Verschillende Nederlandse woningcorporaties hebben te maken gekregen met een datalek nadat hun ict-dienstverlener het slachtoffer van ransomware werd. Bij de aanval wisten criminelen achter de Conti-ransomware persoonlijke informatie te stelen. Verschillende gestolen bestanden zijn inmiddels door de Conti-groep op hun eigen website gepubliceerd.

Op 27 maart kreeg ict-dienstverlener The Sourcing Company (TSC) te maken met een ransomware-aanval, waarbij een deel van de servers werd versleuteld. "Om de aanval te stoppen en herstelwerkzaamheden mogelijk te maken heeft TSC voorts een aanvullend deel van haar netwerk offline gebracht. Dit heeft tot een storing in de dienstverlening van TSC geleid", aldus het bedrijf in een verklaring op de eigen website.

The Sourcing Company liet vorige week weten dat het bezig was met het herstel van systemen zodat klanten weer volledig operationeel kunnen zijn. "Wij kunnen nog geen inschatting geven van wanneer TSC volledig is hersteld", zo stelt de onderneming, die sindsdien geen verdere updates heeft gegeven.

Getroffen woningcorporaties

TSC verzorgt de ict voor meerdere woningcorporaties, namelijk Alwel (Roosendaal), Brederode Wonen (Bloemendaal), Laurentius (Breda), l'esceaut (Vlissingen), Trivire (Dordrecht), QuaWonen (Krimperwaard), De Woningstichting (Wageningen) en Zayaz ('s-Hertogenbosch). De woningcorporaties melden dat uit onderzoek blijkt dat erbij de aanval gegevens van een klein aantal huurders is gestolen. "Bij de digitale aanval hebben de daders persoonlijke gegevens van een klein aantal huurders (deels) ingezien of opgeslagen. Persoonlijke gegevens zijn naam, adres, geboortedatum, BSN-nummer en bankrekeningnummer bijvoorbeeld", zo laat Zayaz weten.

Het is op dit moment nog niet duidelijk welke huurders zijn getroffen. "Inmiddels is duidelijk dat de situatie (wel of geen datalek en de impact ervan) per woningcorporatie verschilt. Er zijn ook woningcorporaties waarbij het nagenoeg zeker is dat er geen vertrouwelijke data zijn gelekt. Trivire behoort tot deze categorie corporaties. Het onderzoek tot nu toe ondersteunt dit ook: er zijn geen aanwijzingen dat er vertrouwelijke data van Trivire is gelekt", meldt corporatie Trivire.

De aanval heeft nog altijd gevolgen voor de corporaties, van wie de systemen niet beschikbaar zijn. "Dit betekent dat wij niet bereikbaar zijn via e-mail, en contact via onze website is ook niet mogelijk. Ons telefoonnummer is beperkt bereikbaar. Daarom is onze dienstverlening anders dan u van ons gewend bent", aldus een deel van de corporaties. Die stellen ook niet bij de gegevens van huurders te kunnen. Het datalek is inmiddels gemeld bij de Autoriteit Persoonsgegevens. De corporaties zeggen dat er contact is geweest met de criminelen en er is besloten om geen losgeld te betalen.