DDoS-aanval legt DigiD-inloggen in Nederland ruim een uur plat: dit gebeurde er op vrijdag

Vrijdagmiddag konden veel mensen in Nederland plotseling niet meer inloggen met DigiD. De storing duurde bijna anderhalf uur en raakte ook diensten van de Belastingdienst. Volgens Logius, de overheidsorganisatie die DigiD beheert, was een DDoS-aanval de oorzaak. Hier lees je wat er gebeurde, wat er is bevestigd en wat je kunt doen als DigiD een keer niet werkt.

Wat gebeurde er op vrijdagmiddag

De aanval begon volgens Logius om 13.22 uur lokale tijd en de verstoring was om 14.49 uur opgelost. In die periode werkten inlogpogingen alleen met tussenpozen. Op Allestoringen.nl verschenen snel veel meldingen over DigiD en de Belastingdienst.

Opvallend was dat de website van DigiD zelf wel bereikbaar bleef. Bovenaan stond een melding dat sommige mensen niet konden inloggen met de DigiD-app op Androidtelefoons. Die melding verwees naar een algemene hulppagina over inlogproblemen op Android, terwijl het probleem niet bij de telefoon van de gebruiker lag, maar bij de dienst zelf.

Ook DigiD Machtigen was slechts gedeeltelijk beschikbaar. Met die dienst kun je iemand anders machtigen om overheidszaken voor jou te regelen. Wie juist op vrijdagmiddag een belastingaangifte, een toeslag of een andere overheidszaak wilde regelen, moest dus wachten of het later opnieuw proberen. Logius adviseerde gebruikers die niet konden inloggen om het op een later moment nog eens te proberen.

Wat een DDoS-aanval precies doet

Een DDoS-aanval staat voor een gedistribueerde denial-of-service aanval. In gewone taal betekent het dat een dienst overspoeld wordt met zoveel verkeer dat gewone gebruikers er nauwelijks meer doorheen komen. Een woordvoerder van Logius vergeleek het met achteraan in een hele lange rij terechtkomen. De dienst zelf is dan niet per se kapot, maar hij kan de stroom aan verzoeken niet meer op tijd verwerken.

Dat verklaart waarom inloggen tijdens de aanval soms wel en soms niet lukte. Een deel van de verzoeken kwam nog door, een ander deel raakte vermist in de drukte. Het is ook de reden dat de website zelf nog zichtbaar kon zijn, terwijl inloggen niet werkte. Het bekijken van een pagina vraagt veel minder van een systeem dan het veilig verwerken van een inlogpoging.

Een DDoS-aanval is iets anders dan een hack waarbij gegevens worden gestolen. Bij een DDoS-aanval gaat het in de eerste plaats om verstoring. Of er bij deze aanval ook gegevens zijn buitgemaakt, is volgens Logius nog onderwerp van onderzoek en er is geen bevestiging dat gebruikersgegevens zijn gestolen.

Wat Logius wel en niet heeft bevestigd

Logius heeft bevestigd dat het om een DDoS-aanval ging en dat er aangifte is gedaan bij de politie. Volgens de organisatie is dat een vaste stap na dit soort aanvallen. Wie er achter de aanval zit, is nog niet bekend. Logius heeft gezegd dat onderzoek nodig is om de oorzaak en de gevolgen vast te stellen.

De berichtgeving over het incident is gebaseerd op onder meer ANP via ZeelandNet, Techzine en RTL Nieuws. Die bronnen melden hetzelfde beeld: een aanval op vrijdagmiddag, een verstoring van bijna anderhalf uur en een dienst die daarna weer beschikbaar was. Wie er achter de aanval zit en welke extra maatregelen Logius neemt, is nog niet bekend. Dat soort details worden na een incident meestal niet meteen gedeeld, omdat onderzoekers eerst willen vaststellen wat er precies is gebeurd.

Waarom DigiD zo gevoelig is voor dit soort storingen

DigiD is voor veel mensen de sleutel tot de digitale overheid. Met dezelfde inlogmethode regel je zaken bij gemeenten, bij de Belastingdienst, bij zorgverzekeraars en in het MijnOverheid portaal. Als die sleutel even niet werkt, merk je dat meteen op veel plekken tegelijk.

Logius beheert DigiD binnen het ministerie van Binnenlandse Zaken en Koninkrijksrelaties. Naast DigiD beheert de organisatie ook eHerkenning, de inlogmethode voor bedrijven, en het MijnOverheid portaal. Een verstoring bij DigiD raakt dus niet alleen een losse website, maar een hele keten van overheidsdiensten die op dezelfde inlogmethode leunen. Eerder in oktober oefenden Logius en de Belastingdienst al samen tegen DDoS-aanvallen, maar een oefening biedt geen garantie dat een aanval helemaal geen effect meer heeft.

Wat je kunt doen als DigiD niet werkt

Als DigiD een keer niet werkt, is de eerste stap om rustig te blijven en niet meteen je wachtwoord of je DigiD-app opnieuw in te stellen. Bij een storing aan de kant van de dienst helpt dat meestal niet en het kan alleen maar voor extra verwarring zorgen. Probeer het na een half uur of een uur nog eens. Bij de aanval van vrijdag was de dienst na bijna anderhalf uur weer beschikbaar.

Controleer daarnaast of het probleem breder speelt. Kijk op de website van DigiD zelf of er een melding bovenaan staat. Een storingswebsite zoals Allestoringen.nl kan ook een beeld geven, omdat veel meldingen in korte tijd vaak wijzen op een algemene storing en niet op een probleem met je eigen telefoon of verbinding.

Let op voor valse berichten tijdens een storing. Oplichters spelen soms in op de onrust met nepmails of nepsms’jes waarin staat dat je je account moet herstellen. Logius zal je nooit via een link in een sms vragen om in te loggen of om je wachtwoord te delen. Ga bij twijfel altijd zelf naar de officiële website of app en klik niet op een link uit een onverwacht bericht.

Als je een deadline hebt, bijvoorbeeld voor een belastingaangifte of een aanvraag, probeer dan ruim op tijd te beginnen. Een storing van anderhalf uur hoeft geen probleem te zijn als je niet op het laatste moment hoeft in te loggen.

Frequently Asked Questions

Hoe lang duurde de DigiD-storing op vrijdag 30 oktober?

Volgens Logius begon de aanval om 13.22 uur en was de verstoring om 14.49 uur opgelost. De storing duurde dus bijna anderhalf uur. In die periode werkten inlogpogingen alleen met tussenpozen.

Zijn er bij de DDoS-aanval op DigiD gegevens gestolen?

Dat is op dit moment niet bevestigd. Logius heeft gezegd dat er onderzoek nodig is naar de oorzaak en de gevolgen, waaronder de vraag of er gebruikersgegevens zijn geraakt. Een DDoS-aanval is in de eerste plaats een verstoring van de bereikbaarheid en geen bewijs van diefstal van gegevens.

Wat moet ik doen als ik niet kan inloggen met DigiD?

Probeer het na een tijdje opnieuw en controleer of er een melding op de website van DigiD staat of veel meldingen op een storingswebsite verschijnen. Stel je app of wachtwoord niet meteen opnieuw in, want bij een algemene storing helpt dat meestal niet. Klik nooit op een link in een onverwacht bericht dat beweert dat je je DigiD-account moet herstellen.