Vier woningcorporaties melden datalek na aanval op systemen

Vier woningcorporaties melden dat ze zijn getroffen door een cyberaanval en dat er misschien een datalek heeft plaatsgevonden. Deltawonen uit Zwolle meldde eerder deze maand al een lek en nu lijken ook Alwel uit Breda, Trivire uit Dordrecht en Zayaz uit Den Bosch te zijn getroffen.

Woningcorporaties Alwel, Trivire en Zayaz hebben in een verklaring bekendgemaakt dat ze zijn getroffen door een cyberaanval. Eerder deze maand meldde ook woningcorporatie Deltawonen uit Zwolle dat ze is getroffen door een aanval. Het is nog niet duidelijk om wat voor aanvallen het precies gaat en of er een direct verband is tussen de vier incidenten.

De vier woningcorporaties hebben (oud-)huurders en woningzoekenden een brief gestuurd over de mogelijke risico's. De organisaties kunnen niet uitsluiten dat er adresgegevens zijn uitgelekt en mogelijk zijn er ook financiële gegevens gestolen die bij de corporaties zijn geregistreerd. De corporaties waarschuwen voor phishing of misbruik van gegevens.

Momenteel doen de organisaties nog onderzoek naar de gevolgen van de aanvallen. De vier woningcorporaties hebben melding gedaan van een datalek bij de Autoriteit Persoonsgegevens. Bij sommige corporaties zijn ook nog niet alle systemen weer in de lucht en kunnen huurders tijdelijk niet bij de onlineomgeving.

Reacties (43)

Er lijkt nog een vijfde woningcorporatie gehacked, namelijk Laurentius in Breda. Zie https://www.bndestem.nl/r...groot-schade-is~a0f03623/

ik tel er zes, sowieso, https://www.quawonen.com/...igitale-aanval-op-systee/ maar het is ronduit treurig hoe traag de berichtgeving is en verbrokkeld. Er is nog geen enkele nieuwssite die ze op een rijtje heeft... je moet echt sprokkelen.

Die, en ik heb zelf ook nog deze mogen ontvangen.

"Op donderdag 3 februari 2022 heeft een cyberaanval plaatsgevonden op de servers van het IT-bedrijf Aareon. Dit bedrijf registreert voor ons huurdersgegevens, waaronder ook uw gegevens."

Gaat lekker bij de verhuurders.....

Geen brief, maar een e-mail heb ik ontvangen van Alwel. Die heb ik ook doorgegeven aan de Tweakers redactie.

Belangrijk bericht: Lees dit bericht goed door
Beste huurder,

U huurt een woning van Alwel. Daarom hebben wij gegevens van u opgeslagen. Wij hebben helaas een vervelende mededeling. Er is een digitale aanval geweest op het systeem van Alwel. Met deze nieuwsbrief vertellen wij u hier meer over.

Digitale aanval op het systeem van Alwel

We hebben sinds dit weekend te maken met een ernstige storing in ons systeem. Helaas weten we nu dat het een digitale aanval is geweest op het systeem van Alwel. We weten momenteel nog niet precies hoe het is gebeurd en wat dit voor u betekent. Dit wordt momenteel onderzocht. Toen de ernstige storing ontstond, is er wel direct actie ondernomen om het systeem en de gegevens veilig te stellen.

Dit is mogelijk een datalek
In ons systeem hebben wij ook gegevens van u opgeslagen. We weten nog niet of deze gegevens (of delen ervan) zijn ingezien of opgeslagen. Uit voorzorg informeren wij u hierover en hebben wij alvast melding gedaan bij de Autoriteit Persoonsgegevens.

Pas op voor valse mails, sms en/of valse telefoongesprekken!

Voor de zekerheid vragen wij u om goed op te letten. Bijvoorbeeld op valse e-mails, sms-berichten of valse telefoongesprekken. Let altijd goed op of het e-mailadres van de afzender klopt. En of u het telefoonnummer kent.

Op fraudehelpdesk.nl vindt u tips over hoe u kunt voorkomen dat er misbruik wordt gemaakt van uw gegevens.

Ga naar de website van Fraudehelpdesk

Aangepaste dienstverlening

Ons systeem is door deze aanval tijdelijk niet beschikbaar. Ook onze website werkt nu niet. Telefonisch zijn wij beperkt bereikbaar.
Heeft u één dezer dagen een afspraak met één van onze (onderhouds)medewerkers die éérder gemaakt is dan maandag 28 maart? Dan gaat deze afspraak helaas niet door. Omdat wij niet in onze systemen kunnen, weten wij namelijk niet welke afspraken wanneer gepland staan. De afspraken moeten opnieuw worden ingepland.
Dit alles betekent dat wij onze dienstverlening tijdelijk moeten aanpassen.

We helpen u nu als volgt:
 Reparaties kunt u melden via telefoonnummer 088 255 2000
 U kunt ons appen op Whatsappnummer xxxxxxxxxxxxxxxx
 U kunt ons mailen op het tijdelijke e-mailadres xxxxxxxxx. Dit e-mailadres werkt vanaf donderdag 31 maart 2022.
 U kunt een bericht sturen via Facebook (@alwel.nl)
 U kunt op onze kantoren langskomen. Onze kantoren zijn normaal gesproken geopend van 9.00 tot 12.30 uur. Tot onze systemen weer werken zijn onze kantoren ook ’s middags geopend. Let op! Donderdag 31 maart is ons kantoor tot 12.30 uur gesloten.
 Ook zijn onze medewerkers geregeld in de wijk en wijkkantoren aanwezig


Huurbetaling via website niet mogelijk
Betaalt u de huur altijd via onze website alwel.nl? Dat kan nu helaas even niet. U kunt de huur via uw eigen bank overmaken op IBAN nummer NL56RABO0337760225. Vermeld hierbij uw klantnummer of adres.

Het spijt ons erg dat dit heeft kunnen gebeuren
Wij hebben helaas niet kunnen voorkomen dat dit is gebeurd. Wel hebben wij direct maatregelen genomen om de eventuele schade zo veel als mogelijk te beperken.
Excuses voor het eventuele ongemak en wij hopen op uw begrip.

Wij staan voor u klaar

Heeft u vragen of wilt u uw zorgen delen? We zijn bereikbaar via bovengenoemde kanalen. U kunt niet replyen op deze nieuwsbrief. Die mails komen nu helaas niet bij ons binnen.

Zodra wij meer informatie hebben, informeren wij u verder.

Met vriendelijke groet,

Karo van Dongen
Bestuurder Alwel

Zie ook: https://www.facebook.com/Alwel.nl

[Reactie gewijzigd door segil op 30 maart 2022 13:57]

Wat ik mis in deze mail is (een link naar) een overzicht van welke gegevens ze opslaan van hun klanten in de betreffende systemen. Ze zeggen wel dat er (mogelijk) gegevens gelekt zijn maar gaan vervolgens snel verder met een verhaaltje over de fraudehelpdesk, afspraken etc.

Als ik huurder was, dan had ik graag zo snel mogelijk willen weten welke gegevens mogelijk ontfutseld zijn zodat ik kan inschatten waar ik rekening mee moet houden. Gaat het bijvoorbeeld "enkel" om naam- en contactgegevens waarmee ze mij kunnen lastigvallen of hebben ze in diezelfde systemen ook financiële gegevens en gedetailleerde persoonsgegevens zoals BSN nummers opgeslagen? In dat geval moet je namelijk rekening gaan houden met identiteitsfraude.

Ik snap dat deze mail waarschijnlijk in aller ijl is opgesteld en ze het liefst zo weinig mogelijk negatieve berichten naar buiten brengen en voorzichtig zijn met wat ze je vertellen en hoe: "slecht nieuws: datalek maar wees niet bang, wij staan voor u klaar!" (want, PR) maar ik vind dit inhoudelijk toch wel een beetje erg karig.

<Duivelmode aan> Hoeveel huur zou je kunnen binnenhalen door een woningcorporatie te hacken en vervolgens iedereen deze mail te sturen met jouw IBAN-nummer in de brief ? <Duivelmode uit>

Benieuwd of ze ook allemaal hetzelfde backend systeem gebruiken, dit lijkt me iets te toevallig allemaal..

https://www.security.nl/posting/748381/

Er zijn wel overeenkomsten tussen de websites, zelfde bouwsteentjes gebruikt maar anders vorm gegeven.. (Kopjes zoals Ik huur, Ik zoek en nog wat zaken)

Alwel en Zayaz hebben een SSC dus qua backend zullen ze het nodige delen.

[Reactie gewijzigd door DrAMetElfeNd op 30 maart 2022 15:30]

Het gaat niet om de websites, die draaien bij Azure en zijn inderdaad van een leverancier die meerdere corporaties als klant heeft. Het gaat om het ERP-systeem dat draait bij The Sourcing Company zoals @mbooij hieronder opmerkt.

Ja, welk Shared Service Center is dat?
Ik heb wat in de broncode van de site gekeken..
Is het kubion? Of umbrellus?
Verder: ze gebruiken o.m. hotjar.
En daar is iets mis mee, denk ik.
Greenchoice gebruikt dat ook voor feedback en dat werkt daar ook niet.

Edit:
Dankzij het bericht van wallum, hieronder, waarin de verwijzing naar https://www.security.nl/p...toriteit+Persoonsgegevens
is nu duidelijk welke serviceverlener: "Zayaz heeft haar systemen gehost bij The Sourcing Company. Er zijn meer klanten van TSC (woningcorporaties, zorginstellingen, advocatenkantoren) die off-line zijn door deze aanval."

[Reactie gewijzigd door denkster op 30 maart 2022 16:57]

Bedankt

Het is niet alleen bij deze woningbouwverenigingen. Het gaat om alle klanten van een IT-dienstverlener. Daar zitten behalve woningbouwcorporaties ook andere instellingen en kantoren tussen. Het is dus niet een probleem wat je moet herleiden naar de sector, maar naar een IT-dienstverlener die een probleem heeft.

welke IT dienstverlener is dit?

Volgens een reactie op security.nl The Sourcing Company.
https://www.security.nl/p...toriteit+Persoonsgegevens
edit: inmiddels door henzelf bevestigd: https://thesourcingcompany.nl/blogs/cyberincident-treft-tsc/

[Reactie gewijzigd door wallum op 31 maart 2022 11:29]

<sarcasm>Onmogelijk, die heeft alle juiste certificeringen! https://thesourcingcompany.nl/isae-iso-nen-certificering/ </sarcasm>

Die 'paper security' betekent niet altijd veel, helaas.

komt vanzelf in het nieuws.

Confirmed: https://thesourcingcompany.nl/blogs/cyberincident-treft-tsc/
Wel vreemd dat door één cyberaanval (randsomware) meerdere klanten worden geraakt. Betekend dat er bij het design al geen rekening is gehouden met netwerksegmentatie. Dat klanten van TSC dus een gedeelde back-end hebben.

Het wordt ook aangeboden als een dienst, niet alleen als een server/cage per klant. Als er toegang is tot een managementstation dan is segmentatie (per functioneel onderdeel) niet meer afdoende als beveiligingsmiddel. Maar dat is uiteraard geen reden om de toegang van servers onderling niet te beperken.

TSC werkt ook voor advocatenkantoren en zorg.

[Reactie gewijzigd door mrmrmr op 30 maart 2022 20:58]

Afhankelijk wat er afgesproken is in de dienst @mrmrmr Als de dienst een private cloud omgeving betreft kan ik me voorstellen dat het gescheiden omgevingen zijn. Ik lees dat TSC MS Azure (Stack) oplossingen als standaard aanbied dus ga ik er even van uit (ja idd assumption) dat ze voor iedere klant een aparte tenant leveren. Zeker als je te maken hebt met zorg en advocatuur. Maar dat zijn aannames en makkelijk typen langs de zijlijn. Hoe dan ook erg vervelend voor de betrokkenen.

Ja, klanten kunnen kiezen. TSC vindt zelf een public cloud (Azure) "the way to go" op de website maar ze doen ook hosting en beheer van servers.

Uit de berichtgeving en een beetje kennis van een van hun klanten lijkt het er op dat de aanval een aantal lokale resources (fysieke servers) treft. Of een deel daarvan onderling gescheiden is of niet, dat weet ik niet. Op grond van mij bekende informatie denk ik dat het beheer is uitbesteed aan TSC bij een of meer klanten.

Aparte tenants voor clouddiensten is nodig voor bijvoorbeeld email, dat verwacht ik ook. 4 van de 5 bekende getroffen woningcorporaties hebben hun email bij TSC (webinfra.nl hosts) zelf, 1 via een eigen hostnaam onder outlook.com.

De 3 klanttypen beheren allen gevoelige gegevens, wat er precies is gelekt is van groot belang voor de mogelijk getroffenen.

Edit: Het is een aanval met ransomware waarmee data is versleuteld op servers van TSC.

[Reactie gewijzigd door mrmrmr op 31 maart 2022 15:30]

Een gedeelde back-end zou kunnen. Wat ik mij ook kan voorstellen, is dat veel van de woningcorporaties de zelfde tools gebruiken (vabi, shareworx, ax) voor hun klanten dossiers e.d. De connectors die door Aareon ontwikkeld worden zijn voor al die oplossingen ook het zelfde. Er zal dus ergens een gemene deler zitten bij de getroffen organisaties.

Zoiets als dit zou eigenlijk eens goed onderzocht moeten worden. En dan met name of er sprake is van een gebrekkig security beleid. Het lekken van gevoelige data als dit zou zeer streng beboet moeten worden. Het is heel leuk dat ze een datalek melden, maar dan is het kwaad al geschiet.

Dat is nu precies wat de Authoriteit Persoonsgegevens doet....

Verbaasd me niks. Ik heb zelf een tijdje geleden een AVG-verzoek bij mijn woningcorporatie ingediend. Het enige antwoord wat ik kreeg was dat ze zorgvuldig met mijn gegevens om gaan en verder niks. Ik zal gewoon moeten wachten tot mijn woningcorporatie aan de beurt is om gehacked te worden. Misschien kan ik dan eindelijk eens mijn dossier inzien

Ik heb ze hier al voor je online gezet!

lol thanks!

Als ze niets aanleveren zijn ze strafbaar volgens mij, dus ik zou daar wel even achteraan gaan.

Zijn ze dan niet sowieso al strafbaar? Ze voldoen dan namelijk niet aan de wetgeving.

Hoi,

Zou nog eens een verzoekje doen. Even kijken bij de Autoriteit Persoonsgegevens: Recht op inzage Dan kan je eens kijken of ze nu wel goed reageren. En anders even melden bij de autoriteit.

[Reactie gewijzigd door RonnieKo op 30 maart 2022 15:04]

Mooi ruk dit, want precies de mensen die ingeschreven staan bij woningcorporaties worden de laatste tijd getarget door oplichters.

Ze ontvangen dan een mailtje dat ze vertelt dat ze onmiddelijk moeten betalen omdat hun inschrijving anders verloopt en door de schrik doen velen dat. Als de hackers individuele gegevens hebben, kunnen ze veel gerichter en nog overtuigender overkomen.

Het probleem met woning corporaties is dat er een heftig te kort is aan woningen, ze komen overal mee weg, wat ga je doen? Verhuizen. Tja. Websites zijn brak, wachtwoorden in platte text mailen, uberhaupt ontbreken van klant pagina, random bedragen afschrijven en vervolgens aanmaning opsturen.

Het is erg gesteld met de woningbouw, in ieder geval waar ik woon en de mensen die ik ken die huren.

Het is een tijdje geleden dat ik als klant/gebruiker van een organisatie/dienst betrokken was bij een lek. Maar, het lijkt me als gebruiker handig om precies te weten wat er (in theorie) buitgemaakt kan zijn. Maar, stel dat je hier slachtoffer van was: Is het dan handig om zelf (meteen) een informatieverzoek in te dienen met als doel om precies te zien/beoordelen wat er mogelijk gelekt is? Mails van gehackte organisaties (die hier vaak in de reacties gepost worden) zijn vaak vrij basic in de informatievoorziening en de kans dat ze wat meer registreren is mijn inziens best groot/aanwezig.

[Reactie gewijzigd door jdh009 op 30 maart 2022 13:32]

Heimstaden een tijdje terug ook, ik had het nog als tip bij tweakers achtergelaten, herinner ik me;
https://heimstaden.com/nl...0voor%20identiteitsfraude.