Een hack zit in een klein hoekje!

Bij een installatiebedrijf, dat zowel werkzaamheden uitvoert voor bedrijven als particulieren, wordt de server ‘s nachts door onbekenden gehackt. Dit wordt ’s ochtends ontdekt en vervolgens wordt het protocol datalekken van het bedrijf gevolgd, dat bekend is bij de medewerkers. Het blijkt om een ransomware actie te gaan. Hierbij is het doel meestal niet om gegevens te stelen, maar om losgeld te innen voor het vrijgeven van de bestanden.

De ondernemer besluit hier niet op in te gaan omdat er sprake is van een goede back-up. Met de back-up door de betrokken externe systeembeheerder van het bedrijf is de server in korte tijd weer gebruiksklaar.

De data op de server waren weliswaar versleuteld of ontoegankelijk gemaakt, maar er kon niet worden uitgesloten dat daarbij persoonsgegevens, bijvoorbeeld namen of contactgegevens van betrokkenen, waren blootgesteld. Het betrof contactgegevens, naam, adres en telefoonnummers van honderden bedrijven en particulieren. Daarnaast mogelijk om ID-nummers en kopie legitimatiebewijzen van zo’n 80 medewerkers. Zeker met die laatste gegevens is het mogelijk om fraude te plegen.

Hoewel er door de versleuteling van de persoonsgegevens vanuit gegaan werd dat er geen sprake was van een hoog risico voor de rechten van vrijheden van de betrokken werknemers en de gevolgen van de inbreuk verwaarloosbaar klein, is de inbreuk wel diezelfde dag nog gemeld bij de Autoriteit Persoonsgegevens. Bij deze melding is aangegeven welke extra maatregelen waren getroffen, waaronder verdere beperking van het netwerk, aanpassen van alle wachtwoorden en dergelijke, zodat het niet langer waarschijnlijk is dat zich daadwerkelijk nog een hoog risico voor de rechten en vrijheden van de betrokkenen zal voordoen. De betrokken werknemers in kwestie zijn geïnformeerd en zijn verzocht eventuele onregelmatigheden bij de werkgever te melden. Die hebben zich uiteindelijk niet voorgedaan.