Personeelsgegevens van 1400 ambtenaren uit Gelderland zijn bij hack buitgemaakt

Bij een hack op een extern IT-bedrijf waar de provincie Gelderland mee samenwerkt, zijn 1400 personeelsdossiers gedownload door criminelen. Er zijn geen aanwijzingen dat de gegevens van ambtenaren specifiek een doelwit waren.

Experts vermoeden volgens provincie Gelderland dat de personeelsdossiers 'bijvangst' zijn geweest. Vanuit de hackers is er geen contact geweest met de provincie of met getroffen ambtenaren. De data werd buitgemaakt bij een grotere hack op een IT-bedrijf. Daar zou naast de dossiers 'een fors volume' aan data zijn gestolen, maar het is niet bekend om welk bedrijf of welke data dat gaat.

Eerder deze maand deed de provincie Gelderland aangifte van een hack. Destijds was nog niet zeker of er ook daadwerkelijk gegevens van ambtenaren waren gestolen. Na forensisch onderzoek is achterhaald dat er inderdaad 1400 personeelsdossiers zijn gedownload. Volgens de provincie zit er een groep 'buitenlandse hackers' achter de aanval en hadden die het gemunt op bedrijven waar relatief veel data in omgaat.

De provincie Gelderland heeft de samenwerking met het externe IT-bedrijf stopgezet en een Incident Respons Team gestart. Dat fungeert ook als vraagbaak voor het personeel. Ook is er een melding gemaakt bij de Autoriteit Persoonsgegevens.

Reacties (56)

[marcelk1607]

"extern IT-bedrijf waar de provincie Gelderland mee samenwerkt"
Hmm welk topbedrijf was dit nu weer?

[SED]

In 2017 is er een contract gesloten voor 4 jaar aldus deze publicatie.
https://dutchitchannel.nl...provincie-gelderland.html

[SunnieNL]

Tja, maar is dat de partij waar ze hier over praten? Misschien is dat wel een andere partij. De ict van een provincie is zelden van 1 dienstverlener afhankelijk. Misschien gaat het hier wel om de dienstverlener van het HR pakket, of het document management systeem…

[Reactie gewijzigd door SunnieNL op 22 juli 2024 20:30]

[SED]

Dat staat gewoon in het stuk.
.......
de diensten rondom infrastructuur, hosting, werkplekken en servicedesk van de provincie overneemt en uitvoert.
....

[SunnieNL]

In welk stuk? Ik zie het bij tweakers niet staan, niet in het vorige bericht en niet in het oorspronkelijke bericht.. voor de zekerheid zelfs op je zin gezocht, maar dan zie ik het nog niet. Of bedoel je jouw link? Daarvan zeg ik juist dat dit niet hoeft te zijn waar we nu over spreken.
In het stuk waar tweakers naar linkt staat namelijk dat het een bedrijf betrof dat de personeels dossiers actualiseerde. Dus ik denk niet dat dit het bedrijf is waar jij naar linkt.

[SED]

Goed mogelijk. Maar in mijn link stond helder waar het contract over ging.

[cricque]

Kijkik host bij partij x laat ons nu aws nemen. Het deel van aws dat ik gebruik wordt gehacked … is dat dan mijn fout ? Het is altijd gemakkelijk om te zeggen alles kan veilig etc… Als iemand jou wilt hacken dan zal je gehacked worden zo simpel is dat. Het is gewoon een kwestie van tijd en hoe interessant doelwit je bent. Ik zeg niet dat beveiliging meestal niet beter kan, maar niet elke hack is bij een “topbedrijf” en het is toch volgens jouw reactie o zo gemakkelijk

[CAPSLOCK2000]

Kijkik host bij partij x laat ons nu aws nemen. Het deel van aws dat ik gebruik wordt gehacked … is dat dan mijn fout ?

Het is niet jouw fout maar wel jouw verantwoordelijkheid. Misschien heb je de fout gemaakt om niet te controleren hoe AWS z'n spullen beveiligd. Misschien heb je wel gedacht dat zo'n groot bedrijf het wel goed op orde zal hebben. Misschien heb je wel afgepoeierd met een "we doen geen mededelingen over de beveiliging van onze producten". Misschien ben je keihard voorgelogen.

Wat de reden ook is, jij hebt een partij gekozen. Je had ook een andere partij kunnen kiezen. Niet per se fout, wel verantwoordelijk. Dat laatste willen veel bedrijven echter niet horen. Die denken dat ze geen verantwoordelijkheid hebben als hun IT-leverancier blundert en het af kunnen doen met "sorry, fout van onze leverancier, ga daar maar klagen!".

En ik snap het want het is voor outsiders eigenlijk onmogelijk om iets over IT-veiligheid te zeggen. Eigenlijk moet je dus een snoeihard contract opstellen waarbij alle verantwoordelijkheid door de leverancier wordt gedragen. Maar dat willen de meeste leveranciers niet want die weten hoe moeilijk beveiliging is. Die gaan niet verder als 'best practices', 'industry standard' of 'best effort'.
En de bedrijven die het wel willen doen zijn duur, heel duur. Daar zitten de meeste klanten niet op te wachten.

Dus krijg je de situatie dat de klusjes gewoon naar de laagste bieder gaan. Praktische veiligheid speelt nauwelijks een rol. Als er al naar gevraagd wordt dan wordt het zeker niet gecontroleerd. Dat hebben we al zo vaak gezien dat ervaren IT'ers daar een beetje cynisch van worden.

[cricque]

>>Het is niet jouw fout maar wel jouw verantwoordelijkheid. Misschien heb je de fout gemaakt om niet te controleren hoe AWS z'n spullen beveiligd. Misschien heb je wel gedacht dat zo'n groot bedrijf het wel goed op orde zal hebben. Misschien heb je wel afgepoeierd met een "we doen geen mededelingen over de beveiliging van onze producten". Misschien ben je keihard voorgelogen.>>

Als kleine speler mag je doen wat je wilt, maar probeer jij maar eens bij AWS, Azure of Google Cloud inzicht te krijgen, dat mag je dus vergeten. Daar is het van ... er zijn genoeg andere providers en je kan ophoepelen. Zelfs bij kleinere hosts zal je geen inzage krijgen. Of je zal heel veel geld moeten uitgeven, met een superduur product. Dan mag het nog zo goed zijn, je zal niet veel verkopen

Ik zeg niet dat de verantwoordelijk niet ligt bij het bedrijf, maar je gebruikt een platform. En spijtig genoeg heb je daar geen controle over. Je kan hopen dat het bedrijf waarvoor je gekozen heeft zijn zaken op orde heeft. Je kan ook een eigen server gebruiken etc, maar hoeveel kleine applicaties zijn dan veilig .. Niet iedereen kent iets van security. Ik gebruik zelf zowel AWS, Google Cloud als Azure. Maar ik blijf erbij, als iemand jou wilt hacken, dan zal je gehacked worden. Ongeacht of je security op orde is of niet, welke diensten je gebruik van maakt. Kijk als ik nu bijvoorbeeld op AWS toegang zou kunnen krijgen tot alle databases ... Tsja dan is het een fout van AWS. Uiteraard heeft het bedrijf dat zijn services aanbied ook een probleem. Maar er is theorie en praktijk. En in theorie zou ik alles mooi moeten nagaan bij mijn provider. Maar in de praktijk mag je ophoepelen. En wat heb je liever, iemand die alles zelf host of iemand die een platform gebruikt ? Mijn keuze zal al snel naar het 2de gaan. Want hoeveel programmeurs zijn er die ook iets kennen van een server inrichten en security etc. Niet zoveel. En iemand inhuren kost dan ook weer geld, waardoor je jezelf dan misschien uit de markt zet. Dusja je moet echt wel gaan nadenken.

Als overheid kan je wel wat afdwingen bij Google Cloud/Azure/Aws, maar als kmo mag je dat vergeten tenzij je over ongelooflijke budgetten beschikt en van plan bent om daar elke maand een paar 1000 euro's achter te laten. En als je op het punt staat dat je elke maand 10-20k aan Azure/AWS/Google Cloud kan betalen, dan kan je ook personeel inhuren. Maar de kleinere applicaties waar je maandelijks een factuur van 100-200 euro hebt ofzo voor 50-100 klanten (en zo zijn er genoeg), tsja daar lachen ze dus is mee

[Soldaatje]

Mee eens, het is ook pijnlijk voor het IT-bedrijf, die vragen hier ook niet om dat dit is gebeurd. Het bedrijf aan de schandpaal nagelen zal ook niet bijdragen aan een oplossing. Hopelijk worden er wel lessen uit getrokken door alle betrokkenen, dat is het enige wat nuttig is.

[marcelk1607]

Ze blijven lekker anoniem zo, dus wat zal daar veranderen? Geef gewoon je fouten toe en hoe je het gaat oplossen zodat het de volgende keer beter gaat

[theduke1989]

Vraag me dan toch echt af waarom een Google of een aws of Azure onderdeel niet gehackt wordt? Dit soort kleine IT bedrijfjes hoor je niet jouw zaken op hun systemen te draaien. Een dagelijkse backup zonder enige informatie zou voldoende moeten zijn.

[The Zep Man]

Volgens de provincie zit er een groep 'buitenlandse hackers' achter de aanval en hadden die het gemunt op bedrijven waar relatief veel data in omgaat.

Hoe weet de provincie dit zo stellig? Ik bedoel, de kans is groot, maar het kunnen ook Nederlanders (en zelfs Gelderlanders) zijn die via het buitenland werken.

Doe een paar сука блять verwijzingen hier en daar in dataverzoeken, en men denkt al snel dat de bron van de aanval in Rusland is.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 20:30]

[Iblies]

Je zou eens voor de lol een paar een keer een “aanval” moeten plegen met Nederlands woordjes , kijken wat dat voor commentaar geeft 😅


Overigens is het best plausibel dat er oost-europese groepen achter zitten zonder direct aan Rusland te hoeven denken,
in Nederland alleen al zijn heel veel oost-europese medewerkers in heel veel sectoren actief die kort samengevat onder het bestaansminimum leven maar wat compleet legaal is aangezien ze vaak hier niet formeel leven of niet lang genoeg formeel leven om ergens recht op te hebben.

Dat is de kat op het spek binden en dan veronderstellen dat het allemaal veilig is.
Van de 100den duizenden die er werken heb je er maar een paar nodig om genoeg info op te bouwen wat niet eens helemaal bewust hoeft te gaan.

[sympa]

Bedoel je "ik heb de code gevonden op het hulp-forum waar iedereen op rondhangt, en gebruikt in de productieoplossing?"

[Cergorach]

Query='domme_gebruiker';'incompetenteIT';'lek-als-een-mandje'

;-)

[jpsch]

Nederland is natuurlijk maar een klein landje. Kans is groter dat de hack door een niet-Nederlander gepleegd wordt.

[Lagonas]

In dat opzicht geldt dat voor bijna elk land.

[TheekAzzaBreek]

Heb je wel eens zo'n forensisch onderzoek bekeken?
Dat gaat heus wel wat dieper dan dat. Google maar eens op diginotar, daar is destijds een compleet forensisch onderzoek over gepubliceerd.

[mjtdevries]

Het zou bepaalt niet de eerste keer zijn dat meteen naar het buiteland word gewezen en vervolgens blijkt het een scriptkiddie in Nederland te zijn.

[Flagg]

Laat eens 2 andere voorbeelden zien dan?

[Bockelaar]

de vraag is meer: wat moet een extern IT bedrijf met 1400 ambtenaren personeelsdossiers? Waarom hebben ze die überhaupt? En waarom bewaren ze die?

serieus: Hoezo?

[koppie]

Het is tegenwoordig ook voor overheidsinstanties normaal geworden om hun hele HR hebben en houden (salaris, beoordelingen, opleidingsplannen en andere onderdelen) onder te brengen bij een derde partij die dit als SAAS aanbiedt. Bijvoorbeeld een bedrijf als Raedt biedt dit aan..

Wat je er verder ook van vindt, want ook opsporingsinstanties doen dit, en dit maakt het weer een nieuwe aanvalsvector om vertrouwelijke persoonsgegevens boven water te krijgen….

[Bockelaar]

overheden dienen een risicoanalyse uit te voeren en op basis van de BIO keuzes te maken. Data als personeelsdossiers met vertrouwelijke gegevens is m.i. hoger dan BBN2/DEP-V en zou dus niet zomaar naar een public cloud mogen. *ALS* dat al kan, is dat alleen als er zware aanvullende maatregelen genomen worden. Die lijken niet genomen hier ...

Ik denk hoop dus dat je je vergist

[Reactie gewijzigd door Bockelaar op 22 juli 2024 20:30]

[Bitfreakie]

Klopt. Ik werk bij een gemeente en wij zijn ontzettend scherp op onze cloudleveranciers. Afhankelijk van de gevoeligheid van de data die zij voor ons verwerken moeten passende maatregelen worden genomen op het gebied van beschikbaarheid, integriteit en vertrouwelijkheid. En die zijn niet kinderachtig: we hebben genoeg leveranciers die vinden dat 'wij moeilijk doen' of zeggen dat 'niemand anders heeft hier ooit naar gevraagd'. Dat zal dan wel maar wij willen als gemeente niet dat onze gegevens op straat komen te liggen: wij blijven verantwoordelijk voor de data.

Controle van de leveranciers blijft wel een lastig punt: er zijn inmiddels zó veel leveranciers waar je zaken mee doet, die kun je niet allemaal ieder jaar (laten) auditen. En dan nog blijft een audit een momentopname: een week nadat de audit is geweest kan een iemand bij een leverancier een wijziging in de configuratie etc doorvoeren waardoor een kwetsbaarheid ontstaat.

[oef!]

Niet alleen overheidsinstanties. Een aantal commerciële bedrijven waarvoor ik gewerkt heb maken ook gebruik van Afas.

@Bockelaar Een organisatie als een provincie wil zijn IT personeel niet vermoeien met zaken zoals HR applicaties of een de honderden andere applicaties die ze gebruiken. Hierom wordt zoveel mogelijk ge-outsourced naar SaaS leveranciers. Dat kost geld maar je IT personeel (een schaars goed) hoeft niet opgeleid te worden, je hoeft geen hardware te kopen/onderhouden en het beheer wordt door een externe partij gedaan. Dat laatste ging hier blijkbaar niet helemaal goed

[Caelestis]

Hehe Afas... Wat een troep.
Ik moet het ook gebruiken als 2fa voor onze eigen interne portal.
Om mijn huidige werk rooster in te zien moet dat middels 2fa.
Wil ik mijn salaris strook inzien moet ik enkel inloggen op het afas tool zonder 2fa.
Blijkbaar zijn je privé gegevens minder belangrijk dan de begin tijd van een dienst.

[Iblies]

Dat valt onder de categorie business process support;

https://www.gartner.com/e...s-process-outsourcing-bpo

Business process outsourcing (BPO) is the delegation of one or more IT-intensive business processes to an external provider that, in turn, owns, administrates and manages the selected processes based on defined and measurable performance metrics. BPO offerings are categorized in two major categories: horizontal offerings (those that can be leveraged across specific industries) and vertical-specific offerings (those that demand specific industry vertical process knowledge).

Onder de streep is het vaak niet eens meer goedkoper als na paar maanden de aanvankelijke offerte niet meer klopt en er allerlei meerwerk in rekening wordt gebracht.

En met name overheidsinstanties zouden genoeg middelen hebben om complete systemen uit de grond te stampen.
Het is raar dat iets zo banaals als personeelsadministratie bij een extern bedrijf moet als er zoveel mensen in dienst zijn bij die overheid.

[sympa]

Die bedrijven als Raet "stimuleren" wel wetswijzigingen waardoor allerlei dingen juist niet triviaal zijn. Op zijn minst vinden ze het niet erg...

[mphilipp]

En met name overheidsinstanties zouden genoeg middelen hebben om complete systemen uit de grond te stampen.

Jaja..en dan loopt dat project weer gierend uit de bocht, kost 6x het begrootte budget en duurt 2 jaar langer dan gedacht. Drie keer raden wat dán het commentaar is (misschien ook wel van jou? )
* Overheid en ICT projecten gaan nooit goed
* Waarom beleggen ze dat niet bij een gespecialiseerd bedrijf?

Het is voor dergelijke generieke bedrijfsprocessen (en dat zeg ik als voormalig custom development specialist) gewoon onzin om dat zelf te ontwikkelen. Ik zie op dit moment dergelijke software zelfs als de beste kandidaat om in de cloud te zetten. Neem het gewoon af als SAAS via een van de aanbieders. Het is gewoon veel efficiënter. Zaken als boekhouding, HRM, salarisadministratie, helpdesksoftware, zijn allemaal van die generieke producten die je sowieso niet meer zelf moet gaan ontwikkelen, maar eigenlijk ook niet meer zelf zou moeten draaien.

En het kan makkelijk wél veilig ergens gehost worden. Als het in je eigen DC veilig kan, kan dat daar ook. Alles kan uiteindelijk gehackt worden, en we weten helemaal niet hoe dat hier in zijn werk gegaan is.

[bvo2411]

Probleem bij de overheid of anders gezegd grote uitdaging is dat je met twee hele grote pijlers te maken hebt.
1. Overheidsorganisaties kunnen niet zomaar alles inkopen en zijn hierdoor meestal verplicht tot een aanbesteding van hun werk/diensten. De combinatie van ICT en aanbesteden is heel lastig, omdat er vaak niet alle kennis aanwezig is binnen de desbetreffende overheid, dus worden hier vaak weer externe partijen voor ingehuurd om dit te begeleiden. Nadeel hiervan is dat zij vaak geen kennis hebben van de interne processen en de cultuur van de organisatie en hierdoor dus een heel stuk info missen.
2. Politiek, politiek........en kijk mij eens!

inderdaad wat je schrijft een ICT project bij de overheid duurt vaak lang en kost een hoop geld. Ik praat uit ervaring.

Mijn twee oplossingen hiervoor.
1. Doe meer zelf als overheid met eigen ICT mensen die de omgeving en het belang begrijpen, maar dan met een goede partner als back-up. Houd de regie en kennis in eigen huis.
2. Politiek dient faciliterend te zijn en niet in de weg te staan van ICT, vaak is het andersom.

[mphilipp]

Ja, jouw oplossingen zijn prima, maar (en ook ik spreek uit ervaring) dat ze bij de overheid precies NIET luisteren naar de mensen die weten hoe het moet. Maar HRM uitbesteden aan bedrijven als AFAS lijkt gewoon te kunnen. Dus het is niet altijd een probleem.

En nogmaals: voor dergelijke processen is uitbesteden veel beter. Je moet gewoon (als geen enkel bedrijf) dat soort software zelf willen ontwikkelen. Dat voegt helemaal niets toe want het behoort niet tot je taak. Het is een ondersteunend proces.

[SteefOne]

Dat is de hele verschuiving naar de cloud en SAAS-oplossingen denk ik. Het wordt in dit artikel niet toegelicht, maar het is natuurlijk de vraag of het 'IT-bedrijf' een IT-dienstverlener is, of een aanbieder van een SAAS-oplossing. In het eerste geval vraag ik mij ook af waarom ze het in bezit hebben.

[onno oliver]

Deze it-uitbesteding was omstreden omdat de provincie over een goedwerkende afdeling Informatievoorziening & Automatisering (I&A) beschikte. Volgens het provinciebestuur zou deze afdeling echter niet toegerust zijn om de snelle digitale ontwikkelingen in de komende tijd bij te houden.

https://www.computable.nl...eedt-ict-uit-aan-ogd.html

[Wouterkaas]

Elk bedrijf is in principe toch “extern”?

[jongetje]

Je kunt het ook zelf regelen, dan is het intern. Dit is hier toch gewoon duidelijk verwoord.

(En de overheid heeft ook bedrijven)

[Reactie gewijzigd door jongetje op 22 juli 2024 20:30]

[jpsch]

Overheid is er tenminste wel open over en doet aangifte.
Wat is er buitgemaakt en is daar ook aangifte van gedaan?

[old_spice]

Nogal wiedes. De overheid verdient z'n eigen geld niet. De boete van Autoriteit Persoonsgegevens is dan ook in dit geval het nodeloos rondpompen van belastinggeld. Een particulier bedrijf heeft een hoop te verliezen en moet goed afwegen of de melding maken niet het hele bestaan van het bedrijf in gevaar brengt. Uiteraard zijn ze wel verplicht het te melden, alleen snap ik dat ze het minder snel zouden melden dan de Provincie Gelderland. Zij verlengen het contract niet met de ICT leverancier, maar voor de rest zal er geen kop van een ambtenaar rollen. Die gaan gewoon weer vrolijk verder.

[janbaarda]

Goeie vraag. Zeker gezien deze opmerking:

Experts vermoeden volgens provincie Gelderland dat de personeelsdossiers 'bijvangst' zijn geweest

Het ging kennelijk niet om de personeelsgegevens. Wat heeft de Provincie Gelderland dat zo belangrijk is voor "buitenlandse hackers"?
Speculatie:

• militaire kazernes
• verrijkingsfabriek
• aangevraagde omgevingsvergunningen
• enz.

Vooral de omgevingsvergunningen kunnen interessante gegevens bevatten. Deze kunnen zelfs interessant zijn voor "five eyes". Enfin, ruimte voor speculatie.

[Reactie gewijzigd door janbaarda op 22 juli 2024 20:30]

[jpsch]

Las 'm als IT bedrijf is aangevallen en daarbij is HR data van Provincie Gelderland buitgemaakt.
Als Provincie Gelderland echt doelwit was, waren HR gegevens toch wel van belang?

[brainz038]

Daar zou naast de dossiesr 'een fors volume' aan data zijn gestolen, maar het is niet bekend om welk bedrijf of welke data dat gaat

Kleine typo

[supertanno]

Spel- en tikfoutjes - en dus *geen* andere foutjes - deel 45

[Rageplay]

Dat zijn aardig wat ambtenaren voor 1 provincie.

[RonnieKo]

Valt wel mee... Het is een grote provincie. Dus redelijk wat te besturen en veel openbaar gebied onderhouden (o.a. wegen en kunstwerken). Het aantal ambtenaren is niet hetzelfde als het aantal FTE's (fulltime-equivalent) wat gevuld moet worden. Het aantal FTE's is meestal een stuk lager dan het aantal ambtenaren.

[Bitfreakie]

Is geen gek aantal. Bij de (grote) gemeente waar ik werk staan 800 mensen op de loonlijst. En zoals @Rageplay zegt: het aantal werknemers is nogal wat groter dan het aantal fte. Veel mensen werken in deeltijd.

[tido945]

Toch wel even schrikken, stel dat het jouw persoonsgegevens zijn die nu op straat liggen.
Een personeelsdossier bevat toch wel vertrouwelijke informatie.
Stel dat iemand zich dan voor jou uitgeeft, en foute dingen doet?
Wordt jij dan opgepakt, en moet jij dan gaan bewijzen dat jij dat niet was?
Hoe ga je dat doen?

[Reactie gewijzigd door tido945 op 22 juli 2024 20:30]

[F-I-X]

Grote vraag die ik nergens kan lezen... waren de dossier versleuteld ???
Helaas durf ik daar geen gok over te doen.
Vraag me ook af wat voor info dat is.. dat bepaalde personeelszaken (salaris etc) op IT gebied zijn uitbesteed geloof ik wel, het is een warboel aan regelingen in de HR. Maar een volledig dossier met alle ups-en-downs ? Zitten de afspraken van met de bedrijfsarts er ook in.
En zo zullen er nog wel meer strikte privé zaken zijn die je niet wil delen.

Niet helemaal duidelijk dus.. gezien de beknopte informatie vrees ik dat er weer een blunder onder het tapijt gaat..

[Goosmeister]

Als je een dienst afneemt, je betaalt er voor en hebt er zelf qua techniek geen invloed op, wie is dan verantwoordelijk? De klant? Dat is makkelijk voor de aanbieder: klooi maar wat aan qua security want bij een hack is de klant verantwoordelijk.
Bij waar ik werk zit ook de hele personeelsadministratie in de cloud. Daar wordt dik voor betaald. Is mijn werkgever verantwoordelijkheid bij een hack? 🤔....