Veiligheidsonderzoeker ontdekt meer dan honderd ernstige beveiligingslekken in openbare code van Britse regering
13 november 2026 · 3 min leestijd
Ook gepubliceerd in English, Indonesia, 日本語, Türkçe, العربية, Español, Italiano, Norsk, Русский, Svenska, Polski
Een veiligheidsonderzoeker heeft meer dan honderd ernstige beveiligingslekken gevonden in code die de Britse regering openbaar heeft gepubliceerd. De lekken ontstonden doordat verschillende overheidsafdelingen geen basismatige cybersecurity-onderhoud hebben uitgevoerd, wat kan leiden tot blootstelling van gevoelige gegevens en mogelijkheden voor diefstal en ransomware-aanvallen.
De Britse regering publiceert al ongeveer tien jaar standaard code die met openbare middelen is ontwikkeld, om transparantie te vergroten en andere instellingen in staat te stellen code opnieuw te gebruiken. Deelnemende organisaties zijn onder meer het Ministerie van Volksgezondheid en Maatschappelijke Zorg, het Ministerie van Binnenlandse Zaken en lokale overheidsafdelingen. In recente jaren hebben begrotingsbeperkingen echter geleid tot verwaarlozing van onderhoud en upgrades van bestaande technische systemen.
Chris Nesbitt-Smith, onderzoeker bij het beveiligingsbedrijf ControlPlane, gebruikte de Claude Opus en Sonnet kunstmatige-intelligentiemodellen om openbare overheidsrepositoria te scannen en ontdekte talrijke beveiligingsproblemen. Nesbitt-Smith benadrukte dat hij alleen consumentenmodellen gebruikte die op een laptop draaien, en dat veel lekken zelfs door routinematige IT-beveiligingscontroles zouden zijn opgemerkt. Hij stelde dat de problemen geen geavanceerde cyberaanvallen waren, maar elementaire fouten.
Het ernstigste geval betrof de Planning Inspectorate, een Britse organisatie die zich bezighoudt met landgebruiksplanning in Engeland. Een medewerker had per ongeluk inloggegevens naar het openbare codeplatform GitHub geüpload. De organisatie trok deze gegevens niet volledig in, waardoor ze nog steeds bruikbaar waren. De gegevens hadden zeer brede toegangsrechten en geen vervaldatum. De Microsoft Entra ID-inloggegevens hadden bijna volledige lees- en schrijftoegang tot het hele systeem, inclusief alle SharePoint-websites en persoonlijke OneDrive-accounts van werknemers met personeelsgegevens. Aanvallers hadden ook toegang kunnen krijgen tot gevoelige archieven met wettelijke planningsstukken en beroepsgegevens.
De Planning Inspectorate stelde dat haar cybersecurity-monitoringtools de activiteiten van Nesbitt-Smith al in augustus hadden opgemerkt. Voordat ControlPlane contact opnam, had de organisatie het als een beveiligingsincident behandeld. De organisatie bevestigde en repareerde het lek binnen twintig minuten na melding en verifieerde dat er geen gegevenslekking had plaatsgevonden. De woordvoerder zei dat de organisatie systemen en processen had herzien en versterkt.
De scan omvatte 349 openbare overheidsrepositoria van 33 organisaties. Ongeveer twee derde ervan bevatte beveiligingslekken. Het Ministerie van Onderwijs had meerdere kwetsbare projecten, waaronder inkoopservices voor scholen, een aanvraagservice voor leraren en een belangrijk registratiesysteem voor door de regering gefinancierde trainings- en leerlingplaatsinstellingen. De aanvraagservice voor leraren bevatte gevoelige informatie zoals persoonlijke gegevens, kwalificaties, werkervaring en identiteitsdocumenten. Nesbitt-Smith vond ook lekken in een open dataportaal van de Schotse regering waar bezoekers beheerdersaccountgegevens konden lezen en websiteconfiguraties konden wijzigen.
De vraag of de Britse publieke sector openbare broncode moet blijven publiceren nu kunstmatige-intelligentiemodellen sneller lekken opsporen, is recent ter discussie gesteld. In mei zou de Nationale Gezondheidsdienst technische teams hebben gevraagd geleidelijk open-sourcecode te stoppen vanwege veiligheidsrisico's van kunstmatige-intelligentiemodellen. De regering gaf ook richtlijnen uit over de relatie tussen openbare code en lekrisico's.
Nesbitt-Smith betoogde echter dat als de regering alleen code privé maakt zonder bestaande lekken onmiddellijk op te lossen, dit het ergste resultaat zou kunnen zijn. Openbare code stelt onderzoekers in staat problemen op te sporen en te melden. Zodra repositories privé worden, verliezen onderzoekers de mogelijkheid lekken te controleren. Potentiële aanvallers hebben waarschijnlijk al kopieën gemaakt en kunnen lekken blijven onderzoeken en misbruiken.