Notepad++ gehackt: Wat we kunnen leren over NIS2 en Supply Chain-veiligheid

Recent maakte de ontwikkelaar van de populaire tekst- en code-editor Notepad++ een serieuze beveiligingskwetsbaarheid bekend: de update-infrastructuur van het programma is maandenlang gehijacked geweest, waardoor selectieve gebruikers mogelijk kwaadaardige updates ontvingen.

Dat brengt een fundamentele vraag naar voren: waarom was dit mogelijk, wat zijn de gevolgen en wat leren we hiervan in het kader van NIS2 en supply chain-beheer?

Wat is er gebeurd met Notepad++?

In de periode van juni tot december 2025 hadden aanvallers controle over de hosting-omgeving die Notepad++ gebruikte om updates te distribueren. De aanval was geen breuk in de broncode van Notepad++ zelf, maar een infrastructuur-compromise bij de update-server. Simpel gezegd: de aanvallers kregen toegang tot de systemen die verantwoordelijk zijn voor het verspreiden van de updates, waardoor sommige gebruikers updates ontvingen die afkomstig waren van door de aanvallers gecontroleerde servers, in plaats van de legitieme server. Hierdoor werden schadelijke bestanden verspreid.

Belangrijk om te weten:

• De kwetsbaarheid zat vooral in het update-mechanisme (WinGUP), dat onvoldoende controleerde of de updates authentiek waren.
• De aanval richtte zich niet op alle gebruikers, maar specifiek op doelwitten met bepaalde organisatorische belangen.
• Notepad++ heeft inmiddels een nieuwe hostingprovider en verbeterde beveiligingsmaatregelen geïmplementeerd, waaronder strengere verificatie voor updates.

Waarom deze hack een supply chain attack is?

Een supply chain attack betekent dat de aanval niet direct gericht is op de software zelf, maar op de systemen daaromheen, zoals update-infrastructuur, hosting, build servers of distributiekanalen.
In dit geval:

• De update-infrastructuur werd misbruikt
• Gebruikers kregen een schijnbaar legitieme update, maar die was gemanipuleerd door derden
• Dit stelt organisaties bloot aan risico’s waar ze zelf geen directe controle over hebben.

Dit is precies waar supply chain security om draait: vertrouwen in externe leveranciers en componenten kritisch evalueren en beheren.

Wat heeft dit te maken met NIS2?

De NIS2-richtlijn is de nieuwste Europese cybersecuritywetgeving die organisaties verplicht om risico’s beter te beheersen, inclusief risico’s gerelateerd aan derden en ketenpartners.

Belangrijke NIS2-principes die door deze Notepad++-hack worden benadrukt:

1. Beheer van externe afhankelijkheden
   Organisaties moeten aantonen dat zij software-tools en updates van derden adequaat scannen en beveiligen.
2. Leveranciers- en supply chain-beheer
   NIS2 vereist dat organisaties de risico’s van leveranciers, hostingpartners en externe technologieën in kaart brengen en mitigeren.
3. Incidentrespons en transparantie
   Het melden en analyseren van incidenten moet gestructureerd gebeuren, met duidelijke opvolging en mitigatie.

Een incident zoals bij Notepad++ laat zien dat zelfs populaire open-source tools risico’s kunnen introduceren als de onderliggende infrastructuur niet goed is afgeschermd, wat een direct aandachtspunt is onder NIS2 compliance.

Praktische lessen voor organisaties

1. Controleer update-mechanismen

Automatische updates zijn handig, maar vormen ook een risico als ze niet goed geverifieerd worden, denk aan digitale handtekeningen en authenticatie.

2. Evalueer leveranciers kritisch

Niet alleen grote leveranciers vormen risico’s. Open-source tooling en kleine projecten kunnen een zwakke schakel worden in je supply chain.

3. Implementeer moderne beveiligingsmaatregelen

Denk hierbij aan Zero Trust-principes, SBOM (Software Bill of Materials), encryptie en multi-factor authenticatie.

4. Maak NIS2-compliance onderdeel van je roadmap

Niet alleen omdat het verplicht is, maar omdat het je organisatie weerbaarder maakt tegen dit soort supply chain-dreigingen.

Conclusie

De recente Notepad++-hack benadrukt een harde realiteit: software-supply chains zijn net zo sterk als hun zwakste schakel. Zelfs een goed onderhouden open-source project kan een risico vormen als de infrastructuur daaromheen niet voldoende beveiligd is.

Voor organisaties die werken aan NIS2-compliance betekent dit dat je verder moet kijken dan je eigen systemen: je moet ook weten wie je software levert, hoe updates worden verspreid, en hoe je deze keten kunt beschermen.

Wil je weten hoe jouw organisatie deze risico’s effectief kan beheersen binnen NIS2-kaders? Kom dan in contact met Surelock voor advies op maat.