033 200 30 83
De gemeente Buren is op 1 april getroffen door een ransomware-aanval. Bij de hack zijn gegevens van de gemeente gestolen. Vervolgens is een set van 130GB aangeboden op het darkweb, een afzonderlijk en anoniem deel van het internet.
Uit onderzoek is gebleken dat de ransomware-aanval kon ontstaan doordat criminelen initieel toegang hebben verkregen door misbruik te maken van inloggegevens van een leverancier. Omdat 2-factorauthenticatie (2FA) op dit account ontbrak, konden de hackers binnen komen in de ICT-omgeving van de gemeente.
Gevolgen van de hack
Inmiddels is het duidelijk dat er op de systemen van de gemeente kopieën van 1.331 geldige identiteitsbewijzen stonden. Om ieder risico van misbruik uit te sluiten biedt de gemeente betrokkenen aan om hun identiteitsbewijs kosteloos te vervangen.
Op dit moment zijn er al ruim 1.000 inwoners aangeschreven met het aanbod hun identiteitsbewijs te laten vervangen. De verwachting is dat voor het begin van de zomervakanties er duidelijkheid is voor alle betrokkenen. De hackers zelf hebben aangegeven 5 TB aan gegevens in hun bezit te hebben.
Burgemeester Josan Meijers: “Helaas kunnen we niet uitsluiten dat meer gegevens opduiken op het darkweb. De gemeente is alert op signalen van schendingen van vertrouwelijkheid van gegevens als gevolg van de hack.”
Autoriteit Persoonsgegevens wijst op belang goede beveiliging van leveranciers
In het rapport datalekken 2021 van de Autoriteit Persoonsgegevens dat in mei 2022 is verschenen vraagt de autoriteit om aandacht voor de beveiliging van leveranciers.
Het aantal meldingen van datalekken door hacking, malware of phishing (hierna: cyberaanvallen) is opnieuw fors gestegen. In 2021 waren er 88% meer van deze meldingen dan in 2020. Ook in 2020 en 2019 was er een stijging, respectievelijk van 30% en 25% ten opzichte van het voorgaande jaar. Het aantal cyberaanvallen omvat dit jaar 9% van het totaal aantal datalekmeldingen, vorig jaar was dit nog maar 5% van het aantal datalekmeldingen.
De AP maakt zich zorgen over de blijvende stijging van het aantal gemelde cyberaanvallen. Vooral IT-leveranciers, die persoonsgegevens van veel mensen verwerken, lijken doelwit te zijn van cyberaanvallen. Op basis van datalekmeldingen schat de AP in dat cyberaanvallen bij IT-leveranciers het afgelopen jaar minimaal 7 miljoen slachtoffers hebben gemaakt. In deze rapportage besteedt de AP daarom extra aandacht aan cyberaanvallen bij IT-leveranciers. Verder gaat de AP nader in op het toezicht op de meldplicht datalekken.
2FA eenvoudige en belangrijke beheersmaatregel
Handhaving door de AP: boete Transavia
De AP kan organisaties die de AVG overtreden een boete opleggen. In 2021 heeft de AP een boete opgelegd van 400.000 euro aan luchtvaartmaatschappij Transavia, vanwege het slecht beveiligen van persoonsgegevens. Door die slechte beveiliging kon een hacker in 2019 de systemen van Transavia binnendringen. Het wachtwoord was te eenvoudig te raden, meerfactorauthenticatie ontbrak, autorisaties waren te uitgebreid en systemen waren onvoldoende van elkaar gescheiden. Daarbij had de hacker toegang tot systemen waarin hij gegevens van 25 miljoen mensen had kunnen inzien. Vastgesteld is dat de hacker persoonsgegevens van zo’n 83.000 personen downloadde.
2FA is een eenvoudige en zeer belangrijke beveiligingsmaatregel om de toegang tot je eigen systemen en die van leveranciers goed te beveiligen.
Onze tip: voor de toegang tot gevoelige en bijzondere persoonsgegevens altijd 2FA als beveiligingsmaatregel instellen.