Default
Door Remote - 05 Jun 2026
Een voormalige cybersecurity-manager van IBM beschuldigde het bedrijf ervan de afgelopen tien jaar drie keer te zijn gehackt door buitenlandse overheden en vervolgens de inbreuken te verdoezelen.
In een rechtszaak die deze week werd geopend maar in 2020 werd ingediend, zei William Barlow, die tot augustus 2019 vice-president van dreigingsinformatie bij IBM was, dat IBM concludeerde dat Chinese hackers tussen 2013 en 2016 inbreuk hadden gemaakt op zijn kernnetwerk, maar dat het bedrijf de inbreuken vervolgens verdoezelde en nooit openbaar maakte. Barlow zei ook dat er minstens twee dochterondernemingen van IBM zijn gehackt, en dat IBM deze inbreuken ook heeft verdoezeld.
Barlow beweerde in zijn klacht dat het kernnetwerk van IBM ‘routinematig werd gehackt door buitenlandse staatsactoren en anderen’, eraan toevoegend dat gegevens regelmatig werden gestolen en dat overheidsinstanties ‘nooit op de hoogte werden gesteld’.
Hoewel de vermeende inbreuken al meer dan tien jaar oud zijn, blijkt uit het nieuws dat cyberaanvallen, zelfs die welke grote publieke technologiebedrijven als IBM treffen, soms nooit openbaar worden gemaakt, noch aan het publiek, noch aan de relevante overheidsinstanties. IBM is een belangrijke leverancier van cyberbeveiliging voor de Amerikaanse federale overheid, wat de vermeende verhulling bijzonder belangrijk maakt. De afgelopen jaren zijn er verschillende wetten inzake de melding van datalekken aangenomen om dit probleem tegen te gaan.
Bloomberg berichtte voor het eerst over de rechtszaak.
IBM-woordvoerder Miki Carver weigerde specifieke vragen over de rechtszaak en de onderliggende beschuldigingen te beantwoorden. In plaats daarvan zei Carver tegen TechCrunch: "Deze klacht werd zes jaar geleden ingediend en het Amerikaanse ministerie van Justitie weigerde in te grijpen. IBM heeft er vertrouwen in dat onze acties de letter van de wet volgden."
In het bijzonder zei Barlow dat IBM een van de slachtoffers was van een hackcampagne uitgevoerd door APT 10, een aan de Chinese overheid gelieerde groep waarvan de toenmalige FBI-directeur Christopher Wray zich volgens de toenmalige FBI-directeur Christopher Wray had gericht op een ‘Who’s Who’ van de wereldeconomie toen haar leden in 2018 werden aangeklaagd. De hackers braken in op zowel het netwerk van het bedrijf als de gegevens die het daar bewaarde in samenwerking met AT&T.
Barlow beweerde dat inlichtingenfunctionarissen uit Australië, Canada, Nieuw-Zeeland, de Verenigde Staten en het Verenigd Koninkrijk – de zogenaamde Five Eyes-alliantie – IBM in maart 2017 hadden gewaarschuwd voor de inbreuk, wat aanleiding gaf tot een intern onderzoek.
Volgens de klacht kwam het onderzoek tot de conclusie dat APT 10 tussen 2013 en 2016 mogelijk meer dan 56.000 keer inbreuk maakte op het IBM-netwerk. Cruciaal was dat het bedrijf zei dat het geen verder onderzoek kon doen omdat het geen logboeken had bijgehouden van wie toegang had gekregen tot zijn netwerk en wanneer – een basisbeveiligingspraktijk.
IBM zou vervolgens geen enkele autoriteit of de Amerikaanse overheid, een van zijn belangrijkste klanten, hebben gewaarschuwd.
“Aangezien de Core Networks-infrastructuur van IBM en AT&T archaïsch is, hebben hackers bij talloze gelegenheden toegang kunnen krijgen tot het systeem en kunnen ze vrijwel overal onopgemerkt rondzwerven”, luidde de klacht, waarin werd uitgelegd dat uit het interne onderzoek van IBM bleek dat vier servers waren gecompromitteerd tijdens de APT 10-hackcampagne.
“De aanvallers hebben bijna 400 gecompromitteerde accounts en bijna 200 systemen en servers in alle IBM-businessunits, achttien landen en meerdere IBM-producten gecompromitteerd en/of toegang daartoe verkregen”, aldus een intern IBM-rapport over het onderzoek naar de inbreuk, aldus de klacht.
Jason Brown, een advocaat die Barlow vertegenwoordigt, vertelde TechCrunch dat zijn bedrijf “ernaar uitkijkt om de zaak agressief te procederen.”
“Je kunt cyberbeveiliging niet aan de federale overheid verkopen terwijl je naar verluidt deze beveiligingsproblemen binnen je eigen bedrijf hebt”, aldus Brown.
Volgens Barlow hadden andere inbreuken waarvan hij op de hoogte was, gevolgen voor Trusteer, een startup op het gebied van cyberbeveiliging die in 2013 door IBM werd overgenomen en die volgens hem in 2018 werd geschonden; en Truven, een startup voor gezondheidszorgdata die IBM in 2016 heeft overgenomen en waarvan hij zegt dat er na de overname meerdere keren inbreuk op is gemaakt.
In beide gevallen beschuldigde Barlow IBM ervan deze inbreuken niet goed te hebben onderzocht en openbaar te maken.
In een rechtszaak die deze week werd geopend maar in 2020 werd ingediend, zei William Barlow, die tot augustus 2019 vice-president van dreigingsinformatie bij IBM was, dat IBM concludeerde dat Chinese hackers tussen 2013 en 2016 inbreuk hadden gemaakt op zijn kernnetwerk, maar dat het bedrijf de inbreuken vervolgens verdoezelde en nooit openbaar maakte. Barlow zei ook dat er minstens twee dochterondernemingen van IBM zijn gehackt, en dat IBM deze inbreuken ook heeft verdoezeld.
Barlow beweerde in zijn klacht dat het kernnetwerk van IBM ‘routinematig werd gehackt door buitenlandse staatsactoren en anderen’, eraan toevoegend dat gegevens regelmatig werden gestolen en dat overheidsinstanties ‘nooit op de hoogte werden gesteld’.
Hoewel de vermeende inbreuken al meer dan tien jaar oud zijn, blijkt uit het nieuws dat cyberaanvallen, zelfs die welke grote publieke technologiebedrijven als IBM treffen, soms nooit openbaar worden gemaakt, noch aan het publiek, noch aan de relevante overheidsinstanties. IBM is een belangrijke leverancier van cyberbeveiliging voor de Amerikaanse federale overheid, wat de vermeende verhulling bijzonder belangrijk maakt. De afgelopen jaren zijn er verschillende wetten inzake de melding van datalekken aangenomen om dit probleem tegen te gaan.
Bloomberg berichtte voor het eerst over de rechtszaak.
IBM-woordvoerder Miki Carver weigerde specifieke vragen over de rechtszaak en de onderliggende beschuldigingen te beantwoorden. In plaats daarvan zei Carver tegen TechCrunch: "Deze klacht werd zes jaar geleden ingediend en het Amerikaanse ministerie van Justitie weigerde in te grijpen. IBM heeft er vertrouwen in dat onze acties de letter van de wet volgden."
In het bijzonder zei Barlow dat IBM een van de slachtoffers was van een hackcampagne uitgevoerd door APT 10, een aan de Chinese overheid gelieerde groep waarvan de toenmalige FBI-directeur Christopher Wray zich volgens de toenmalige FBI-directeur Christopher Wray had gericht op een ‘Who’s Who’ van de wereldeconomie toen haar leden in 2018 werden aangeklaagd. De hackers braken in op zowel het netwerk van het bedrijf als de gegevens die het daar bewaarde in samenwerking met AT&T.
Barlow beweerde dat inlichtingenfunctionarissen uit Australië, Canada, Nieuw-Zeeland, de Verenigde Staten en het Verenigd Koninkrijk – de zogenaamde Five Eyes-alliantie – IBM in maart 2017 hadden gewaarschuwd voor de inbreuk, wat aanleiding gaf tot een intern onderzoek.
Volgens de klacht kwam het onderzoek tot de conclusie dat APT 10 tussen 2013 en 2016 mogelijk meer dan 56.000 keer inbreuk maakte op het IBM-netwerk. Cruciaal was dat het bedrijf zei dat het geen verder onderzoek kon doen omdat het geen logboeken had bijgehouden van wie toegang had gekregen tot zijn netwerk en wanneer – een basisbeveiligingspraktijk.
IBM zou vervolgens geen enkele autoriteit of de Amerikaanse overheid, een van zijn belangrijkste klanten, hebben gewaarschuwd.
“Aangezien de Core Networks-infrastructuur van IBM en AT&T archaïsch is, hebben hackers bij talloze gelegenheden toegang kunnen krijgen tot het systeem en kunnen ze vrijwel overal onopgemerkt rondzwerven”, luidde de klacht, waarin werd uitgelegd dat uit het interne onderzoek van IBM bleek dat vier servers waren gecompromitteerd tijdens de APT 10-hackcampagne.
“De aanvallers hebben bijna 400 gecompromitteerde accounts en bijna 200 systemen en servers in alle IBM-businessunits, achttien landen en meerdere IBM-producten gecompromitteerd en/of toegang daartoe verkregen”, aldus een intern IBM-rapport over het onderzoek naar de inbreuk, aldus de klacht.
Jason Brown, een advocaat die Barlow vertegenwoordigt, vertelde TechCrunch dat zijn bedrijf “ernaar uitkijkt om de zaak agressief te procederen.”
“Je kunt cyberbeveiliging niet aan de federale overheid verkopen terwijl je naar verluidt deze beveiligingsproblemen binnen je eigen bedrijf hebt”, aldus Brown.
Volgens Barlow hadden andere inbreuken waarvan hij op de hoogte was, gevolgen voor Trusteer, een startup op het gebied van cyberbeveiliging die in 2013 door IBM werd overgenomen en die volgens hem in 2018 werd geschonden; en Truven, een startup voor gezondheidszorgdata die IBM in 2016 heeft overgenomen en waarvan hij zegt dat er na de overname meerdere keren inbreuk op is gemaakt.
In beide gevallen beschuldigde Barlow IBM ervan deze inbreuken niet goed te hebben onderzocht en openbaar te maken.