overheid doet onderzoek naar een datalek dat is ontstaan door een kwetsbaarheid in Cisco Webex, waardoor informatie over overheidsvergaderingen voor onbevoegden toegankelijk was, en heeft felle kritiek op Cisco geuit, omdat de Nederlandse regering als getroffen klant niet werd geïnformeerd door het netwerkbedrijf. Daarnaast zal er melding worden gemaakt bij de Autoriteit Persoonsgegevens. Dat laat demissionair staatssecretaris Van Huffelen vanavond in een brief aan de Tweede Kamer weten (pdf).

Security.NL berichtte vanochtend over een beveiligingsbulletin waarin Cisco zeer summier meldde dat 'bugs' in het Webex-vergaderplatform door onderzoekers waren gebruikt om toegang tot metadata van vergaderingen te krijgen. Cisco stelde dat het getroffen klanten had ingelicht. Details werden verder niet gegeven. Vervolgens werd bekend dat onderzoekers van het Duitse Netzbegrünung en het Duitse Zeit Online via een beveiligingslek in Webex toegang tot gegevens van duizenden vergaderingen hadden gekregen. Op basis van de gelekte gegevens bij de Duitse overheid kon daarmee worden ingelogd op vergaderingen.

"Gegeven de wijze waarin de Nederlandse Rijksvideo-omgeving is ingericht, is het niet waarschijnlijk dat dit ook bij ons is gebeurd; dit wordt verder uitgezocht. Ook onderzoeken wij of er gegevens zoals wachtwoorden van de vergaderingen of de inhoud van vergaderingen, chats of gedeelde bestanden inzichtelijk zijn geweest", aldus Van Huffelen.

Zeit Online stelde dat metadata van Nederlandse overheidsvergaderingen toegankelijk was en dat Cisco de Nederlandse overheid niet informeerde. Dat wordt nu bevestigd door Van Huffelen. "Ik vind het onacceptabel dat dit heeft kunnen gebeuren en dat deze kwetsbaarheden bij de Rijksoverheid via de Duitse media tot ons zijn gekomen, in plaats van via de leverancier. Daarbij maak ik mij zorgen over het lekken van informatie op deze wijze en de late reactie van de leverancier."

De staatssecretaris voegt toe dat bestuurders en ambtenaren er altijd vanuit moeten kunnen gaan dat zij veilig kunnen overleggen. "Het ministerie van Binnenlandse Zaken neemt deze kwestie daarom zeer serieus en onderzoekt hoe dit heeft kunnen gebeuren." Nederland zal samen met de Duitse autoriteiten een onderzoek naar het datalek uitvoeren. Daarnaast is Cisco gevraagd om morgen nadere uitleg te geven over zowel de kwetsbaarheden en het proces van het melden van het datalek. Cisco zal tevens verzocht worden om op korte termijn een nader onderzoek naar het incident uit te voeren.