Belgisch Onafhankelijk Ziekenfonds getroffen door hackaanval

Het Belgische Onafhankelijk Ziekenfonds is getroffen door een cyberaanval, meldt het zelf op zaterdag. Een hacker wist binnen te dringen bij 'Mijn OZ', een portaal waar administratieve zaken geregeld kunnen worden maar waar geen medische dossiers staan.

Het gaat volgens de melding om naw-gegevens, bankrekeningnummers, persoonsgegevens, contactgegevens en nog een aantal andere categorieën. Algemeen directeur Rik Selleslaghs vertelt tegenover de VRT dat de hacker op 7 september zelf bij het OZ gemeld zou hebben dat hij of zij binnen wist te dringen. "De afzender heeft ons dan gemeld dat de data verwijderd werden en dat ze niet gedeeld werden met anderen. Maar hij vroeg toen ook een financiële compensatie om het niet extern bekend te maken. Maar daar zijn wij niet op ingegaan", vertelt de algemeen directeur.

Een dag na de melding had de organisatie het lek gedicht. Aan de kwetsbaarheid zou een 'menselijke fout' ten grondslag gelegen hebben, maar meer informatie wordt niet verstrekt. Het bedrijf heeft een klacht neergelegd bij het Belgische Cyber Emergency Team en de Gegevensbeschermingsautoriteit werd ingelicht.

Reacties (42)

[FunkStar_]

Dit is de mail die we (klanten) ontvingen op 10/09 rond 20u:

Beste Mijnheer XXXXX


OZ Onafhankelijk Ziekenfonds werd getroffen door een cyberaanval. Hackers hadden hierdoor toegang tot klantgegevens. Onmiddellijk na deze vaststelling werd het datalek gedicht. De gelekte gegevens werden niet openbaar gemaakt.


Hoe kon dit gebeuren?
Hackers gingen tijdens deze aanval bewust op zoek naar kwetsbaarheden in ons beveiligingssysteem. In combinatie met een menselijke fout konden er gegevens worden ingekeken, gelinkt aan het online platform Mijn OZ.


Wat hebben we ondernomen?
Het datalek werd onmiddellijk gedicht. De Gegevensbeschermingsautoriteit werd ingelicht. We leggen ook klacht neer bij het CERT, het Cyber Emergency Team van de federale overheid.


We nemen de bescherming van uw persoonlijke gegevens bijzonder ernstig. We excuseren ons dan ook oprecht en blijven er alles aan doen om een nieuwe inbreuk te vermijden.


Wat is de impact?
De gelekte gegevens werden niet openbaar gemaakt. Het betreft de gegevens gelinkt aan Mijn OZ accounts. Logins en paswoorden voor het platform zijn niet gelekt. U hoeft zelf niets te ondernemen.

Heeft u vragen? U kan ons bereiken op het nummer 03 201 85 55.


Onze oprechte excuses.


Rik Selleslaghs

Algemeen Directeur Ziekenfonds

Via de twitter van OZ (@ozpuntbe) hadden we al wat extra informatie verkregen.
Sinds deze morgen staat er een FAQ online waar je de meeste informatie kan terugvinden.

https://www.oz.be/cyberaanval

[Reactie gewijzigd door FunkStar_ op 24 juli 2024 19:47]

[kodak]

De betekenis van openbaar is hier helaas niet duidelijk en dat kan een groot verschil betekenen.

Openbaar heeft meestal de betekenis dat iedereen er gebruik van kan maken. Als dat de betekenis is dan kan dat dus een situatie zijn dat de crimineel wel toegang had tot de gegevens maar het nog niet duidelijk is of die ze publiek gemaakt heeft (of misschien een bewering of belofte heeft gedaan de gegevens niet verder te delen).
Als de betekenis is dat er niet meer mensen de gegevens in gezien hebben dan de bedoeling is dan zou dat natuurlijk ook zo omschreven kunnen worden, maar er staat helaas niet of dat werkelijk het geval is.

Als ik klant was zou ik verwachten dat ze heel duidelijk maken of die gegevens door de crimineel konden worden ingezien en of ze zeker zijn dat het vervolgens niet gedaan is. Nu staat er een omschrijving waarbij het nog de kant op kan gaan dat de gegevens toch door de crimineel ingezien zijn of zelfs voor iedereen beschikbaar zijn gemaakt.

[680x0]

Voor de duidelijkheid : het gaat over OZ 501. Er zijn in Belgie meer 'onafhankelijke' ziekenfondsen. En elk ziekenfonds heeft een nummer. In dit geval ziekenfonds 501.

[BytePhantomX]

Je zou dan ook graag in zo'n bericht willen lezen dat de hacker een responsible disclosure beleid heeft gevolgd. Of dat de hacker buiten het bug bounty programma is omgegaan.

Dit leest als iemand die netjes heeft gehandeld maar misschien wat brutaal een vergoeding vraagt voor ongevraagde dienstverlening op een manier die niet ethisch is. Zeker niet netjes, maar het is niet dat het ziekenfonds hier alles op orde heeft. Die moeten hier gewoon beleid voor hebben.

Er is zelfs een open source voorbeeld hoe je het op kan stellen:
https://responsibledisclosure.nl/

[Reactie gewijzigd door BytePhantomX op 24 juli 2024 19:47]

[IStealYourGun]

Het blijft toch wel een dilemma. Een aantal jaar terug ooit eens per toeval een bug ontdekt op een webshop, waardoor ik admin toegang verkreeg.

Mooi de bug geanalyseerd en gemeld. Drie weken later kreeg ik enkel een bedankje en niets meer. Niet dat ik de massa had verwacht, maar een korting of andere commerciële geste zou wel leuk geweest zijn, zeker als je weet dat zo een bug wel een paar k waard is op the dark web.

[Frame164]

Je kunt je ook afvragen of het überhaupt logisch is om gelijk een vergoeding te krijgen als je een vulnerability meldt. Vind jij ook dat je buren iets moeten geven als je ze gewaarschuwd hebt omdat de voordeur open stond? Er is ook nog zoiets als gewoon op een normale manier met elkaar omgaan.

[tapkcir]

Prachtig altijd die vergelijkingen, maar zo zelden gaan ze op. De deur van de buren zie je toevallig open staan. Een vulnerability vind je niet zomaar.

[Herko_ter_Horst]

Een aantal jaar terug ooit eens per toeval een bug ontdekt

Of toch wel?

[tapkcir]

Bugs iedere dag ja

[Skiddie]

De deur van de buren trek ik zelf gewoon dicht. Later krijg ik er wel n pintje ofzo voor terug. Toen ik m'n buur belde met melding dat zn waterleiding gesprongen was is ie per direct afgekomen. Toen heb ik wel wat meer gekregen dan enkel een pintje.

[IStealYourGun]

Die vergelijking loopt wel wat mank. Het was wat meer dan een open deur, het was een fout in een gesloten deur. Mijn buurman zijn voordeur geeft ook geen toegang tot een bedrijf zijn inhoud, klantenbestand en bankrekeningen. Een open deur opmerken, kan iedereen, een fout in een gesloten deur kost wel wat tijd en ik was er uiteindelijk toch ook een avondje bezig met de analyse en een POC. Fouten in deuren of IT-systemen vinden is dan ook gewoon een volwaardig beroep (pen testing). Je ziet ook steeds meer bedrijven met een (publieke) bounty programma, dus zo onlogisch is dat niet om dit te verwachten.

Ik had ook meteen kunnen vragen naar een commerciële geste, maar dat loopt ook soms verkeert af: nieuws: Pretpark dreigt met aangifte tegen ontdekker van datalek die om kaart...

Hoewel de details niet bekend zijn, klinkt het hier als een gelijkaardig verhaal. Een "hacker" vindt per ongeluk een zwakheid in de security, meld dit en vraagt om een compensatie, maar OZ gaat er niet op in. Tja op die manier blijft het dark web een interessanter medium om security bugs te verkopen.

[Anoniem: 340120]

even opzoeken hoe die bounty programma's tot stand zijn gekomen

[dasiro]

en hun beleid kan zijn: enkel bedrijven die we inhuren betalen we om geen bountyseekers aan te trekken. Het blijft een ongevraagde aanval en dus bij wet strafbaar.

[Martijntj]

We gaan er dan maar vanuit dat de data daadwerkelijk verwijderd is. Was de hacker nu ook diegene die het lek naar buiten bracht dan, of kwam dat via een andere route?

[edeboeck]

We gaan er dan maar vanuit dat de data daadwerkelijk verwijderd is. Was de hacker nu ook diegene die het lek naar buiten bracht dan, of kwam dat via een andere route?

Het werd door OZ zelf naar buiten gebracht, tenminste dat leid ik af uit de lead-alinea:

Het Belgische Onafhankelijk Ziekenfonds is getroffen door een cyberaanval, meldt het zelf op zaterdag.

.

[gaskabouter]

Dit blijft toch een heel groot dilemma. Wij zijn ook verplicht patiënten inzage te geven in hun dossier. Het zogenaamde patiënten portaal. Het lastige is dat toegankelijkheid en beveiliging niet per definitie elkaars vrienden zijn.

Veel mensen zijn niet zo digitaal onderlegd dat inloggen met DigiD en 2FA ze ook daadwerkelijk lukt en wij moeten zo langzamerhand een aparte helpdesk in de lucht houden hiervoor, waarvoor de middelen dan weer niet beschikbaar worden gesteld door dezelfde overheid die het ons oplegt.

Iedereen heeft recht zijn dossier in te zien en het is mooi als dat digitaal kan maar dan zul je moeten accepteren dat er concessies gedaan worden aan of de toegankelijkheid of de beveiliging.

[Reactie gewijzigd door gaskabouter op 24 juli 2024 19:47]

[OxWax]

Er staat dat er geen toegang is bekomen tot patiënten dossiers

[dinoballz]

Ik zit bij het OZ en heb ook de mail gehad.
En sinds dit gebeurt is krijg in dagelijks phishing sms’jes. Daarvoor had ik die alleen zeer sporadisch (half-jaarlijks). Lijkt er dus op dat mijn telefoonnummer buitgemaakt en doorverkocht is.

[Masstje]

Ben zelf ook klant, nog geen enkele dergelijke sms ontvangen.

[Asterion]

Waarschijnlijk dacht de hacker: OZ, een slimme zet

Het blijft me echt verbazen hoe "gemakkelijk" het is om via een fout in een systeem te geraken met zoveel persoonlijke gegevens?

Je verwacht toch dat dit compleet afgesloten is van het internet en enkel bereikbaar is via internet computers?

[Heedless]

Ik neem aan dat je 'interne computers' wou zeggen, maar lijkt me nogal onhandig als alle klanten langs OZ moeten fietsen om hun 'mijn OZ' pagina te kunnen bekijken.

[Blokker_1999]

Het is het online portaal van voor leden waar zij hun eigen data kunnen inkijken. Natuurlijk is dat bereikbaar vanop internet. Hoe moet je als lid anders je data kunnen inkijken en eventueel kunnen corigeren?

Het kan op een eenvoudige manier gegaan zijn waarbij je persoonsgegevens via een dynamische actie werden ingeladen en die informatie simpelweg sequentieel op te vragen was per lid. Als jij lidnummer 1398 hebt en je ziet ineens informatie opgevraagd worden met ID=1398 dan kan je eens proberen of het veranderen van die ID naar 1397 een resultaat oplevert. En als dat werkt ben je vertrokken en kan je zo de informatie van alle andere leden gaan schrapen.

[The Zep Man]

Je verwacht toch dat dit compleet afgesloten is van het internet en enkel bereikbaar is via internet computers?

Does not compute. Verder zijn er uiteraard redenen waarom zulke systemen (indirect) op het internet zijn aangesloten. Systemen aansluiten op het internet is niet het probleem, maar een brakke informatiebeveiliging is dat wel. Hier kunnen wij echter niet over zeggen gebaseerd op dit artikel, want er zijn geen technische details naar buiten gebracht.

De beste remedie tegen het lekken van informatie is om simpelweg geen informatie te hebben om te lekken. In Nederland wordt iemand die geen toestemming geeft voor gegevensoverdracht via het Landelijk Schakelpunt, daarover tot in het oneindige over lastiggevallen via zorgaanbieders. Het wordt steeds lastiger om je gegevens te beschermen, zeker als herhaaldelijk de kans bestaat dat een ongetrainde data-inklopper per ongeluk een 'ja' maakt van een 'nee'.

Naast opt-in moet er een nieuwe categorie komen: expliciet aangevraagde opt-in, waarbij iets niet actief aangeboden wordt tenzij het eerst expliciet aangevraagd is.

[Reactie gewijzigd door The Zep Man op 24 juli 2024 19:47]

[P.Mouse]

Het probleem is dat er geen verplichte keuringen en cursussen zijn op dit gebied en die ook actief bijgehouden worden.

Veel bedrijven zijn totaal panisch als het gaat over werkveiligheid.
("we werken veilig of we werken niet").
Netwerken en internet is nog steeds na al die jaar een onderwerp dat niet serieus wordt genomen.
Ook niet door de overheid.

[Blokker_1999]

Ik vind het altijd spijtig dat mensen denken dat ze zomaar kunnen oordelen over de werkcultuur en -ethiek kunnen oordelen zonder ook maar enige band te hebben met dat bedrjf. Bedrijf is gehacked, moet wel zijn omdat ze veiligheid niet belangrijk vonden.

Maar niets is minder waar. Zelfs bedrijven die wel voldoende investeren in IT en heel veel juist doen worden wel eens getroffen door dit soort hacks, malware, cryptolockers, ... . Je kan dit niet voorblijven. Naast zoveel mogelijk gaten dichten werk je daarnaast aan compartimentalisering zodat bij een eventuele breach je niet alles in 1 keer verliest.

En wat zegt een keuring, een cursus of een keurmerk? Welke garantie geeft dat dat Anne bij de boekhouding niet op die bijlage klikt van een mail die van de CEO lijkt te komen met een vraag? Of dat Jos van facilities een op de parking gevonden USB stick in zijn computer steekt om te zien of hij kan achterhalen van wie deze zou kunnen zijn?

[P.Mouse]

Terechte vragen en opmerkingen.
Wat het vooral doet, is bewustwording creëren.
Een cultuur creëren dat Jos en Anne juist wel over die dingen na gaan denken.

Waterdicht zal het nooit zijn.
Een rijbewijs is ook geen waterdichte garantie, maar het levert wel een stuk minder (dodelijke) ongelukken op. Het is echter ook geen garantie dat iemand een puinhoop ervan maakt.

Het valt mij namelijk nog maar al te vaak tegen hoe naïef mensen zijn als het gaat om internetveiligheid.
En dan is het woord naïef nog een understatement.
Dat terwijl we inmiddels al zeker 10-15 jaar dit als mainstream medium gebruiken.

Goede educatie is meestal al een heel goed begin.
Kinderen leren over fietsveiligheid en over algemene veiligheid, maar internetveiligheid is nog steeds meer heel erg summier.
Begint inmiddels wel hier en daar wat belangrijker te worden.

[The Zep Man]

Het probleem is dat er geen verplichte keuringen en cursussen zijn op dit gebied en die ook actief bijgehouden worden.

Keurmerken en cursussen zijn niet alles in informatiebeveiliging, en het kraakt op veel meer gebieden. Dit is niet zo bij enkel overheden.

[P.Mouse]

Helemaal mee eens, maar bewustwording is al een goed begin.

[The Zep Man]

Oh, eens. Ieder beroep waarbij (persoonlijke) informatie verwerkt wordt of waarbij men onderdanen heeft met dergelijke functies, zou regelmatig (opfris)cursussen moeten volgen.

[Reactie gewijzigd door The Zep Man op 24 juli 2024 19:47]

[TheVivaldi]

Ik snap ook niet waarom dat niet allang gemeengoed is. Als je arts of buschauffeur bent, moet je ook eens in de paar jaar een opfriscursus doen (of, in het geval van een arts, als alternatief een seminar bijwonen, maar dat is nog altijd leerzaam).

[Reactie gewijzigd door TheVivaldi op 24 juli 2024 19:47]

[Blokker_1999]

Maar dan doe je net alsof het volgen van zo een cursus een gouden oplossing is. Dat daarmee alle problemen van de baan zouden zijn. Wij doen bij ons in de onderneming jaarlijkse opfriscursussen over IT beveiliging en we zijn continue bezig met het testen van onze gebruikers. Iedereen bij ons krijgt vroeg of laat weer eens een mailtje om na te gaan of je wel een phisingmail herkent en ondanks dat we degelijke scores halen, blijf je altijd een kleine hoeveelheid mensen hebben die er toch op klikken. En ook andere manieren worden getest.

Je mag je personeel zoveel sensibiliseren als je wenst, je houdt het nooit volledig tegen. En 1 slachtoffer is alles wat men nodig heeft om binnen te geraken.

[The Zep Man]

Maar dan doe je net alsof het volgen van zo een cursus een gouden oplossing is.

Her is geen gouden oplossing, maar een eerste stap in mensen persoonlijk aansprakelijk stellen voor gemaakte keuzes waarbij slachtoffers vallen.

[Bor]

Waarmee je een sfeer creëert dat fouten niet meer worden gemeld uit angst voor represailles. Naast dat is persoonlijk aansprakelijk stellen van medewerkers wanneer er geen opzet in het spel is niet zo eenvoudig of mogelijk. Het is echt niet zo eenvoudig.

[P.Mouse]

Het gaat ook niet om de IT mensen, het gaan om die mensen die de systemen gebruiken.

In de bigger picture gaat het niet om 1 slachtoffer, maar om het aantal slachtoffers te minimaliseren.
Zoals ik hierboven al heb gezegd, een rijbewijs geeft ook geen 100% garantie dat iedereen netjes rijdt.
Het zorgt er wel voor dat het aantal ongelukken drastisch daalt.

[P.Mouse]

Niet alleen dat, maar een beetje bedrijf van formaat krijgt om de zoveel tijd keuring of alles volgens de ARBO nog allemaal goed is.

Als het heel brak is, kan het zijn dat het bedrijf gedwongen wordt om alle werkzaamheden stil te leggen totdat het gefikst is.
Uiteindelijk is dat een stuk kostbaarder dan een boete, waar ieder bedrijf van formaat om lacht.

[Daoka]

Waarschijnlijk omdat er te veel mensen werken met persoonlijke informatie. Als je alleen al een website bezoekt die een tijdelijke logbestand heeft kan je al spreken over persoonlijke informatie. Ze kunnen dat al je ip adres zien. Ja er zijn uitzonderingen zoals providers die gedeelde ip adressen gebruiken of mensen met vpn dus het hoeft niet altijd persoonlijke informatie te zijn. Als dit al tijdelijk opgeslagen wordt voor metingen of voor veiligheidsredenen zouden ze dus al eigenlijk die cursus moeten doen. Maar laten we iets realistischer zijn en websites die je alleen kan bezoeken even niet meerekenen. Dan zijn er nog wereldwijd miljarden websites met persoonlijke informatie. Al is het alleen al een website waar je alleen als je emailadres kan achterlaten voor een nieuwsbrief of een contact formulier kan invullen (dan rekenen we ook even niet mee dat mensen buiten de website contact kunnen opnemen wat ook dus al onder persoonlijke informatie valt). Volgens https://www.sidn.nl/nieuw...domeinnamen-geregistreerd zijn al 6 miljoen .nl domeinnamen geregistreerd. Als je alleen al 25% van dit neemt heb je nog 1.5 miljoen website waar ze omgaan met persoonlijke informatie. Dat zijn dus al 1.5 miljoen mensen die dus al een cursus zouden moeten doen. De meeste websites hebben wel meerdere mensen dus dat komt nog eens bovenop die 1.5 miljoen.

Nu zal je misschien wel denken van dat de meeste websites niet groot of belangrijk genoeg zullen zijn voor een hack. Volgens https://www.thuiswinkel.o...edingen%20in%20Nederland. zijn al in 2021 2e kwartaal ongeveer 67000 webshops. Dan praat je toch al over serieuzere gegevens. Ook zullen de meeste webshops niet alleen werken. Bol.com zou volgens https://nl.m.wikipedia.or...33%20miljoen%20artikelen. 1800 medewerkers hebben in 2019. Ze zullen niet alle 1800 specifiek werken met persoonlijke informatie maar toch zullen een hoop medewerkers met computers werken. Zelfs de schoonmakers zouden bijvoorbeeld op computers moeten aangeven dat ze vakantie willen dus ze zijn dus mogelijk aangesloten op het werk netwerk. Zouden hun dus ransomware op hun computer krijgen die dan over het netwerk verspreidt heb je ook mogelijke persoonlijke informatie lekken. Uiteraard zijn er best gevallen waar de beveiliging voed genoeg is dat het niet mogelijk zou moeten zijn. Computers die specifiek ingericht zijn voor hun werk en echt niets anders kunnen zoals op internet kunnen.

En dat is dan nog maar een klein gedeelte van de mensen die met persoonlijke informatie werken. Je hebt dan nog de overheid, energie bedrijven en verzekeringsmaatschappijen bijvoorbeeld (vallen voor mij niet onder webshops ook al kan je online een abonnement afsluiten).

Met andere woorden ik verwacht gewoon dat er te veel mensen zullen zullen zijn die dus een cursus zullen moeten doen. En dan is ook nog de vraag zit er een gevolg op. Moet je dus een soort van examen doen om te bewijzen dat je het echt weet. Zo ja dan verwacht ik dat er genoeg mensen zullen zijn die niet gaan slagen. Mogen die dus geen werk meer doen? Dan ga je mogelijk ineens als bedrijf medewerkers te kort hebben (op de afdeling). Mensen zullen wel niet betaald worden als ze die dagen niet werken en dus mogelijk ook financiële problemen krijgen.

Ook is er trouwens nog wel een verschil tussen arts/buschauffeur en een medewerker achter een computer. Het is zeker niet leuk als je gegevens gelekt wordt. Maar je gaat er niet dood van en raakt er ook niet gewond door. Een arts en buschauffeur zijn wel verantwoordelijk voor levens van anderen.

[Reactie gewijzigd door Daoka op 24 juli 2024 19:47]

[TheVivaldi]

Dat laatste argument verwachtte ik al. Maar het hangt ervanaf wát er gelekt wordt: als je id-kaartgegevens uitlekken, dan zou je wíllen dat je dood was. Ik heb het vaak genoeg gezien op tv hoe mensen gewoon geen leven meer hebben omdat anderen hun id-kaartgegevens/BSN misbruiken of misbruikt hebben. “niet leuk” vind ik dan een behoorlijke, nee, gigantische onderschatting van dit probleem. In zekere zin is men dus wel degelijk verantwoordelijk voor de levens van anderen.

[Reactie gewijzigd door TheVivaldi op 24 juli 2024 19:47]

[Daoka]

BSN nummers zijn inderdaad wel zeer gevoelige informatie (daar had ik inderdaad niet gelijk aan gedacht). Maar de meeste locaties waar je gegevens moet invullen vragen dit niet. Zoals je het dus nu laat klinken (om even jouw buschauffeur voorbeeld er in te houden) is dus dat alle andere verkeersdeelnemers (websites/bedrijven die wel gegevens vragen maar geen bsn) ook een cursus buschauffeur moeten volgen omdat buschauffeurs (websites/bedrijven die wel bsn vragen) grote ongelukken kunnen maken.

[TheVivaldi]

In dat geval heb ik het misschien niet helemaal goed geschreven in eerste instantie. Ik doelde eigenlijk meer op instanties die met kwetsbare gevoelige informatie omgaan, zoals BSN's (waaronder dit ziekenfonds ook valt). Dáár had het m.i. allang gemeengoed moeten zijn om niet alleen een cursus maar ook opfriscursussen te volgen, net als bij onder meer artsen en buschauffeurs.

[Reactie gewijzigd door TheVivaldi op 24 juli 2024 19:47]

[jozakin]

Zou dit type hacks vermeden kunnen worden door blockchain?

[Blokker_1999]

Nee

[thijssie83]

Oftopic: eerlijke vraag, is het woord , zoals in de titel een correct Nederlands woord? Het lijkt me een hack of een (cyber)aanval.