Hack bij advertentiepartner raakt minstens 12 Nederlandse sites: verouderde iPhones liepen risico

Minstens twaalf Nederlandse websites hebben hun bezoekers gewaarschuwd voor kwaadaardige code die begin november via advertenties werd verspreid. Het gaat om VI, VoetbalPrimeur, VoetbalNieuws, Bright, Scientias, Autoblog, Men’s Health, Women’s Health, Runner’s World, Bicycling, GeenStijl en Autoreview.nl. De code verzamelde gegevens over bezoekers en probeerde kwetsbare iPhones binnen te dringen. Het opvallendste: bezoekers hoefden nergens op te klikken. Alleen het openen van een pagina kon al genoeg zijn.

Daarmee legt het incident een groter probleem bloot. We hebben jarenlang geleerd om niet op verdachte links te klikken en geen onbekende bijlagen te openen. Maar wat als je gewoon een artikel leest op een vertrouwde website, terwijl op de achtergrond ongemerkt een aanval wordt uitgevoerd?

De waarschuwingen verschenen op zaterdagavond 14 november. De meeste sites publiceerden rond 18.00 uur, VoetbalNieuws en Autoreview.nl volgden later op de avond. Op het eerste gezicht hebben de sites weinig met elkaar gemeen: ze schrijven over voetbal, technologie, wetenschap, auto’s, gezondheid, hardlopen, fietsen en opinie. De gemeenschappelijke schakel zit achter de schermen, in de advertentietechnologie. Alle meldingen beschrijven dezelfde aanvalsmethode en dezelfde tijdstippen.

Volgens de verklaringen kreeg een onbevoegde partij toegang tot een advertentiebeheersysteem. Daarin werd kwaadaardige JavaScript-code toegevoegd aan een advertentietag, het stukje code waarmee een website advertenties ophaalt en toont. Omdat zo’n tag automatisch laadt, draaide de schadelijke code mee terwijl bezoekers gewoon een artikel lazen.

De eerste periode liep van zondag 1 november rond 09.50 uur tot dinsdag 3 november om 10.07 uur. De code die zich specifiek op iPhones richtte, was vanaf ongeveer 14.44 uur op 1 november actief. Op 3 november werd tussen 12.06 en 17.20 uur opnieuw kwaadaardige code toegevoegd. Op woensdag 11 november volgde tussen 15.34 en 15.50 uur nog een ongeautoriseerde wijziging, waarvan de inhoud en gevolgen nog worden onderzocht. De code is inmiddels verwijderd en het lek in het beheersysteem is volgens de uitgevers gedicht.

Volgens het voorlopige technische onderzoek had de code twee functies. De eerste was het verzamelen van technische gegevens: IP-adressen, bezochte pagina’s, de pagina waar iemand vandaan kwam, schermformaat, taalinstellingen en informatie over het besturingssysteem. Dat klinkt onschuldig, maar zulke gegevens zijn bruikbaar om apparaten te herkennen en vervolgaanvallen voor te bereiden. Deze gegevens zijn daadwerkelijk naar een server van de aanvallers gestuurd, al kunnen de uitgevers niet per bezoeker vaststellen bij wie dat is gebeurd.

De tweede functie was een stuk gevaarlijker: de code probeerde beveiligingslekken in iPhones te misbruiken. Bij een geslaagde aanval konden criminelen mogelijk toegang krijgen tot opgeslagen wachtwoorden, inloggegevens van apps, berichten, foto’s, contacten en sleutels van cryptowallets. Tegelijk is er op dit moment niet vastgesteld dat individuele iPhones daadwerkelijk zijn overgenomen.

GeenStijl verwijst in zijn melding naar Coruna, een exploitkit die eerder dit jaar door Google werd beschreven. Dat is opvallend, want volgens onderzoek van Google werkt Coruna alleen op iOS 13 tot en met 17.2.1, terwijl de uitgevers ook iPhones met iOS 18 als risicogroep noemen. Dat past beter bij DarkSword, een verwante en nieuwere exploitkit die dit voorjaar openbaar uitlekte en sindsdien ook door gewone cybercriminelen wordt gebruikt. Mogelijk combineerde de aanvalscode beide technieken. De overige uitgevers noemen geen naam.

Dit soort aanvallen heet malvertising: kwaadaardige code die via advertentienetwerken wordt verspreid. Klassieke malvertising probeert je nog te verleiden tot een klik op een nepadvertentie. Bij een drive-by-aanval zoals deze is dat niet nodig. De code laadt automatisch en misbruikt een lek in de browser of het besturingssysteem zonder dat je iets hoeft te bevestigen. En als bezoeker kun je niet zien welke scripts een site allemaal op de achtergrond uitvoert.

Het gaat om twee groepen. Bij de iPhone XS, XR en nieuwer liepen toestellen met iOS 18.7.2 of ouder risico, als de update van december 2025 (iOS 18.7.3) ontbrak en het toestel niet naar iOS 26 was overgezet. Daarnaast konden oudere modellen, zoals de iPhone 6s, 7, 8, X en de eerste iPhone SE, kwetsbaar zijn als de update van 11 maart 2026 (iOS 15.8.7 of 16.7.15) niet was geïnstalleerd. Welke browser je gebruikte, maakte niet uit: Safari, Chrome en de ingebouwde browsers van sociale media waren allemaal bruikbaar voor de aanval. Voor Android-telefoons, iPads en computers zijn geen aanvallen op het toestel vastgesteld, al kunnen ook van die bezoekers technische gegevens zijn verzameld.

Heb je een van de sites tussen 1 en 3 november bezocht met zo’n iPhone, installeer dan direct de nieuwste update via Instellingen, Algemeen, Software-update. Een update dicht het lek, maar maakt een eventuele besmetting niet ongedaan. De uitgevers adviseren daarom ook om de wachtwoorden die op de iPhone waren opgeslagen te wijzigen, te beginnen bij e-mail, het Apple-account en bankzaken, en dat bij voorkeur vanaf een ander, vertrouwd apparaat te doen. Zet tweestapsverificatie aan, controleer op onbekende inlogpogingen en wees alert op phishingberichten die op dit incident inspelen. Wie een cryptowallet op het toestel had, doet er goed aan het tegoed over te zetten naar een nieuwe wallet met een nieuwe herstelzin, aangemaakt op een veilig apparaat. Een wachtwoordwijziging is in dat geval niet genoeg.

Een adblocker kan helpen, omdat die veel advertentiescripts tegenhoudt voordat ze laden. Waterdicht is dat niet, want niet iedere schadelijke verbinding wordt herkend. Een up-to-date toestel blijft de beste verdediging tegen aanvallen die bekende lekken misbruiken.

PXR NextDay zegt op zijn eigen website advertenties te verzorgen voor zo’n 150 websites, die samen 12 miljoen unieke bezoekers per maand bereiken en goed zijn voor ongeveer 800 miljoen advertentievertoningen. Dat betekent niet dat al die sites zijn getroffen. Wel laat het zien hoe groot de impact kan zijn wanneer aanvallers binnenkomen in een systeem dat op tientallen sites tegelijk draait. Eén gecompromitteerde tag belandt dan in één klap op al die plekken. Hoe de aanvallers binnenkwamen, waarom ze meerdere keren wijzigingen konden doorvoeren en hoeveel bezoekers de code daadwerkelijk hebben geladen, is nog onduidelijk.

Een moderne nieuwssite draait allang niet meer alleen op eigen code. Advertentienetwerken, meetsoftware, videospelers en analysetools krijgen allemaal een plek op de pagina, en iedere partij die scripts mag uitvoeren, vormt een mogelijke toegang tot de browser van bezoekers. Die verantwoordelijkheid kunnen uitgevers niet volledig uitbesteden. Strikte toegangscontrole op beheersystemen, monitoring van wijzigingen, een Content Security Policy en het isoleren van advertentiecode maken een gecompromitteerde partner niet onmogelijk, maar beperken wel de schade.

Voor bezoekers is dat een ongemakkelijke conclusie. Je kunt zorgvuldig omgaan met wachtwoorden en alleen bekende sites bezoeken, maar het vertrouwen dat je in een uitgever stelt, strekt zich ongemerkt uit tot al zijn advertentiepartners en softwareleveranciers. Of er daadwerkelijk iPhones zijn gehackt, moet nog blijken. Dat het lukte om via een dozijn vertrouwde Nederlandse websites kwaadaardige code te verspreiden, is op zichzelf al ernstig genoeg.