Belgacom: ‘Geen klanten getroffen’

In totaal werden ‘enkele tientallen systemen’ besmet bij Belgacom, waaronder servers, maar het zou enkel ‘interne’ systemen betreffen, en geen systemen voor de dienstverlening aan klanten. Wellicht zorgt het voorval nu ook sneller voor geld voor een Center for Cyber Security Belgium (CCSB).

Tijdens een persconferentie benadrukte Belgacom-CEO Didier Bellens dat tijdens een controle door de security experten van Belgacom “sporen van een digitale inbraak” waren gevonden op “interne informaticasystemen.” Daarvan werd op 19 juli melding gemaakt bij het parket en in de periode sindsdien werden de “tienduizenden systemen van Belgacom onderzocht en de opkuisactie voorbereid.”

Uit de resultaten zou tot nu toe blijken dat er geen informatie over klanten zou zijn getroffen, terwijl ook nooit de dienstverlening aan de klanten werd verstoord.

Desgevraagd werd gesteld dat de besmetting zich niet had voorgedaan in de switches of de billing systemen, met andere woorden “niet in de telecomsystemen”, maar enkel op “interne systemen”. Er werd evenwel niet gezegd welke informatie zich op die systemen bevonden en dus konden worden gehackt. Evenmin werd informatie gegeven over de aard van het virus, anders dan dat het een “ernstige inbraak” was, omdat het om een professionele actie met belangrijke middelen ging. Er zijn momenteel ook geen aanduidingen dat er interne medewerkers bij de hack zouden zijn betrokken.

Nu geld voor CCSB?

Minister van Overheidsbedrijven Jean-Pascal Labille voegde daaraan toe dat wanneer de daders van de digitale inbraak bekend raken, de overheid de nodige stappen tegen hen zal onder nemen. Op de vraag of de Amerikaanse NSA in het spel zou kunnen zijn, hield hij een slag om de arm en stelde hij dat er “geen a priori” veronderstellingen mogen worden gemaakt.

Labille stelde dat België niet het enige land is waar zich aanvallen tegen overheidsdiensten voordoen, en dat met die landen wel informatie wordt uitgewisseld, maar dat dit niet meteen leidt tot een kijk op wie de daders waren. Voorts stelt Labille dat in het kader van deze complexe en snel evoluerende cybersecurityproblematiek door de overheid al stappen zijn ondernomen.

In het kader van de bescherming van de kritieke nationale infrastructuur, waarvan ook telecombedrijven als Belgacom deel uitmaken, werden zo al drie luiken van een Cyber Security Strategy goedgekeurd, maar helaas nog niet de (financiële) middelen gevonden om die te implementeren in het kader van een Center for Cyber Security Belgium (CCSB).

Daarover wordt al een paar jaar geklaagd door alle security-gerelateerde instanties, maar tot nu toe was er slechts een toezegging voor een functie van ‘project manager’. Dat staat in schril contrast met het team van twintig personen waar de security wereld om vraagt, met een budget voor het eerste jaar van 4 miljoen euro. De overheid ziet evenwel de ernst van de zaak in en zou deze zaak nu “avancer extrêmement rapidement,” zeg maar het zou nu ‘snel opschieten’, aldus Labille.

Vragen bij communicatie

Belgacom stelt met de communicatie naar de buitenwereld te hebben gewacht tot na de opkuisactie in het voorbije weekend, en dat ze in volle transparantie meedelen wat ze kunnen, met respect voor het gerechtelijk onderzoek na het indienen van de klacht tegen onbekenden door Belgacom. Wat het verwittigen van de overheid en andere betrokkenen betreft, volgde Belgacom de voorziene wettelijke procedure door het parket op de hoogte te brengen. Het blijkt vervolgens aan de procureur te zijn om onder meer de overheid en het BIPT op de hoogte te brengen, want “het is niet aan Belgacom om de overheid te verwittigen.”

Gezien de snelheid waarmee dergelijke problemen zich kunnen voordoen en verspreiden, evenals de pogingen van instellingen als het Europese securityagentschap Enisa om aanslagen op de onderdelen van de Europese kritieke infrastructuur snel en indien nodig over de landsgrenzen heen aan te pakken, lijkt die voorziene wettelijke procedure wel wat archaïsch traag. Zeker als hierdoor de overheid of BIPT pas (te) laat op de hoogte zou worden gebracht, laat staan als het een grensoverschrijdend probleem betreft.