Cloudsoftwarebedrijf Blackbaud, dat in 2020 door een ransomware-aanval werd getroffen dat onder andere voor een datalek bij de TU Delft en Universiteit Utrecht zorgde, heeft een misleidende melding over het incident voor een bedrag van drie miljoen dollar geschikt. Dat heeft de Amerikaanse beurswaakhond SEC laten weten.

Blackbaud is een cloudsoftwarebedrijf dat allerlei diensten aan non-profitorganisaties en onderwijsinstellingen levert, waaronder CRM-systemen (customer relationship management). Bij de ransomware-aanval wist de aanvaller gegevens van dertienduizend klanten te stelen. Blackbaud betaalde de aanvaller om de gegevens te vernietigen en stelde dat er geen bankgegevens of socialsecurity-nummers waren buitgemaakt.

Het personeel ontdekte dat de aanvaller deze gevoelige informatie wel had gestolen. De medewerkers lieten dit door het ontbreken van meldprocedures niet aan het management weten dat voor de datalekmelding verantwoordelijk was. Toen het bedrijf in augustus 2020 de ransomware-aanval bij de SEC meldde ontbrak deze informatie dan ook. Hierdoor heeft Blackbaud investeerders niet tijdig en juist geïnformeerd. Het bedrijf heeft hiermee de Amerikaanse Securities Act overtreden. De SEC en Blackbaud zijn nu voor deze overtreding een schikking van drie miljoen dollar overeengekomen.

Bij de TU Delft en Universiteit Utrecht werden door de aanval op Blackbaud de privégegevens van zo'n 250.000 alumni, donateurs en relaties van de universiteiten gestolen. Van zesduizend afgestudeerden van de Universiteit Utrecht ging het ook om burgerservicenummers. Het incident leidde nog tot vragen in de Tweede Kamer.