De software die Amerikaanse forensische laboratoria gebruiken om DNA-bewijs uit te lezen, bevatte jarenlang een ernstig lek. Daardoor bleef dat bewijs kwetsbaar voor stille manipulatie. Iemand met de juiste toegang kon de uitslagen namelijk ongemerkt aanpassen. Zo’n ingreep liet vrijwel geen sporen na. Fabrikant Thermo Fisher Scientific dichtte het gat inmiddels. De oplossing beschermt echter alleen bestanden die labs vanaf nu aanmaken.
Het probleem zit in meerdere apparaten van Applied Biosystems. Die machines zetten een DNA-monster om in een digitaal bestand. Labs in de Verenigde Staten gebruiken deze apparatuur op grote schaal. Volgens de beveiligingsmelding van het bedrijf kon een aanvaller die .fsa- en .hid-bestanden bewerken. Dat gebeurde vóórdat de analysesoftware ze inlas. De aanvaller moest daarvoor wel eerst de beveiliging van het lab omzeilen. Het lek draagt het kenmerk CVE-2026-17583. Op de schaal voor ernst haalt het een hoge score van 8,2.
Opvallend is vooral hoe weinig vakkennis zo’n aanval tegenwoordig vraagt. Nathan Adams, ingenieur bij Forensic Bioinformatics, gebruikte daarvoor Claude van Anthropic. Binnen ongeveer 45 minuten schreef hij een werkende bewerking. Dat vertelde hij aan The Wall Street Journal. Zijn code plakte de DNA-profielen van twee mensen samen tot één bestand. Het resultaat leek sinds 2015 onaangeroerd. De software waarop veel labs vertrouwen, sloeg geen alarm.
De omvang verontrust forensisch wetenschappers het meest. De onderzoekers denken dat de zwakte al sinds 1995 in deze bestanden zit. Dat beslaat ongeveer dertig jaar aan strafzaken, meldde The Hacker News. Zij vonden bovendien geen enkele manier om oude bestanden alsnog te controleren. Niemand kan dus vaststellen of iemand een eerder bestand wijzigde. Het lek raakt de digitale gegevens, niet de fysieke DNA-monsters in de vriezer.
Thermo Fisher kiest als antwoord voor digitale handtekeningen. Vijf ondersteunde productlijnen krijgen daarvoor een update. Labs controleren daarmee of een bestand ongewijzigd bleef. Drie oudere lijnen bereikten het einde van hun levensduur en krijgen niets. Voor labs zonder update wijst het bedrijf op de basis. Denk aan een sluitende bewijsketen, versleutelde opslag, minimale rechten en beperkte netwerktoegang. De adder zit echter in twee woorden: de handtekeningen helpen alleen vooruit. De melding zegt niet of labs oudere bestanden ooit kunnen controleren. Zo trekt de reparatie een streep onder toekomstig bewijs, terwijl oudere zaken onverifieerbaar blijven. Thermo Fisher meldt wel dat het geen enkel geval van misbruik aantrof.
Het papieren spoor blijft voorlopig dun. Op 3 augustus stond het kenmerk nog niet in de nationale kwetsbaarhedendatabase. Ook de Amerikaanse lijst van actief misbruikte lekken vermeldt het niet. Volgens de onderzoekers ontbreekt daardoor nog publieke documentatie over het lek. Adams en twee collega’s ontdekten het probleem en meldden het bij CISA. Die dienst verdedigt de Verenigde Staten tegen digitale aanvallen.
Een echte aanval vraagt bovendien serieuze toegang tot een laboratorium. De dader moet de servers bereiken, ter plekke of op afstand. Daarnaast vraagt het kennis van de manier waarop DNA-onderzoek verloopt. Dat wijst richting insiders of inbrekers, niet richting willekeurige internetgebruikers. De zorg gaat dus niet over schaal, maar over de waarde van dit bewijs. DNA geldt voor juryleden als het meest betrouwbare bewijsmiddel. Rechtbanken leunen zwaar op zulke digitale rapporten. Een digitaal bestand dat iemand stil kan herschrijven, ondermijnt dat vertrouwen. Het past in een breder patroon. AI maakt inbreken sneller en goedkoper, en dringt steeds dieper door in de rechtspraak. De monsters in de vriezer blijven veilig. De bestanden die de rechter leest, krijgen pas vanaf nu een handtekening.
