Ransomware-aanval gemeente Buren via gestolen inloggegevens leverancier
De ransomware-aanval op de gemeente Buren van afgelopen april waarbij gevoelige informatie van inwoners werd gestolen en gepubliceerd kon plaatsvinden doordat de aanvallers over de inloggegevens van een leverancier beschikten. Voor dit account was geen tweefactorauthenticatie (2FA) ingesteld, waardoor de aanvallers alleen aan een gebruikersnaam en wachtwoord voldoende hadden. Verdere details over het soort account en de leverancier in kwestie zijn niet gegeven.
Bij de aanval werd zeker honderddertig gigabyte aan data buitgemaakt. Het ging onder andere om identiteitsbewijzen. Op de getroffen systemen stonden kopieën van ruim 1300 identiteitsbewijzen. Om misbruik te voorkomen geeft de gemeente getroffen inwoners de mogelijkheid om hun identiteitsbewijs kosteloos te vervangen. Op dit moment zijn er al ruim duizend inwoners aangeschreven met het aanbod hun identiteitsbewijs te laten vervangen.
De gemeente Buren zegt dat het op advies van specialisten niet is ingegaan op verzoeken van de aanvallers tot contact. "Naar alle waarschijnlijkheid zou er om losgeld zijn gevraagd. Er is daarover niet met de hackers onderhandeld. Ook omdat de Rijksoverheid zich uitgesproken heeft tegen betaling van losgeld bij datadiefstal", zo laat de gemeente weten. De aanvallers claimen dat ze vijf terabyte aan data hebben buitgemaakt.
"Bij onze beveiliging volgen we de richtlijnen van de Baseline Informatiebeveiliging Overheid (BIO). De gemeente kon na de ransomware-aanval meteen doordraaien, omdat de back-upstrategie op juiste wijze is ingericht. Ten aanzien van de monitoring liep ten tijde van de hack nog een inkooptraject dat nog niet was afgerond. Samen met de experts hebben we inmiddels de monitoring van systemen ingericht", zegt burgemeester Josan Meijers.
De aanvallers publiceerden honderddertig gigabyte aan gestolen data op internet. "Helaas kunnen we niet uitsluiten dat meer gegevens opduiken op het darkweb. De gemeente is alert op signalen van schendingen van vertrouwelijkheid van gegevens als gevolg van de hack", zo laat Meijers verder weten. De gemeente werkt nog aan een openbare versie van het onderzoeksrapport naar de aanval.
Ik denk niet dat de leverancier blij is met de uitkomsten van dit onderzoek. Dat kan een beste duit gaan kosten.
van oude kopieen... hooguit maakt dit het juridisch iets eenvoudiger voor slachtoffers van dit misbruik om hun gelijk aan
te tonen, maar kwa rompslomp zal het niets uitmaken.
Ik snap nog steeds niet dat de toegang tot een netwerk zo makkelijk wordt afgegeven aan derden als deze daarom vraagt.
Het zou me overigens verbazen dat er dan nog gedacht wordt aan het afbakenen van die verbinding zodat bijv. alleen die leverancier erbij kan en dan nog de noodzaak om te monitoren en regelmatig controles uit te voeren wordt ook snel vergeten.
Het valt me op dat er zeer lichtzinnig omgesprongen wordt aan het geven van remote toegang aan externe partijen, je geeft ten slotte je voordeursleutel toch ook niet zomaar aan derden als deze erom vraagt?
Het gaat inderdaad om bepalen van de noodzaak en vervolgens de meest beperkte toegang toe te kennen. Dus b.v. een tijdelijk enabled account met auditing enabled, NAC + segmentatie om alleen de host(s) in scope te benaderen vanaf een veilig systeem.
Personal rant: Schop dan ook gelijk alle software er uit welke verplicht als administrator moet draaien.
van oude kopieen... hooguit maakt dit het juridisch iets eenvoudiger voor slachtoffers van dit misbruik om hun gelijk aan
te tonen, maar kwa rompslomp zal het niets uitmaken.
Ik denk dat je de oude ID’s kan flaggen als verlopen. Zo kunnen in ieder geval automatische ID checkers niet meer omzeild worden.
Het is verplicht, maar omdat het geen wet is, is het volgens gemeentes enkel een advies.
Die is er al. Dit is als maatregel opgenomen in de BIO. En de BIO heeft de overheidssector (waaronder gemeenten) zichzelf als verplicht opgelegd. Het is echter geen wetgeving. Hierbij een paar punten uit de BIO:
Pagina 9:
De BIO is allereerst een gemeenschappelijk normenkader voor de beveiliging van de informatie(systemen) van de overheid. Daarnaast concretiseert de BIO een aantal normen tot verplichte overheidsmaatregelen
Pagina 30:
9.4.2.1: Als vanuit een onvertrouwde zone toegang wordt verleend naar een vertrouwde zone, gebeurt dit alleen op basis van minimaal two-factor authenticatie.
Was dit wel een echte ransomware aanval, immers, de eerste recon is de backup?
Ik niet snap...
Backup heel (wonder 1) , en functionerend (dat is al een wonder), up en running in korte tijd (3de wonder)...
Ik geloof niet zo in wonderen...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
