Een aanvaller wist begin 2023 via een bruteforce-aanval toegang tot een terminal server van softwarebedrijf Nebu te krijgen, waarna toegang werd geforceerd tot de Google Cloud Server van Nebu. Op die server stonden gegevens van klanten van Nebu, waaronder verschillende marktonderzoeksbureaus, zoals het bureau Blauw. Dat staat in een vonnis van de Rechtbank Rotterdam. Blauw en andere onderzoeksbureaus gebruikten de software van Nebu voor het uitvoeren van klanttevredenheidsonderzoeken.

Om gebruik te kunnen maken van de diensten van Nebu bewaarden Blauw en andere marktonderzoeksbureaus grote hoeveelheden data op de servers van Nebu. Het ging onder meer om een grote hoeveelheid persoonsgegevens van de klanten van Blauw’s klanten, zoals bijvoorbeeld reizigers van de Nederlandse Spoorwegen en abonnees van VodafoneZiggo. De opgeslagen data bestond uit namen en adresgegevens, maar in bepaalde gevallen ook om gegevens van medische aard over natuurlijke personen die klanten zijn van Blauw’s klanten.

Begin maart 2023 deed zich een veiligheidsincident voor bij Nebu. "Een ongeautoriseerd en onbekend persoon heeft zich met een brute force attack digitaal toegang verschaft tot de terminal server van Nebu., waarna toegang werd geforceerd tot de Google Cloud Server van Nebu. Op die server zijn data opgeslagen van klanten van Nebu (zoals Blauw), die die klanten met de software van Nebu hebben verzameld en verwerkt. Bij dat incident zijn mogelijk data van Blauw betrokken geraakt die zij bij Nebu had opgeslagen", aldus het vonnis.

Multifactorauthenticatie

"Volgens Blauw had (verplichte) MFA de kans op een succesvolle cyberaanval met 99 procent verminderd, zeker bij een brute force attack als hier aan de orde. Dat geldt nog sterker als Nebu daarnaast ook voldoende maatregelen had getroffen om de gegevens van de klanten van Blauw, af te schermen van die van haar andere klanten (data segregation; datascheiding). Nebu heeft ten onrechte nagelaten datascheiding toe te passen. Dat Nebu onvoldoende maatregelen heeft getroffen om de scheiding van data te waarborgen, blijkt volgens Blauw daaruit dat de brute force attack en de daardoor geforceerde toegang tot de gegevens plaatsvond via het account van een andere klant van Nebu en dat toch toegang werd verkregen tot de data van Blauw en mogelijk tot de persoonsgegevens van Blauw’s klanten", zo laat het vonnis verder weten.

Nebu is het daar niet mee eens. Het softwarebedrijf stelt dat in de periode waarin het incident plaatsvond niet van haar mocht worden verwacht dat zij MFA voor al haar klanten had ingevoerd. Volgens Nebu waren er op dat moment verschillende producten op de markt zonder MFA en werd door (potentiële) klanten niet gevraagd om MFA. Nebu wijst er op dat in de contractuele afspraken tussen partijen noch in de relevante regelgeving is opgenomen dat MFA verplicht was. Dat Nebu na het incident MFA bij al haar klanten kosteloos MFA heeft ingevoerd, doet hier niets aan af, aldus Nebu.

Bovendien had MFA er volgens Nebu in dit geval niet voor gezorgd dat het incident niet had plaatsgevonden en evenmin verschil gemaakt voor het betrokken raken van de gegevens van Blauw’s klanten. Nebu wijst er daarnaast op dat sprake was van een multi tenant environment-contract met Blauw, waarbij verschillende klanten gebruik maakten van dezelfde omgeving voor de gegevensopslag. Dat was volgens Nebu heel gebruikelijk. Volgens Nebu hadden haar klanten in 2021 noch in 2023 toegang tot de gegevens van andere klanten van Nebu en is van daadwerkelijk volkomen gescheiden data alleen sprake als een klant ervoor kiest de gegevens niet in de cloud op te slaan.

"Hieruit volgt dat partijen uiteenlopende visies hebben op de gangbaarheid van MFA en de gebruikelijke wijze van datascheiding in de periode voorafgaand aan het incident. Ook hun standpunten over het effect dat MFA, al dan niet in combinatie met scheiding van data van klanten, in dit geval had gehad, lopen zeer uiteen", laat de rechter weten. Die wil nu dat er een onafhankelijke deskundige komt die hier uitsluitsel over geeft. Ook moet de deskundige een oordeel geven of Nebu Blauw niet onmiddellijk en adequaat heeft geïnformeerd, zoals het marktonderzoeksbureau beweert.

Deskundige