Universiteit Maastricht wint SURF Security en Privacy Award 2021
De Universiteit Maastricht heeft de SURF Security en Privacy Award 2021 gewonnen. De onderwijsinstelling kreeg de prijs van 2500 euro voor de open wijze waarop het de kennis en ervaring deelde over de ransomware-aanval waar het eind 2019 mee te maken kreeg.
De aanval begon met verschillende e-mails die een Excel-document als bijlage hadden. Twee medewerkers openden dit document en activeerden de kwaadaardige macro's in de documenten die de aanvallers hadden toegevoegd. Zo werden de eerste twee UM-systemen gecompromitteerd. Via deze systemen werd vervolgens de rest van het netwerk overgenomen.
Verder bleek dat twee servers een belangrijke beveiligingsupdate misten, hadden systeembeheerders in strijd met het beleid van de universiteit gebruikgemaakt van het domeinbeheerderaccount voor het uitvoeren van onderhoudswerkzaamheden en waren back-ups vanaf het gecompromitteerde netwerk toegankelijk, waardoor die ook konden worden versleuteld. Er was van een ander systeem wel een offline back-up, maar die bleek zes maanden oud. "Een lacune", aldus de universiteit.
Uiteindelijk zag de Universiteit Maastricht zich genoodzaakt om de verantwoordelijke criminelen 197.000 euro losgeld te betalen voor het ontsleutelen van de bestanden. De Onderwijsinspectie oordeelde vorig jaar dat de universiteit niet goed voorbereid was op ransomware-aanvallen.
Zes weken na de aanval organiseerde Universiteit Maastricht een symposium over de geleerde lessen. Daarin deelden zij openlijk hun ervaring en kennis over het incident. Het symposium was voor iedereen via een livestream te volgen. De belangrijkste boodschap van het symposium was de noodzaak de sector weerbaarder te maken tegen cybercriminaliteit door meer samen te werken.
De SURF Security en Privacy Award wordt jaarlijks uitgereikt aan een persoon, initiatief, of idee bijdragend aan een zo open, toegankelijk, privacyvriendelijk en betrouwbaar mogelijk internet. De geldprijs van 2500 euro moet worden ingezet om de security en/of privacy van de sector verder te verbeteren. Hieronder de e-mails die de aanvallers gebruikten.
Maar het effect is wel dat de prijs is uitgereikt aan een organisatie die cybercrime lonend gemaakt heeft door te betalen aan criminelen.....
Maar het effect is wel dat de prijs is uitgereikt aan een organisatie die cybercrime lonend gemaakt heeft door te betalen aan criminelen.....
Want dat zou jij / jouw bedrijf natuurlijk NOOOOIT doen!
Maar het effect is wel dat de prijs is uitgereikt aan een organisatie die cybercrime lonend gemaakt heeft door te betalen aan criminelen.....
De keuze die hierin is gemaakt is een weloverwogen keuze. Ik deel je zorgen, maar de achterliggende overweging van UM is zeer helder uiteengezet in diverse documentatie en uitingen. De consequenties van niet betalen waren vele malen groter dan die van het wel betalen. Vergeet niet dat UM te maken had met een "bedrijf" dat weliswaar een criminele business model heeft, niet per see met een stel criminelen of anderszins die vanuit een ideologie bezig waren.
Ik zie het verschil niet zo, zodra criminelen zich beter organiseren en het een "bedrijf" noemen dan is het minder erg om ze te betalen?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
