Bij de aanval met de Petya-ransomware eind juni zijn vier Nederlandse bedrijven besmet geraakt, zo heeft staatssecretaris Dijkhoff van Veiligheid en Justitie aan de Tweede Kamer laten weten. Net als bij de recente aanval met CCleaner was er ook in het geval van Petya sprake van een "supply chain" aanval.

De initiële infectie binnen bedrijven vond plaats via een backdoor in de boekhoudsoftware van een Oekraïens softwarebedrijf. Vervolgens gebruikte Petya verschillende manieren om zich verder binnen het netwerk te verspreiden. In eerste instantie werd gedacht dat het om een nieuwe variant van de Petya-ransomware ging, maar later werd duidelijk dat de malware, die ook NotPetya, GoldenEye en ExPetr wordt genoemd, was ontwikkeld om voornamelijk schade te veroorzaken.

Volgens de staatssecretaris heeft de uitbraak van de ransomware niet voor een maatschappelijke ontwrichting in Nederland gezorgd. "Dit komt mede doordat de aanval niet specifiek gericht lijkt te zijn op Nederlandse organisaties en klanten van de getroffen bedrijven (deels) gebruik konden maken van alternatieve dienstverleners. Dat neemt niet weg dat er wel degelijk sprake is van een serieuze impact", aldus Dijkhoff in zijn brief aan de Kamer (pdf).

De ransomware heeft, voor zover bij het NCSC bevestigd, vier Nederlandse bedrijven besmet. Er zijn geen besmettingen binnen de Rijksoverheid of vitale infrastructuur bekend. Wat betreft de schade van de aanval voor Nederland is dit lastig te kwantificeren, laat Dijkhoff weten. "Dit komt onder andere doordat onduidelijk is in hoeverre klanten van getroffen bedrijven makkelijk een alternatief kon worden geboden door het getroffen bedrijf, door andere Nederlandse aanbieders of dat klanten uitweken naar het buitenland."

De staatssecretaris stelt verder dat, mede in het licht van de Petya-casus, het belangrijk is om te investeren in het verhogen van de digitale weerbaarheid buiten de vitale infrastructuur. Zo wordt er volgend jaar 26 miljoen extra voor cybersecurity uitgetrokken en zal er een Digital Trust Centre (DTC) worden opgericht. Dit centrum moet bedrijven en maatschappelijke organisaties informeren, adviseren en concrete hulp en ondersteuning bieden voor het verbeteren van cybersecurity.