Den Haag laat 120 hackers digitale ketens testen

In het wedstrijdbericht van de gemeente Den Haag staat dat 120 ethische hackers op 5 oktober 2026 vanuit het Atrium van het stadhuis de digitale infrastructuur van de gemeente testten en 125 meldingen indienden. Het grootste deel van die meldingen werd volgens het bericht dezelfde dag opgelost. Onder de gevonden problemen waren achterstallige software-updates en verkeerd ingestelde systemen bij leveranciers.

De organisatie van Hâck The Hague omschrijft de zevende editie als een test van met internet verbonden Haagse computersystemen, met aandacht voor de gevolgen van een zwakke plek voor een heel werkproces. Paspoortuitgifte, subsidies, uitkeringen en parkeervergunningen noemt zij als voorbeelden van zulke gemeentelijke ketens. Dat zijn voorbeelden van dienstverlening, geen gepubliceerde lijst van applicaties die tijdens de wedstrijd zijn getest.

Gemeente en leveranciers binnen de testscope

De wedstrijd betrof digitale infrastructuur van Den Haag en systemen van deelnemende leveranciers. Die combinatie is wezenlijk voor gemeentelijke dienstverlening: een aanvraag kan via meerdere applicaties en organisaties lopen voordat een inwoner een besluit of document ontvangt. De beveiliging van de gemeentelijke ingang alleen zegt dan niet alles over de veiligheid van de stappen die erop volgen.

De publieke beschrijving noemt met internet verbonden Haagse systemen als doelwit. Leveranciers konden hun digitale producten voor de wedstrijd aanmelden en kregen daarmee de kans zwakke plekken in hun eigen systemen te laten opsporen. De organisatie heeft niet openbaar gemaakt welke afzonderlijke toepassingen of koppelingen binnen de toegestane testscope vielen. Daardoor is uit de genoemde voorbeelden van paspoorten of uitkeringen niet af te leiden dat de bijbehorende applicaties daadwerkelijk zijn aangevallen.

Ook voor het begrip ‘keten’ maakt die grens verschil. De gemeente gebruikt het om samenhangende werkprocessen te beschrijven, waarbij een verstoring in één onderdeel gevolgen kan hebben voor een ander onderdeel. De wedstrijd richtte de aandacht op dat risico; de openbaar gemaakte resultaten wijzen geen specifieke gemeentelijke dienst aan waarvan de hele keten is doorbroken.

Hoe één zwakke plek kan doorwerken

Het thema van deze editie, ‘chain reaction’, gaat over kleine kwetsbaarheden die in combinatie een groter risico vormen. Een verouderde plug-in op een website kan bijvoorbeeld een eerste ingang bieden. Als een volgend systeem verkeerd is ingesteld of een script te ruime rechten heeft, kan die eerste toegang meer mogelijkheden geven dan de afzonderlijke fouten doen vermoeden. Dat is het aanvalspatroon waarop de wedstrijd zich richtte, niet een beschrijving van een bekendgemaakte aanval op een Haagse dienst.

In een gesprek met Binnenlands Bestuur vat gemeentelijk CISO Lilian Knippenberg het risico samen: “De keten is zo sterk als de zwakste schakel.” Zij wijst erop dat verschillende applicaties en IT-partners nodig kunnen zijn om één overheidsdienst te leveren. Een leverancier ziet doorgaans zijn eigen onderdeel; de gemeente moet ook begrijpen wat er gebeurt wanneer een zwakte toegang geeft tot een volgende schakel.

De hackers werkten volgens Knippenberg in een gecontroleerde, afgeschermde omgeving terwijl zij in het Atrium aanwezig waren. De wedstrijdregels verboden onder meer het platleggen of wijzigen van systemen en het veroorzaken van schade. Die grenzen zijn van belang voor de betekenis van een vondst: deelnemers konden een risico aantonen en melden zonder een gemeentelijke dienst voor inwoners te onderbreken.

125 meldingen, maar geen uitsplitsing naar unieke lekken

De bekendgemaakte uitkomst is een totaal van 125 ingediende meldingen. Dat aantal staat niet automatisch gelijk aan 125 afzonderlijke, geldige kwetsbaarheden. Meerdere deelnemers kunnen dezelfde fout melden, terwijl beoordeling van een melding kan uitwijzen dat de oorzaak of de impact anders is dan eerst gedacht. Een publieke uitsplitsing naar unieke bevindingen, getroffen systemen en ernst ontbreekt vooralsnog.

Van de deelnemers waren er 80 professionele hackers en 40 studenten. Er werd in totaal € 17.000 aan prijzengeld uitgekeerd, verdeeld over categorieën voor onder meer de creatiefste, technisch meest geavanceerde en meest impactvolle hack. Daarnaast waren er prijzen voor het beste gebruik van AI en het beste verslag. Een goed verslag helpt de beheerder of leverancier om te begrijpen waar een fout zit en hoe die kan worden verholpen.

Dat het grootste deel van de meldingen op de wedstrijddag is opgelost, laat zien dat de afhandeling direct begon. Zonder exact aantal afgehandelde meldingen en nadere beoordeling is nog niet te zeggen hoeveel verschillende problemen openstaan. De gemelde achterstallige updates en verkeerde instellingen bij leveranciers maken wel concreet waarom de wedstrijd ook buiten de eigen gemeentelijke systemen keek.

Herstel vraagt afstemming met leveranciers

Deelnemers moesten vooraf de spelregels voor het testen en melden accepteren. Gevonden kwetsbaarheden worden rechtstreeks aan de betrokken leveranciers doorgegeven en niet zonder voorafgaand overleg openbaar gemaakt. Zo krijgen de partijen die een systeem beheren de informatie om een melding te beoordelen en een oplossing uit te voeren.

Bij een ketenrisico vraagt herstel meer dan het aanpassen van de plek waar een hacker de fout vond. Als een kwetsbaarheid toegang gaf tot een volgende stap, moet ook duidelijk worden welke rechten en koppelingen die doorgang mogelijk maakten. Bij een verkeerde leveranciersinstelling ligt een deel van het herstel bovendien bij de partij die het product beheert. De wedstrijd bracht gemeente en leveranciers daarvoor op dezelfde dag bijeen.

De volgende betekenisvolle uitkomst is een beoordeling van de ingediende meldingen: hoeveel unieke kwetsbaarheden blijken geldig, welke daarvan raken meerdere schakels en hoeveel herstelwerk staat nog open? Die gegevens bepalen wat de wedstrijd uiteindelijk heeft blootgelegd over de veiligheid van de Haagse digitale dienstverlening.