‘Gemeente Hof van Twente slachtoffer van gijzelsoftware’

Het wordt steeds duidelijker dat de gemeente Hof van Twente in Overijssel vorige week waarschijnlijk is getroffen door gijzelsoftware. Dat kan gevolgen hebben voor de privacy van de circa 35.000 inwoners. Onbekende hackers konden bij „soms zeer privacygevoelige informatie” komen.

Burgemeester Ellen Nauta (CDA) kon vrijdag niet zeggen of de gemeente inderdaad getroffen was door een aanval met gijzelsoftware. Of dat er contact geweest was met gijzelnemers. „Dit is onderdeel van het onderzoek van de politie. Op dit moment kunnen wij daar geen uitspraken over doen”, stond in een verklaring op de website van de gemeente.

Uit onderzoek van de Volkskrant bleek dat hackers wel degelijk een digitaal losgeldbriefje achter hadden gelaten, bleek maandag: „Hello, need data back? Contact us fast.” De gijzelnemers wilden zeker 50 bitcoin zien – met de hoge koers nu ruim 750.000 euro.

De gemeente had op advies van de politie nog geen contact gezocht met de aanvallers, liet Nauta de Volkskrant weten. „De politie heeft uitdrukkelijk verzocht om hun de tijd te geven onderzoek te doen. Dat advies heb ik gerespecteerd.”

Losgeld

Vaak laten hackers op gegijzelde computersystemen een bericht achter, met daarin details over het betalen van losgeld of hoe slachtoffers contact op kunnen nemen. De cybercriminelen bieden dan aan een deel van de bestanden te ontcijferen. Zo bewijzen ze dat de bestanden daadwerkelijk weer vrijgegeven kunnen worden als het geld is betaald. Garanties zijn er niet, hoewel de bestanden daarna vaak ontsleuteld worden. Soms is de versleuteling verkeerd gegaan en zijn de bestanden überhaupt niet meer te ontcijferen.

Volgens de Volkskrant werd zeker veertig terabyte aan gemeentelijke informatie op back-ups versleuteld. De originele data stond op twee dozijn servers die tijdens de aanval „vernietigd” werden. Het gaat om allerlei data: van e-mail en project - en financiële administratie tot gegevens over werk en inkomen, erkende de gemeente eerder. „Gegevens van onze inwoners, informatie die soms zeer privacygevoelig is.” Of de gemeente ingaat op de eis tot losgeld, is nog niet te zeggen. Uiteindelijk gaat de gemeenteraad over de besteding van het geld, zei burgemeester Nauta tegen de krant.

Welk type gijzelsoftware bij aanval op het Hof van Twente gebruikt werd, is nog niet bekend.

Lees ook over dit familiebedrijf: Ineens lag de fabriek plat: ‘Sorry! Uw bestanden zijn versleuteld’

Gijzelsoftwarebendes dreigen steeds vaker ontvreemde gegevens op internet te verspreiden, in een poging slachtoffers tot betaling te dwingen. De hoogte van het losgeld wisselt van enkele duizenden euro’s tot miljoenen euro’s. Vooralsnog zijn er volgens Hof van Twente „geen aanwijzingen dat er daadwerkelijk gegevens bekeken of verspreid zijn. Wij verwachten en hopen van niet, maar 100 procent zeker weten we dit niet”

Het onderzoek naar de cyberaanval lijkt pas sinds vrijdag te vlotten, terwijl de gemeente al sinds dinsdag met problemen kampte. Volgens de Volkskrant hadden politie en externe experts pas sinds zaterdag toegang tot de systemen van de gemeente. Tot die tijd wilde Switch IT Solutions, het bedrijf aan wie Hof van Twente in 2018 het ict-beheer uitbesteedde, de inloggegevens niet verschaffen. Waarom is onduidelijk. Het Enschedese bedrijf verwijst bij vragen terug naar de gemeente, die laat weten dat „dit onderdeel is van het onderzoek”.

Bij het onderzoek naar de aanval is sinds vrijdag naast de cybercrime-eenheid van de politie Oost-Nederland en externe experts ook het NFIR betrokken. Laatstgenoemde partij gaat „een onafhankelijk onderzoek” uitvoeren, dat duidelijk moet maken hoe de aanval is uitgevoerd.

De aanvallers zouden gebruik hebben gemaakt van het ‘remote desktop protocol’ van de gemeente. Dat is software waarmee systeembeheerders op afstand toegang kunnen krijgen tot computers binnen het bedrijfsnetwerk. Als zulke software slecht beveiligd is, kunnen ook hackers via deze weg toegang krijgen. Dat komt regelmatig voor, zegt David Jacoby, onderzoeker bij beveiliger Kaspersky. „Soms zien we ook dat de inlogcodes voor zulke systemen op het internet verhandeld worden.”

Back-up

Dat de hackers de systemen vernielden en tegelijkertijd de back-ups versleutelden, kan erop wijzen dat ook daar iets is misgegaan. „Het moet eigenlijk zo zijn dat de computer waarop het normale werk plaatsvindt niet ook bij alle back-ups kan”, zegt Matthijs Koot van IT-beveiligingsbedrijf Secura. „Maar het gevoel van de noodzaak om goede back-ups bij te houden, is verdwenen, omdat IT-systemen nu zo betrouwbaar zijn.” Vanwege ransomware en veel adviezen en waarschuwingen, is er nu weer meer aandacht voor back-ups, zegt Koot. „Back-ups die losstaan van het gewone netwerk is een redelijk basaal iets: onderdeel van de digitale weerbaarheid. Maar het kost wel geld.”

Hof van Twente is bezig om de dienstverlening, die door de hack ernstig verstoord is, te herstellen.