250.000 Poolse websites kwetsbaar: de veiligheidscrisis die op DEF CON 2026 is onthuld

Op de DEF CON cybersecurityconferentie in Las Vegas op 7 augustus 2026 presenteerden de Poolse beveiligingsonderzoekers Robert Kruczek en Kamil Szczurowski een schokkende ontdekking: een grootschalige scan van de Poolse overheidsinternetinfrastructuur had meer dan 10.000 kwetsbare overheidsinstanties en ongeveer 250.000 websites met beveiligingslekken aan het licht gebracht, waaronder systemen van luchthavens, ziekenhuizen, rechtbanken en overheidskantoren .

De belangrijkste kwetsbaarheden

De onderzoekers identificeerden verschillende specifieke kritieke lekken:

• Kritieke fouten in Pad CMS — een veelgebruikt contentmanagementsysteem dat de 'end-of-life'-fase had bereikt . De onderzoekers konden zonder wachtwoord toegang krijgen tot meer dan 300 overheidswebsites. De leverancier weigerde de software te patchen omdat deze niet langer werd ondersteund .

• Problemen in de rechtspraak — een andere fout gaf de onderzoekers toegang tot websites van ongeveer twee derde van de Poolse rechterlijke macht, oftewel circa 245 rechtbanken .

• Wijdverspreide, eenvoudig te misbruiken fouten — sommige lekken waren 'ongelooflijk eenvoudig te misbruiken', maar werden door leveranciers niet serieus genomen. Ze verwierpen de meldingen als 'kleine ongemakken' .

Drie systeemfouten

Kruczek en Szczurowski wezen op drie samenhangende falende factoren die deze risico's mogelijk maakten:

1. Verouderde, niet-ondersteunde software — Pad CMS en andere ongepatchte platforms bleven actief op kritieke openbare diensten, ook nadat de leveranciersondersteuning was gestopt .

2. Geen bug bounty-programma's of gestructureerde meldingskanalen — het ontbreken van officiële programma's voor het melden van beveiligingsfouten betekende dat onderzoekers en ethische hackers geen duidelijke weg hadden om problemen te rapporteren .

3. Afgewezen foutmeldingen — wanneer onderzoekers bevindingen rechtstreeks bij leveranciers meldden, werden deze rapporten vaak genegeerd of afgedaan als kleine overlast in plaats van kritieke veiligheidsrisico's .

Dezelfde zwaktes worden actief misbruikt in kritieke infrastructuur

Dit onderzoek vond plaats tegen de achtergrond van toenemende, vermoedelijk door de Russische staat gesteunde cyberaanvallen op de Poolse kritieke infrastructuur. De patronen die Kruczek en Szczurowski in de overheidsinternetinfrastructuur vonden, zijn dezelfde zwakke plekken die actief worden bewapend:

Aanvallen op de energiesector (december 2025)

Gecoördineerde aanvallen troffen de Poolse energie-infrastructuur, waaronder 30 wind- en zonne-energie-installaties en een grote warmtekrachtcentrale (WKC). Deze aanvallen werden toegeschreven aan de door de Russische staat gesteunde Sandworm-APT-groep en maakten gebruik van wiper-malware. Het was de eerste cyberaanval op de Poolse energiesector met een puur destructief doel .

Een parallelle, voorheen onbekende aanval trof een kleinere WKC-centrale die 50.000 inwoners van stroom voorziet. Aanvallers gebruikten een nieuwe private APN-pivottechniek (het eerste gedocumenteerde gebruik van deze vector in een echte aanval), kregen toegang tot een WAGO PLC die alleen werd beschermd door standaard beheerderswachtwoorden en legden een stoomturbine en waterbehandelingssysteem stil. Vervolgens saboteerden ze netwerkapparaten en vernietigden ze logs om herstel te bemoeilijken .

Inbraken bij waterzuiveringsinstallaties (2025)

Hackers braken in 2025 in bij minstens vijf Poolse waterzuiveringsinstallaties. Ze kregen toegang tot de industriële besturingssystemen (ICS) die pompen, filters en chemische dosering regelen. De aanvallers wijzigden operationele parameters en verspreidden opnames op sociale media .

De aanvalsvector was in elk geval opvallend eenvoudig: standaardwachtwoorden en besturingssystemen die direct met internet waren verbonden . De Poolse binnenlandse veiligheidsdienst (ABW) heeft twee Russen formeel aangeklaagd voor een campagne van 17 cyberaanvallen op kritieke infrastructuur, waaronder zeven water- en afvalwaterzuiveringsinstallaties .

Conclusie: een patroon van nalatigheid

De bevindingen van Kruczek en Szczurowski laten zien dat hetzelfde patroon van zwakke beveiliging — verouderde software, geen meldingsmechanismen en genegeerde foutrapporten — dat de Poolse overheidsinternetinfrastructuur kwetsbaar maakte, ook de zwaktes weerspiegelt die actief worden misbruikt bij vermoedelijke Russische aanvallen op de Poolse energie- en watersector. Zwakke standaardwachtwoorden, ongepatchte systemen en onbeveiligde netwerken vormden de directe aanvalsvectoren, zowel bij de internetinfrastructuur als bij de destructieve OT-aanvallen op energiecentrales en waterzuiveringsinstallaties.