Alisina NawabiNOS telt waarschuwingen op 14 Nederlandse en één Belgische site
In aanvulling op de eerdere update meldt NOS dat zeker veertien Nederlandse sites en één Belgische site bezoekers waarschuwen. Naast de al genoemde sites noemt NOS ook Bicycling, Runner’s World, Men’s Health, BabyBytes, VoetbalPrimeur.nl en VoetbalNieuws.nl. De eigen waarschuwing van VoetbalPrimeur.be bevestigt dat ook op de Belgische site code via advertenties is verspreid. PXR NextDay noemt 150 websites en 12 miljoen unieke bezoekers per maand in zijn portfolio; volgens NOS is nog niet duidelijk hoeveel sites en gebruikers zijn geraakt. Voor uitgevers zijn netwerkbereik en incidentomvang daarmee twee verschillende cijfers: het eerste is bekend, het aantal geraakte domeinen en bezoekers nog niet.
Advertentieaanval treft vijf sites naast VI en Bright
Security.nl meldt dat naast VI en Bright ook vijf andere sites via de advertentietechnologie zijn geraakt: Autoblog, GeenStijl, Scientias, De Dagelijkse Standaard en Women's Health. GeenStijl zegt dat het, net als VI.nl, Nextday Media voor advertenties gebruikt en dat een aanvaller code toevoegde aan een advertentietag op de site. Autoblog meldt dat een onbevoegde derde het advertentiebeheer wijzigde en code toevoegde aan een advertentietag op de site, waarmee de gedeelde aanvalsmethode op meerdere domeinen is bevestigd. Bright meldt dat het onderzoek naar de gevolgen nog loopt en niet is vastgesteld dat individuele iPhones zijn overgenomen. Voor Nederlandse websitebeheerders maakt de uitbreiding concreet dat een inbraak in gedeeld advertentiebeheer bezoekers van meerdere domeinen kan raken.
VI.nl meldt dat een aanvaller begin november via het advertentiebeheer kwaadaardige code in een advertentietag plaatste, die bezoekmetadata verstuurde en kwetsbaarheden in bepaalde iPhones met verouderde software probeerde te misbruiken.
De waarschuwing verscheen op 14 november, nadat VI de code had verwijderd en de kwetsbaarheid in het advertentiebeheer had verholpen. Voor websitebeheerders zit het concrete risico in de uitbestede beheerlaag: een wijziging aan leverancierskant kan bepalen welke code de browser van bezoekers uitvoert. VI bevestigt verzending van technische bezoekgegevens, maar niet dat iPhones zijn overgenomen of privégegevens zijn buitgemaakt.
De advertentietag bracht code naar de browser
VI gebruikte voor advertenties een systeem van een externe softwareleverancier, dat door een afzonderlijke advertentiedienstverlener werd beheerd. Een onbevoegde derde kreeg toegang tot dat beheersysteem en wijzigde de configuratie. Zo kon kwaadaardige code worden toegevoegd aan een advertentietag die op VI.nl werd gebruikt. De melding noemt de betrokken bedrijven niet bij naam.
Het voorlopige technische onderzoek beschrijft twee functies. De code was ingesteld om technische informatie over websitebezoeken naar een server van de aanvaller te sturen. VI noemt IP-adressen, bezochte pagina's, de verwijzende pagina, schermformaat, taalinstellingen en het besturingssysteem. Uit de analyse blijkt dat zulke gegevens zijn doorgestuurd. VI kan echter niet per bezoeker vaststellen of de tag is geladen of welke gegevens precies zijn verzonden.
De tijdlijn wijst op meerdere wijzigingen
Volgens de tijdlijn op VI.nl liep de eerste periode op Nederlandse tijd van 1 november om ongeveer 09.50 uur tot 3 november 10.07 uur. De code die op iPhones was gericht, stond vanaf 1 november 14.44 uur in de tag. Op 3 november werd tussen 12.06 en 17.20 uur opnieuw kwaadaardige code toegevoegd. Op 11 november volgde tussen 15.34 en 15.50 uur een nieuwe ongeautoriseerde wijziging.
VI zegt dat de kwetsbaarheid in het advertentiebeheersysteem op 11 november is verholpen. De kwaadaardige code is uit de configuratie verwijderd, aangetroffen ongeautoriseerde accounts zijn verwijderd en bestaande toegangssessies zijn beëindigd. Over de wijziging van 11 november zijn de inhoud en mogelijke gevolgen nog niet vastgesteld. Het onderzoek met de technische partijen loopt.
De teruggevonden aanvalscode richtte zich op bepaalde iPhones met verouderde iOS-versies. VI noemt iPhone XS, XR en nieuwere modellen met iOS 18.7.2 of ouder, en iPhone 6s, 7, 8, X en SE van de eerste generatie zonder de update van 11 maart 2026. Op Android-telefoons, iPads en computers is in de onderzochte code geen vergelijkbare aanval op het apparaat vastgesteld. Ook daar kunnen wel technische bezoekgegevens zijn verzameld.
Bezoekdata zijn bevestigd, privédata niet
De melding maakt onderscheid tussen wat de code deed en wat als gevolg is vastgesteld. De code bevatte onderdelen die beveiligingslekken in bepaalde iPhones probeerden te misbruiken. Als zo'n aanval slaagde, had een aanvaller mogelijk toegang kunnen krijgen tot opgeslagen wachtwoorden, app-inloggegevens, toegangssleutels van cryptowallets en andere privégegevens. VI zegt niet te kunnen vaststellen of individuele iPhones zijn overgenomen of welke privégegevens zijn buitgemaakt. Een bezoek aan de site betekent dus niet automatisch dat een toestel is gecompromitteerd.
De brede NOS-kop spreekt over buitgemaakte gegevens; in het artikel zelf staat dat het om bezoekinformatie gaat en dat privégegevens niet zijn vastgesteld. Dat onderscheid begrenst wat op basis van de melding kan worden gezegd: technische bezoekmetadata zijn verzonden, maar een succesvolle aanval op een telefoon is niet bevestigd.
Bright.nl publiceerde dezelfde tijdvakken en risicogroepen in een eigen beveiligingsmelding. Ook die pagina noemt de leveranciers niet en geeft geen bezoekersaantallen. De twee pagina's beschrijven hetzelfde technische patroon op hun eigen site. Geen van beide noemt bezoekersaantallen of een lijst met andere sites waarop de code is verschenen.
Adform en Brevo laten dezelfde route zien
De distributieroute doet denken aan eerdere incidenten bij advertentie- en marketingplatforms, al verschillen de toegang en de payload. In juli verving een gekaapt Adform-script op sites van circa 14.000 klanten gekopieerde walletadressen, meldt beveiligingsonderzoeker Kevin Beaumont. Zijn analyse laat zien dat Bitcoin-, Ethereum- en TRON-adressen werden omgewisseld. BleepingComputer bevestigde dat de code in een gearchiveerde scriptversie was geïnjecteerd. Bij VI gaat het om een andere advertentietechnologie en een andere aanval, maar ook hier kon een wijziging bij een externe beheerpartij bezoekers via een ingebedde tag bereiken.
In september gebruikte een aanvaller bij Brevo een gestolen Cloudflare API-sleutel om kwaadaardige code via drie ingebedde klantenscripts te verspreiden; de officiële post-mortem beschrijft een impactvenster van vijf uur en 29 minuten voor die injectie. Bij Brevo veranderde een Worker de inhoud aan de CDN-rand, terwijl bij VI het advertentiebeheer werd aangepast. De mechanismen verschillen, maar in beide gevallen kon de code op een bezoekerssite veranderen zonder dat een bezoeker zelf een bestand op die site hoefde te vervangen.
Voor VI ontbreken nog twee antwoorden: hoeveel bezoekers de tagcode werkelijk hebben geladen en wat de wijziging van 11 november inhield. De technische bezoekmetadata zijn volgens de site wel verzonden. De teruggevonden code toont een poging om iPhones aan te vallen, niet dat dit is geslaagd; VI heeft geen buitgemaakte privégegevens vastgesteld.
Veelgestelde vragen
Grip op externe code
Advertentietags laten zien hoe een externe koppeling code en gegevensstromen naar bezoekers kan brengen. Ik denk mee over de digitale inrichting, ontwerp en bouw software van idee tot livegang en automatiseer waar dat helpt, met eigen hosting waar dat kan.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
