Hack
Een hacker die zich Comodohacker noemde, brak in juni 2011 in in de digitale infrastructuur van DigiNotar. Als gevolg van deze hack gaf DigiNotar op 10 juli 2011 een vals SSL-certificaat voor het Google-domein *.google.com uit aan onbekende personen in Iran. Dit certificaat zou mogelijk gebruikt kunnen zijn voor een man-in-the-middle-aanval tegen Gmail. Valse certificaten zijn door de hacker gemaakt voor meer dan 500 websites wereldwijd, waaronder bekende sociale netwerkdiensten als Gmail, Twitter, Facebook en de geheime diensten CIA, MI6 en Mossad. De hack had voornamelijk Iraanse internetgebruikers als doel.
Onderzoek
In juli gaf internetbrowser Google Chrome aan dat bij het inloggen van een Iraanse internetgebruiker in e-maildienst Gmail een vals certificaat van DigiNotar werd gebruikt. Later maakten ook Iraanse internetgebruikers melding van deze valse certificaten. Op 28 augustus werd op een Google-ondersteuningsite door een persoon melding gedaan van een ongeldig certificaat, die wederom verscheen na een poging in te loggen op Gmail.
Eind juli 2011 raakte DigiNotar op de hoogte van de uitgifte van dit certificaat, maar het bedrijf maakte daar geen melding van. Pas nadat op 27 augustus 2011 op een blog melding werd gemaakt van de hack, volgde op 30 augustus een bevestiging door DigiNotar.
Op maandag 29 augustus werd informatie op Pastebin gepubliceerd over onderschepte SSL-certificaten waarmee een man-in-the-middle-aanval op de Iraanse bevolking kon worden uitgevoerd. Deze certificaten zouden afkomstig zijn van DigiNotar. Een dag later (op dinsdag) stelden D66 en GroenLinks vragen over de kwestie aan de ministers van Binnenlandse en Buitenlandse zaken. Op woensdag werden door de PVV kamervragen gesteld of overheidswebsites nog wel te vertrouwen waren. Diezelfde dag bracht DigiNotar een persbericht uit, waarin ze stelden dat er niets mis was met de certificaten van de overheid. Op vrijdag 2 september kwam DigiNotar echter terug op die uitspraken en meldde dat een hack op de overheid een mogelijkheid was. Op diezelfde avond werd er op het ministerie van Binnenlandse Zaken crisisoverleg over de certificaten gepleegd. In de daaropvolgende nacht verklaarde minister Piet Hein Donner van Binnenlandse Zaken en Koninkrijksrelaties tijdens een speciaal ingelaste persconferentie dat er geen vertrouwen meer was in het bedrijf en dat er maatregelen getroffen zouden worden qua betrouwbaarheid van de overheidswebsites.
Naar aanleiding van de hack begon het bedrijf Fox-IT op 30 augustus een onderzoek naar DigiNotar. Op 5 september publiceerde Fox-IT een interim-rapport waarin diverse fouten in de procedures en systemen van DigiNotar aan het licht werden gebracht. De uitkomsten van dit onderzoek leidden ertoe dat het aanvankelijke standpunt van de overheid dat de PKIoverheid-certificaten veilig waren, werd ingetrokken en dat de overheid op 2 september het vertrouwen in DigiNotar volledig opzegde. Hierdoor kwamen ook andere diensten, zoals DigiD, Belastingdienst en de RDW in de problemen. Als gevolg van de hack werd internetgebruikers geadviseerd enkele dagen geen online overheidsdiensten te gebruiken.
Op 5 september werd bekend dat het Openbaar Ministerie een onderzoek zou instellen naar eventuele nalatigheid bij DigiNotar. De OPTA besloot op 13 september 2011 de registratie van DigiNotar als leverancier van gekwalificeerde elektronische handtekeningen (certificaten) in te trekken.
Uit een later uitgevoerd rapport van Fox-IT bleek dat de informatie van 300.000 unieke IP-adressen met een Google-account zouden zijn geraadpleegd. De meerderheid van deze adressen was afkomstig uit Iran. De inbraak leidde bijna tot een complete uitval van computers bij de Nederlandse overheid. Het risico ontstond dat een groot deel van met DigiNotar-certificaten beveiligd berichtenverkeer met en tussen overheden zou uitvallen. De overheid diende een verzoek in bij Microsoft om een update van Nederlandse Windows-systemen een week uit te stellen. DigiNotar wist vanaf 19 juli van de hack af, maar hield dit intern en deed ook geen aangifte over deze zaak.
Uit een lijst van NOS bleek dat behalve DigiNotar ook andere grote websites het risico liepen afgeluisterd te zijn door hackers. Er waren valse certificaten uitgegeven voor onder andere Gmail, Yahoo, Hotmail, Windows Live Messenger, Twitter, Facebook en Skype. Ook veelgebruikte Iraanse websites stonden in deze lijst. Daarnaast verschenen er ook certificaten voor de Israëlische Mossad, de Amerikaanse CIA en het Britse MI6. Opvallend was dat er drie Iraanse websites op de lijst stonden, met drie uitspraken in de url: Janam Fadaye Rahbar ('ik offer mezelf op voor de Grote Leider'), Ramz Shekane Bozorg ('De Grote Codekraker') en Sahebe Donyaye Digital ('De Eigenaar van de Digitale Wereld'). Ook termen als 'landverrader' en 'slaaf van Israël' werden teruggevonden.
Beveiligingsbedrijf ITsec had in opdracht van Diginotar na de ontdekking van de hack een rapport geschreven over de hack. Dit rapport is door Diginotar voorafgaand aan het faillissement aan OPTA verstrekt. De OPTA weigerde in eerste instantie op verzoek van een journalist dit rapport openbaar te maken. Gebruikmakend van rechten op grond van de Wet Openbaarheid Bestuur of WOB-procedure probeerde de journalist bij het college van de OPTA dit rapport alsnog openbaar te krijgen. Tijdens de behandeling van het WOB-verzoek op 22 juni 2012 verzocht de curator van DigiNotar tevergeefs om de beslissing van de OPTA in stand te houden omdat hij vreesde dat publicatie ervan zou leiden tot extra schadeclaims bij het failliete bedrijf. Het college verklaarde op 7 november 2012 het bezwaar van de journalist gegrond. Vervolgens werd het rapport onder de naam Research report ITsec Security Services BV about security incident 2011 Document nummer SS-REL-NOTAR-1102-10.TN01 door de OPTA op verzoek verstrekt.
De Onderzoeksraad voor Veiligheid deed een onderzoek naar aanleiding van het hacken van DigiNotar. Het onderzoek richtte zich op de wijze waarop overheden de digitale veiligheid beheersen en concludeerde in juni 2012 dat de digitale veiligheid van de overheid sterk moet verbeteren. Minister Donner had de raad om het onderzoek gevraagd.
In september 2013 rapporteerde een Braziliaans tv-programma dat de Amerikaanse inlichtingendienst NSA gebruik heeft gemaakt van de DigiNotar-hack om in te breken bij Google en Hotmail. De Amerikaanse veiligheidsexpert Bruce Schneier stelt dat NSA verantwoordelijk kan zijn voor de inbraak bij DigiNotar.
Dader
Inmenging van de Iraanse overheid werd onderzocht, waarop DigiNotar in de problemen zou kunnen komen: het niet melden van de hack zou Iraanse dissidenten in levensgevaar kunnen brengen. Op het internet werd de actie echter opgeëist door één hacker, die naar zichzelf refereerde als 'Comodohacker'. Deze naam is afgeleid van een eerdere hack die deze persoon vermoedelijk uitvoerde op Comodo, een computersoftwarebedrijf. Deze vergelijkbare actie met certificaten uit maart 2011 trof onder andere Google, Yahoo, Microsoft. Opvallend was dat bij die hack de boodschap Janam Fadaye Rahbar verscheen, net zoals bij de DigiNotar-hack. De hacker verklaarde zelf dat hij een 21-jarige Iraniër was. De man had in de dagen na de openbaring contact met de NOS en Nieuwsuur, waarin hij zichzelf 'Sun Ich' noemde en zei dat hij de hack alleen had uitgevoerd. Wel had hij de veiligheidscertificaten doorgespeeld aan "bepaalde mensen in Iran". De man noemde zichzelf een aanhanger van de Iraanse president Mahmoud Ahmadinejad en vertelde dat DigiNotar "iets had wat hij nodig had". Op 5 september verklaarde de hacker al op de website Pastebin dat hij de hack bij DigiNotar uitvoerde als straf op de Nederlandse acties tijdens de Val van Srebrenica in 1995. In het interview met de NOS voegde hij Geert Wilders daar ook als reden bij, die als criticus van de islam "vernietigd moest worden". De hacker stelde tevens dat hij toegang heeft tot nog vier certificaatautoriteiten, waaronder GlobalSign.
Gevolgen
Direct na het bekend worden van de hack zegden de internetbrowsers Mozilla Firefox en Google Chrome het vertrouwen op in de DigiNotar-certificaten. Mozilla kondigde op 6 september een nieuwe versie aan die de valse certificaten tegen moest houden. Het IT-veiligheidsbedrijf Fox-IT, dat normaliter samen met de KLPD onderzoek uitvoert op hackers, stelde een onderzoeksrapport samen dat op 5 september werd uitgebracht. Het rapport, genaamd 'Operation Black Tulip', leverde kritiek op DigiNotar: het noemde de bestaande netwerkconfiguratie "onvoldoende" en de software "ouderwets".
Door de hack zegde de overheid het vertrouwen op in PKI-overheidscertificaten, die werden gebruikt als bescherming van overheidsgegevens. Geadviseerd werd om tijdelijk overheidswebsites als DigiD en online diensten als de Belastingdienst niet te gebruiken. Er werd door de overheid in die periode overgeschakeld naar overige certificerende instanties. Op 5 september werd DigiD weer 'veilig' verklaard. De politieke oppositie in Nederland reageerde publiekelijk op de gebeurtenissen. De SP vroeg een parlementair onderzoek aan naar digitale veiligheid. De PvdA bekritiseerde het beleid van Donner; kamerlid Pierre Heijnen stelde dat het leek dat Donner "de ICT niet helemaal serieus nam". SP-Kamerlid Sharon Gesthuizen noemde de veiligheid "zo lek als een mandje".
Betrokkenheid Iran
De vele aanwezige Iraanse IP-adressen en de zelfverklaarde nationaliteit van de hacker leidden tot vragen over eventuele connecties met de Iraanse overheid, die actief zoekt naar binnenlandse dissidenten. In Nederland leidde dit tot juridisch onderzoek over het vervolgen van DigiNotar voor het in gevaar brengen van Iraanse dissidenten, aangezien gevoelige informatie nu beschikbaar kan zijn. Het internetgedrag van 300.000 Iraniërs werd beschikbaar voor de hackers. Het onderzoeksrapport van Fox-IT gaf Iraniërs het advies hun wachtwoord voor online diensten te veranderen.