Er zou een lek zitten in de VPN-verbindingen van de getroffen netwerken. Door het lek zouden hackers "vrij eenvoudig" wachtwoorden en gebruikersnamen hebben kunnen achterhalen. Ook officiële documenten zouden zij hebben kunnen inzien.

VPN-verbindingen zorgen voor een beveiligde verbinding tussen de gebruiker en een intern netwerk. Grote bedrijven maken er vrijwel allemaal gebruik van. Een onderzoeker kwam er volgens de krant achter dat het om VPN-leverancier Pulse Secure gaat, een van de vier belangrijkste VPN-aanbieders wereldwijd met 20 duizend klanten.

Ook DPG Media, eigenaar van de Volkskrant, maakt gebruik van deze VPN-verbinding.

LVNL
Onder de de bedrijven waarvan het interne netwerk deels of geheel openstond, zitten luchtvaartmaatschappij KLM, oliemaatschappij Shell, baggerbedrijf Boskalis, defensiebedrijf IAI, diverse andere defensiebedrijven, het ministerie van Veiligheid en Justitie en de Luchtverkeersleiding Nederland. Met name bij laatstgenoemde noemt de krant de situatie "zorgelijk".

Bronnen bevestigen aan de krant dat de VPN-verbinding in deze gevallen niet aan een testomgeving was gekoppeld, maar aan de daadwerkelijke productieomgeving. Dat betekent dat werknemers Pulse Secure gebruikten om toegang tot systemen en bestanden te krijgen. Aanvallers konden via de VPN het interne netwerk van de Nederlandse Luchtverkeersleiding binnenkomen.

Wettelijke bevoegdheid
Op de vraag waarom het Nationaal Cyber Security Centrum niet eerder ingreep, antwoordt het dat het "geen wettelijke bevoegdheid" om in te grijpen heeft en dat organisaties zelf verantwoordelijk zijn voor het nemen van maatregelen.