De aanvallers achter de aanval op de TU Eindhoven beschikten over gestolen inloggegevens van in elk geval één medewerker en één student, zo stelt de Volkskrant op basis van ingewijden. Via de inloggegevens konden de aanvallers inloggen op het Windows-domein van de universiteit, aldus de krant. Volgens de anonieme ingewijden zijn de inloggegevens van de gecompromitteerde accounts teruggevonden in logbestanden van infostealer-malware.

Infostealer-malware is speciaal ontwikkeld voor het stelen van gebruikersnamen, wachtwoorden, cookies en andere data van besmette systemen. Verdere details over de aanval worden niet door de Volkskrant gegeven. De universiteit liet eerder zelf al weten dat het op zijn vroegst in april met een onderzoeksrapport over de aanval komt. Wel zijn gegevens inmiddels met andere onderwijsinstellingen gedeeld. Daarop besloot de Radboud Universiteit Nijmegen om het verplicht gebruik van multifactorauthenticatie voor de eigen vpn-dienst versneld in te voeren.

Eerder wisten aanvallers ook via gestolen inloggegevens toegang tot systemen van de Universiteit van Amsterdam (UvA) en de Hogeschool van Amsterdam (HvA) te krijgen. Die aanval begon via een besmette laptop van een student, zo bleek uit onderzoek. Bij de aanval werden meer dan zestig servers van de onderwijsinstellingen geïnfecteerd en werden versleutelde wachtwoorden van zowel studenten als medewerkers buitgemaakt. De laptop van de student raakte besmet met malware waardoor de aanvaller toegang tot meerdere accountgegevens kreeg, waaronder inloggegevens van een HvA/UvA-gebruikersaccount.

Een aantal van de grootste datalekken vorig jaar, waarbij gegevens uit de cloudomgeving van Snowflake werden gestolen, zouden ook door infostealers zijn veroorzaakt. Onlangs bleek ook dat een datalek in hotelmanagementplatform Otelier, waarbij gegevens van onder andere gasten van hotelketens Marriott, Hilton en Hyatt werden buitgemaakt, via infostealer-malware begon.