English | Français | Deutsche | Español | Meer talen
De gemeente Buren weet nu wat de oorzaak is van de ransomware-aanval. De aanvallers wisten toegang te krijgen tot de systemen van de Gelderse gemeente door inloggegevens van een leverancier te stelen. Omdat er geen tweefactorauthenticatie was ingesteld, konden ze kinderlijk eenvoudig de ICT-omgeving binnendringen. Dat schrijft de gemeente Buren in een update bericht over de aanval (pdf).
5 TB aan data
Het was begin april dat hackers het netwerk van de gemeente Buren wisten te infiltreren. Eenmaal binnen installeerden de daders ransomware: gijzelsoftware dat bestanden achter slot en grendel zet. Niemand kan dan nog deze gegevens raadplegen, openen of aanpassen. Daarvoor is een zogeheten decoderingssleutel nodig: een digitale sleutel om het slot van de bestanden te halen. Slachtoffers krijgen deze sleutel als ze losgeld betalen aan de aanvallers.
De daders zeggen bij de aanval in totaal 5 TB aan gevoelige en vertrouwelijke gegevens te hebben gestolen. Dat heeft de gemeente Buren nooit willen bevestigen. Wel heeft ze laten weten dat er 130 GB aan gegevens online is gezet op het darkweb. In totaal ging het om meer dan 730.000 bestanden.
Forensisch onderzoek
Queeny Rajkowski (VVD) stelde schriftelijke vragen over de kwestie. Het Kamerlid wilde onder meer weten wie er verantwoordelijk was voor de ransomware-aanval en hoe de gemeente op het incident had gereageerd. Staatssecretaris van Koninkrijksrelaties en Digitalisering Alexandra van Huffelen weigerde om de naam van de hackers te geven. Ze wilde wel kwijt dat het om een hackersgroep gaat die internationaal veel slachtoffers heeft gemaakt. Het gerucht gaat dat er SunCrypt-ransomware is gebruikt bij de aanval.
Van Huffelen meldde tevens dat de gemeente een onafhankelijk bureau had ingeschakeld om forensisch onderzoek uit te voeren. Daarbij proberen beveiligingsexperts in kaart te brengen hoe de hackers te werk zijn gegaan en welke data ze mogelijk hebben ingezien en gekopieerd. Afhankelijk van de uitkomsten van het onderzoek zegt de staatssecretaris eventueel aanvullende veiligheidsmaatregelen te treffen.
Zodra de hack aan het licht kwam, heeft de gemeente Buren aangifte gedaan bij het Openbaar Ministerie, de informatiebeveiligingsdienst van VNG en externe experts ingeschakeld, en melding gedaan bij de Autoriteit Persoonsgegevens.
Niet onderhandeld over losgeld
Twee-en-een-halve maand na de ransomware-aanval geeft de gemeente Buren meer openheid van zaken. Uit onderzoek van Hunt & Hackett, het cybersecuritybedrijf van beveiligingsexpert Ronald Prins, is gebleken dat de daders de inloggegevens van de Gelderse gemeente hadden verkregen via een leverancier. Doordat er geen tweestapsverificatie was ingesteld, waren een gebruikersnaam en wachtwoord voldoende om toegang te krijgen.
Op advies van het cybersecuritybedrijf heeft de gemeente Buren geen contact gezocht met de hackers. De kans was groot dat ze dan losgeld zouden eisen. Daarover is dan ook niet onderhandeld. Dat is in overeenstemming met het kabinetsstandpunt, dat zich nadrukkelijk heeft uitgesproken om geen losgeld te betalen bij een cyberaanval.
In totaal zijn er 1.331 kopieën van identiteitsbewijzen gemaakt. De slachtoffers zijn daarvan op de hoogte gebracht en mogen gratis hun identiteitsbewijs laten vervangen. Ruim duizend gedupeerden hebben al gebruik gemaakt van deze regeling.
Gegevens op het darkweb
Burgemeester Johan Meijers zegt blij te zijn dat de impact van de aanval beperkt is gebleven. “Bij onze beveiliging volgen we de richtlijnen van de Baseline Informatiebeveiliging Overheid (BIO). De gemeente kon na de ransomware-aanval meteen doordraaien, omdat de back-upstrategie op juiste wijze is ingericht. Ten aanzien van de monitoring liep ten tijde van de hack nog een inkooptraject dat nog niet was afgerond. Samen met de experts hebben we inmiddels de monitoring van systemen ingericht.”
De daders hebben volgens Meijers 5 TB aan data gestolen. De burgemeester kan dan ook niet uitsluiten dat er de komende tijd nog meer gegevens zullen opduiken op het darkweb. “De gemeente is alert op signalen van schendingen van vertrouwelijkheid van gegevens als gevolg van de hack”, zo zegt hij.
De gemeenteraad is dinsdag 14 juni op de hoogte gebracht van de bevindingen van Hunt & Hackett. De gemeente werkt momenteel aan een openbare versie van het onderzoeksrapport.
Bron: buren.nl, vpngids.nl
Bekijk alle vormen en begrippen
Actuele aanvallen overzicht per dag
Rapporten bekijken of downloaden
Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met Cybercrimeinfo.
Meer ransomware nieuws
De meest gevreesde Ransomware versleutelingen
Netwalker in een ransomware die in september 2019 werd ontdekt. Het draagt een tijdstempel van eind augustus 2019. Netwalker is een bijgewerkte versie van Mailto die ontdekt werd door de onafhankelijk cybersecurity-onderzoeker en Twitter-gebruiker GrujaRS.
Spie International bevestigt ransomware aanval
Spie International is het slachtoffer geworden van cybercriminelen. Ze slaagde erin om de Nefilim-ransomware op het computernetwerk van het bedrijf te installeren. Inmiddels werken alle systemen weer en draait de productie weer als vanouds. Wel is er data buitgemaakt van diverse klanten.
Amerikaanse gemeente besluit tot betalen cybercriminelen
Eind juli werd de Amerikaanse stad 'Lafeyette' het slachtoffer van een ransomware aanval. Cybercriminelen hadden het stadsnetwerk geïnfecteerd en eisten € 38.000 euro voor het ontsleutelen van de bestanden.
Canon maakt ransomware aanvallen bekend aan werknemers
BleepingComputer heeft een screenshot ontvangen van een intern bericht dat door Canon naar medewerkers is gestuurd waarin de ransomware aanval wordt onthuld.
"Storing" bij Canon
Dat er veel meer cybercrime slachtoffers zijn dan wordt gemeld, is inmiddels wel duidelijk. Er heerst nog altijd een taboe rondom slachtofferschap van digitale delicten.
Het businessmodel van 'Ransomware as a Service'
Vorige week werd Garmin slachtoffer van een ransomware aanval door de Russische hackers group Evil Corp. Dagenlang waren de diensten van Garmin onbereikbaar. Het is steeds makkelijker om dit soort aanvallen te doen omdat er zoiets bestaat als 'Ransomware as a Service' (RaaS).
Hackers groep Lazarus zet actief 'VHD-ransomware' in voor bedrijfsaanvallen
Door Noord-Korea gesteunde hackers groep Lazarus zet actief VHD-ransomware in tegen bedrijven, volgens een rapport dat gisteren is gepubliceerd door Kaspersky-onderzoekers.
"Naar schatting 538 miljoen euro bespaard aan ransom betalingen"
Het 'No More Ransom' Project viert vandaag zijn vierde verjaardag. Het project dat de Nederlandse politie, Europol en antivirusbedrijven Kaspersky Lab en McAfee in juli 2016 lanceerden bestaat inmiddels vier jaar.
Geen storing maar gijzelsoftware bij 'Garmin'
Het is al dagen niet mogelijk om sportactiviteiten te synchroniseren met de mobiele app 'Garmin Connect'. Dat geldt ook voor andere diensten van het bedrijf.
Het Nederlands kenniscentrum watertechnologie en slachtoffer van Ransomware, heeft besloten niet te zeggen wat er betaald is aan cybercriminelen
Het Friese onderzoeksinstituut Wetsus heeft na overleg met de politie besloten om het bedrag dat aan een cybercrimineel werd betaald voor het ontsleutelen van bestanden niet bekend te maken. Begin februari raakte het netwerk van Wetsus via een "openstaande serverpoort" door niet nader genoemde ransomware besmet. Een dag na de infectie betaalde Wetsus het losgeld omdat dit goedkoper was dan het zelf herstellen van de systemen.
Klik en versleuteld is terug
In de afgelopen maand hebben onderzoekers van Proofpoint een toename van e-mail-gebaseerde ransomware-aanvallen waargenomen waarbij ransomware al in de eerste fase werd gebruikt. Dit is opmerkelijk omdat de afgelopen jaren aanvallers de voorkeur gaven aan downloaders (doxware) in de eerste fase van een aanval.
Betaal geen losgeld: "De kans is groot dat er bij de ontsleuteling tal van problemen opduiken"
Organisaties die door ransomware worden getroffen moeten het losgeld voor het ontsleutelen van hun bestanden niet betalen, zo adviseert het Nationaal Cyber Security Centrum (NCSC) van het ministerie van Justitie en Veiligheid. Het NCSC heeft vandaag een factsheet gepubliceerd waarin advies wordt gegeven om infecties door ransomware te voorkomen en wat organisaties in het geval van een besmetting kunnen doen.