De hack uitgelegd #1: Universiteit Maastricht

Wat is er gebeurd?

De Universiteit Maastricht is eind 2019 slachtoffer geworden van een zeer grote cyberaanval. Hackers waren erin geslaagd om toegang te krijgen tot het computernetwerk en hebben belangrijke systemen en gegevens versleuteld. Tegen betaling zouden de hackers de systemen en gegevens weer vrijgeven, deze aanval is bekend onder de naam ‘Ransomware’ aanval. Door de versleuteling ondervonden 19.000 studenten en 4.500 medewerkers wekenlang grote problemen op digitaal vlak, de primaire en secundaire processen waren zeer zwaar getroffen.

Door de versleuteling van de servers van de universiteit waren o.a. mailboxen, onderzoeken, computers en een aantal websites niet meer te bereiken. De back-up servers waren ook geraakt bij de versleuteling, waardoor het herstel heel complex was geworden. Als gevolg van de hack kon de universiteit vrijwel niets anders doen dan de hackers te betalen, zodat er weer toegang verkregen kon worden tot de versleutelde bestanden. De universiteit heeft hier €197.000 voor betaald. Als er niet betaald was, dan had het wel maanden kunnen duren voordat alle studenten en medewerkers weer aan de slag konden gaan en waren bestanden waarschijnlijk verloren gegaan.

Wat is ransomware?

Het Nationaal Cyber Security Centrum (NCSC) zegt hierover:

“Ransomware is malware die de databestanden van gebruikers versleutelt, met als doel om deze later te ontsleutelen in ruil voor losgeld. In extreme gevallen blokkeert de ransomware de toegang tot het IT-systeem door ook systeembestanden te versleutelen die essentieel zijn voor de goede werking van het systeem. Gezien het destructieve karakter van ransomware-aanvallen is het vaak moeilijk om de logbestanden te herstellen en te achterhalen wat er daadwerkelijk is gebeurd. Hackers kunnen intellectueel eigendom of persoonsgegegevens hebben gestolen, waarbij zij ransomware inzetten om hun echte bedoelingen te verbergen“.

Oorzaak van de hack

15 oktober 2019

Het begon allemaal op 15 oktober 2019. Uit forensisch onderzoek is gebleken dat heel de cyberaanval begon met twee phishing-mails. De phishing-mails waren volgens de universiteit nauwelijks van echt te onderscheiden. Medewerkers van de universiteit klikte op de mails, waardoor de cyberaanvallers toegang kregen tot één laptop. Vanuit die laptop baanden de hackers zich een weg door de systemen van de universiteit. Het computernetwerk werd gedurende een periode van bijna twee weken stap voor stap verkend, de belangrijkste databestanden en back-ups werden voorbereid op versleuteling.

23 december 2019

Op 23 december 2019 rolden de hackers ransomware uit, waardoor er in totaal 267 servers werden versleuteld. Het was de hackers namelijk gelukt om volledige administratie-rechten te krijgen over de servers. Dat dit mogelijk was, kwam doordat twee servers een zeer belangrijke beveiligingsupdate van 2017 misten. Verder waren diverse basismaatregelen niet op orde, zoals het juist afhandelen van de phishing-melding, segmentatie van het netwerk, toepassing van monitoring en detectie van hacks en het offline opslaan van back-ups.

Tot slot

Wij adviseren onze klanten om meer aandacht te besteden aan de beveiliging van informatie en IT. We sluiten ons dan ook aan bij de zienswijze van het Nationaal Cyber Security Centrum (NCSC):

“Zolang organisaties niet voldoende aandacht besteden aan cybersecurity, blijft malware zoals ransomware bestaan. Het verdienmodel is gebaseerd op de gedachte dat een organisatie noodgedwongen moet betalen. Door een ransomware-aanval te voorkomen helpt u niet alleen uw eigen organisatie, maar draagt u bij aan het verstoren van deze criminele activiteit.

Tegelijkertijd kunnen niet alle ransomware aanvallen voorkomen worden. Zorg daarom dat u ook voorbereid bent op de mogelijke impact van een ransomware-aanval.”