Meerdere Britse en Canadese universiteiten, verschillende stichtingen en instellingen en mensenrechtenorganisatie Human Rights Watch hebben met een datalek te maken gekregen nadat er bij hun CRM-provider werd ingebroken. Op 17 juli berichtte Security.NL al over een aanval op Blackbaud, een cloudsoftwarebedrijf dat allerlei diensten aan non-profitorganisaties levert, waaronder CRM-systemen (customer relationship management).

Blackbaud was in mei het doelwit van een ransomware-aanval. De aanval werd gestopt, maar voordat de aanvaller de ransomware uitrolde wist hij gegevens van een aantal Blackbaud-klanten te stelen. Afgelopen woensdag werd bekend dat het onder andere om de Universiteit van York ging. Nu blijkt dat veel meer partijen door de inbraak slachtoffer van een datalek zijn geworden.

Het gaat de Oxford Brookes University, Loughborough University, University of Leeds, University of London, University of Reading, University College, Oxford, Ambrose University, Rhode Island School of Design, University of Exeter, West Virginia University Foundation, liefdadigheidsinstelling voor kinderen YoungMinds en mensenrechtenbeweging Human Rights Watch. Dat blijkt uit berichten die de getroffen organisaties op hun eigen websites hebben geplaatst en de BBC.

Bij de aanval kreeg de aanvaller privégegevens van zowel studenten, alumni als medewerkers van de universiteiten in handen, waaronder naam, geboortedatum, studentennummer, adresgegevens, telefoonnummer, e-mailadres, beoordelingen, baan, naam van werkgever en andere informatie. Bij Human Rights Watch ging het om gegevens van donateurs. De organisatie zegt dat geen gebruik meer maakt van Blackbaud voor het verwerken van creditcard- en donateursgegevens.

Blackbaud maakte eerder al bekend dat het de crimineel achter de aanval heeft betaald om de data te vernietigen. Het bedrijf denkt niet dat de data buiten de cybercrimineel om is verspreid, is of zal worden misbruikt of op andere wijze openbaar zal worden gemaakt. De universiteiten laat in hun berichtgeving over het incident weten dat de aanvaller garanties aan Blackbaud heeft gegeven dat de data is vernietigd.