Klantgegevens Waterbedrijf Groningen mogelijk uitgelekt bij cyberaanval AddComm

Waterbedrijf Groningen meldt dat er mogelijk klantgegevens bij de cyberaanval bij klantcommunicatiebedrijf AddComm zijn buitgemaakt. Waterbedrijf Groningen heeft een melding bij de AP gedaan en raadt klanten aan om waakzaam te zijn voor verdachte e-mails.

Volgens Waterbedrijf Groningen is het nog niet zeker of er klantgegevens zijn buitgemaakt. Zodra dat duidelijk is, zal het bedrijf daarover communiceren met zijn klanten. Waterbedrijf Groningen is niet de eerste organisatie die recent getroffen is door de cyberaanval bij AddComm. Eerder deze maand raakte bekend dat waterschap Hoogheemraadschap Hollands Noorderkwartier ook mogelijk indirect getroffen zou kunnen zijn door het incident.

Tussen 5 en 17 mei heeft er een ransomwareaanval plaatsgevonden bij AddComm, een Nederlands bedrijf dat klantcommunicatie voor derde partijen voor haar rekening neemt, waaronder Waterbedrijf Groningen en Hoogheemraadschap Hollands Noorderkwartier. Bij deze aanval zijn de systemen van het bedrijf versleuteld en is er data gestolen. Het is nog niet duidelijk welke gegevens er precies zijn gestolen en wie er achter de aanval zit.

AddComm heeft de cyberaanval op 17 mei ontdekt. Het bedrijf heeft naar eigen zeggen onmiddellijk cybersecurityexperts ingeschakeld. Deze experts zouden een onderzoek zijn gestart. De hackers zouden geen toegang meer hebben tot de systemen van AddComm en de klanten worden naar verluidt opnieuw aangesloten op de systemen.

Reacties (46)

[Soldaatje]

Ook woningcorporatie Staedion in Den Haag: https://www.omroepwest.nl...n-na-hack-ict-leverancier
En de bank ABN Amro: https://www.bloomberg.com...ch-after-hack-at-supplier

[Shadow771]

En dus ook Regionale Belasting Dienst in oa Delft.

[Wally2002]

Regionale Belasting Groep om precies te zijn.

Link naar nieuwsbericht.

Regelen de belastingen voor:
Hoogheemraadschap Delfland
Hoogheemraadschap Schieland en Krimpenerwaard

en ook de belastingen voor de gemeenten:
Delft
Schiedam
Vlaardingen

[Reactie gewijzigd door Wally2002 op 22 juli 2024 15:18]

[Verwijderd]

De RBG int ook voor de waterschappen waar Den Haag en Rotterdam onder vallen.

[knutseljuf]

Eveneens de Regionale Belasting Groep (RBG). BSN, IBAN, WOZ waardes, adressen en e-mailadres.

https://www.derbg.nl/hack-bij-een-van-onze-leveranciers/

[pa2ra]

WOZ-waardes zijn openbaar. Dus dat is op zich geen probleem, en geen persoonsgegeven.

[TWeaKLeGeND]

Wel als ze gekoppeld zijn aan andere data.

[wildhagen]

Dat is veel te kort door de bocht, dat weet je dus niet. Dat er een cybersecurity-expert naar de omgeving kijkt, aanbevelingen doet en die aanbevelingen z.s.m. opgevolgd worden, wil nog niet zeggen dat je dan veilig bent en, vooral, blijft.

Als er de dag erna een zero-day in bijvoorbeeld je gebruikte firewall of netscaler ontdekt wordt en je bent niet snel genoef met patchen, kan je nog altijd gehacked worden, ook al ben je de dag ervoor volledig goed en veilig bevonden door een cybersecurity-expert.

Zo'n cybersecurirt-rapportage is een middel en een momentopname, het is geen methode om alles voor 100 procent veilig te hebben tot het einde ter tijden.

En dat er achteraf een cybersecurity-expert wordt ingeschakeld na een hack is nogal logisch. Ze zijn daar niet helderziend, ze kunnen niet voorspellen wanneer ze gehacked worden en de dag daarvoor een cybersecurity-expert inhuren.

[Reactie gewijzigd door wildhagen op 22 juli 2024 15:18]

[gevoelig]

Daarbij zou het goed kunnen (is het eerder aannemelijk) dat cybersecurity experts allang ingeschakeld waren voor de huidige processen en systemen.

Hoewel dat uiteraard aan te raden is (/te hopen is), biedt het natuurlijk geen garanties voor hacks in de toekomst.

[Reactie gewijzigd door gevoelig op 22 juli 2024 15:18]

[supersnathan94]

Een leuke toevoeging hierop. Zelfs met automatische scans en updates ben je niet veilig. Het is al wel eens voorgekomen dat een package een critical bevatte, daar een update voor uitkwam en dat daar dan 2 criticals inzaten. Dan heeft updaten nul nut en maakt het zelfs nog onveiliger.

[Frame164]

Tuurlijk. Jij steekt uiteraard je handen er voor in het vuur dat bij jou op het werk nooit zoiets gaat gebeuren. Jij zorgt er immers voor dat vooraf alles zo goed wordt ontworpen en gecontroleerd dat er nooit gehackt kan worden.

[oef!]

Het inschakelen van experts na een incident is een standaard praktijk. Je wil het liefst de complete scope van de hack weten, net als een tijdlijn van de gebeurtenissen. Op basis daarvan kun je geïnformeerde besluiten maken en je klanten of partners correct informeren. Tenslotte laat je ook zien dat je het serieus neemt, dit is van groot belang voor het herstellen van vertrouwen.

[Reactie gewijzigd door oef! op 22 juli 2024 15:18]

[fortfort]

Ipv van elk bedrijf die hosting of services heeft bij addcomm te gaan noemen in artikels is het veel interessanter om een algemene pagina te maken met wat er wel en niet bekend is. En hoe bedrijven hier verschillend mee omgaan die getroffen zijn. Ga ze eens interviewen bv waarom ze pas nu melding maken
Of nog niet hebben gedaan etc

[kodak]

De vele personen die mogelijk slachtoffers zijn zijn geen klanten van Addcom maar van individuele bedrijven zoals dit waterbedrijf, die hiermee ieder een eigen (vermoedelijk) datalek hebben. Dat het uiteindelijk te herleiden is naar de zelfde dienstverlener zorgt er niet voor dat die dus maar belangrijker is dan de individuele bedrijven waar de slachtoffers een relatie mee hebben. Juist omdat die individuele bedrijven de verantwoordelijkheid naar de klanten hebben over de gevolgen van verwerking en het uitbesteden.

[Reactie gewijzigd door kodak op 22 juli 2024 15:18]

[ro8in]

Maar als je als bedrijf of overheidsinstelling dus zaken doet met deze partjj is het inmiddels wel duidelijk dat je nu dus naar buiten moet treden. Ipv doen ze het een voor een op hun eigen moment en moet het telkens apart bericht worden. AddCom zou het ook sieren als ze gewoon een lijst zouden vrijgeven van al hun klanten op dit moment. Zodat ieder voor zich kan kijken of daar een bedrijf op staat waar deze klant bij is.

Ik persoonlijk vind het misselijk makend hoe laks hier gedaan wordt en AddCom in deze neemt geen enkele verantwoordelijkheid en laat het maar beetje aan hun klanten over. Als je zo graag geld wil verdienen met het verwerken van andere hun gegevens dan moet je ook maar de verantwoordelijkheid en schade nemen als dit mis gaat.

Vind het nog altijd schandalig hoe bedrijven nog altijd met serieuze gegevens omgaan. En het probleem is ook dat je eigenlijk geen keuze hebt. Overal moet je maar van alles invullen met als enige alternatief maar geen internet meer gebruiken. Maar daarmee kom je vandaag de dag helemaal nergens meer.

Je wordt geforceerd om in een soort digitale maatschappij te leven en daarmee wordt je geforceerd om maar overal en bij iedereen ze moeder al je gevoelige gegevens achter te laten en vervolgens gaan deze partijen er maar mee om alsof het allemaal maar niks is en wordt het bij wijze van nog in excel sheets naar elkaar gemaild.

Ben er echt zo klaar mee. Tegenwoordig doe ik echt alles wat ik maar kan om maar zo weinig mogelijk info in te vullen en kleine hints erin te verstoppen zodat ik ook weet waar het gelekt is etc. Ik maak ook gretig gebruik van email proxy’s en vul alleen nog maar mijn echte achternaam is als het echt niet anders kan. Ben het echt zat gewoon.

[Mahidi01]

Even een vraag, want het lijkt nu net alsof jij klant bent van AddComm. Maar dit is volgens mij niet het geval, toch?

AddComm levert diensten aan organisaties en overheidsinstanties? Deze leveren mogelijk diensten aan jou en mij? Of andere organisaties?

Is het dan niet de bedoeling dat AddComm haar klanten informeert over de hack en wat er mogelijk aan data buit gemaakt is? En dat getroffen organisaties vervolgens na moeten gaan om welke klanten het gaat n.a.v. de gelekte data en om deze dan vervolgens proactief te informeren?

Het lijkt mij raar dat AddComm een lijst gaat opstellen en deze online publiceert. Zodat wij (de burger) deze kunnen bekijken om te bepalen of wij ergens een dienst afnemen. Om vervolgens deze organisaties te benaderen met de vraag of “mijn” data gelekt is?

Vergeet niet dat andere deze lijst ook kunnen zien en mogelijk kwaadwillende acties gaan/willen uitvoeren.

[ro8in]

Ik zeg dat AddComm haar klanten lijst moet vrij geven, dan kan je zelf bekijken of jij weer met een van die klanten van AddComm zaken doet. Ik vind dit gewoon veel te laks allemaal weer. Ik zou zelfs graag zien dat je als persoon gewoon een financiele compensatie zou kunnen krijgen aan de hand van data lekken. Misschien dat bedrijven het dan eens serieus gaan nemen.

[i_like_scotland]

Het artikel bevat fouten. Waterbedrijf Groningen is geen waterschap, dat zijn in die regio bijvoorbeeld Noorderzijlvest en Hunze Aa. Waterbedrijf Groningen levert water aan huishoudens en industrie.

[JayStout]

Aangepast!

[RobbieB]

Zoveel grote organisaties die zaken doen met Addcomm. Zou interessant zijn om eens een totaal lijstje te zien van alle partijen die dit nu al bekend hebben gemaakt.

[graceful]

Mooi hoe de website van Addcomm vol staat met certificaten, maar alweer het zoveelste bewijs dat deze certificaten in de IT echt geen enkele betekenis hebben. ISO 9001, ISO 27001, ISO 14001, ISAE 3402, maar vervolgens is de klant van je klant de pineut. Alweer.

En ons BSN wijzigen? Kan nog steeds niet.

[Djerro123]

Nu ben ik geen expert maar zou het mogelijk maken van het wijzigen van BSN niet tot een extreem grote attacksurface toevoegen aan het concept van BSN? Je hoeft immers niks meer te stelen, je kan nu ook proberen stiekem een BSN te wijzigen. En hoe om te gaan met oude BSNs?

[yokiamy]

Er is in mijn optiek inderdaad geen enkele reden om je BSN te wijzigen, die houd je gewoon je hele leven.
Mede vanuit het security oogpunt dat je beschrijft.

[Orangelights23]

De certificaten die je noemt hebben zeker wel betekenis. Het toont aan dat je een set aan maatregelen geïmplementeerd hebt. Dat staat, natuurlijk, niet gelijk aan nooit meer slachtoffer worden van een cyberaanval.

[MsG]

Dit soort audits zijn ook altijd alleen maar papieren excercities. Ik heb nog nooit meegemaakt dat ze daadwerkelijk door alle broncode heen gingen spitten, of de realiteit wilden zien. Meestal is het vooral multomappenwerk helaas.

Maar ja, omdat klanten het allemaal eisen, krijg je dat elk bedrijf ook een certificaat binnentikt.

[Frame164]

Daar gaan de ISO standaarden dan ook niet over. Die zijn gebaseerd op best practices om beleid op te stellen. Een goed ICT beleid gebaseerd op de genoemde standaarden gaat er van uit dat dingen fout gaan, en wat je moet doen als het fout gaat. Uiteraard heb je liever dat dingen niet fout gaan maar dat is alleen in Utopia. En source code review is maar een klein stukje van ICT in bedrijfsprocessen.

[m_snel]

Ik kan me echt niet herinneren dat ik ooit mijn bsn bij een normaal bedrijf heb ingevoerd. Bij mijn waterbedrijf alleen als extra mijn e-mail. Adres en rekeningnummer hadden ze al.

[Verwijderd]

En ons BSN wijzigen? Kan nog steeds niet.

Zou dan prachtig zijn als werkelijk alle diensten zowel overheidsdiensten als financiële etc. alles opschorten tot je zelf persoonlijk met de nodige papieren en bewijzen aantoont dat jij, jij bent en jij dat nieuwe BSN hebt ontvangen.

Sterkte met zoeken naar je geboorteakte, uittreksel geboorte register met laatste x- adressen en het vervolgens bezoeken van je bank, zorgverzekering, verzekeraar, uitvaartverzekering, huisarts, apotheek, ziekenhuis, werkgever, uitkeringsinstanties etc. etc. etc. etc.

Niks automatisch vanuit overheid informeren, de burger die denkt gewoon eventjes simpel een BSN'etje wijzigen mag ook wel eens zien wat er allemaal bij komt kijken. Scheelt investeringen in automatisering als de burger zelf weer eens wat onderneemt i.p.v. alles maar overlaten aan overheid e.a. partijen.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 15:18]

[chow]

“Het bedrijf heeft aangifte bij de Autoriteit Persoonsgegevens gedaan“

Doe je niet aangifte bij de politie en meld je het bij de AP?

[JayStout]

Ook aangepast!

[TheVivaldi]

Waarom zou dat niet kunnen? Je kunt ook aangifte bij de Belastingdienst doen.

https://www.vandale.nl/gr...rlands/betekenis/aangifte

1 het aangeven (bij de overheid): aangifte doen

Dus een aangifte bij de AP kan prima, want “aangifte” betekent dus gewoon “aangeven”.

cc @JayStout

[Reactie gewijzigd door TheVivaldi op 22 juli 2024 15:18]

[kodak]

Dat aangifte de betekenis heeft van het officiële verstrekken van informatie aan een overheidsorganisatie heeft niet omgekeerd zomaar de betekenis dat iedere vorm van het geven van dat soort informatie aan een overheidsorganisatie een aangifte is. Er is daarom ook niet zomaar verschil tussen een formele aangifte, officiele getuigeverklaring of formele melding aan de politie. Net zoals niet alle formele informatieverstrekking aan de belastingdienst of gemeente maar een aangifte heet. Uiteraard kan je wel stellen dat gegevens officieel aan de organisatie gegeven zijn en dus aangerijkt of aangegeven zijn, maar voor de duidelijkheid is het wel van belang het niet zomaar door elkaar te gebruiken als de organisatie die een mededeling doet het niet perse zo bedoeld heeft. En in dit geval noemen ze het zelf ook een melding, zoals de wet ook stelt dat melden en een melding de officieel betekenis is om aan de toezichthouder officieel te laten weten dat er mogelijk een datalek is.

[TheVivaldi]

Dat het vaak in een wat specifiekere context wordt gebruikt, doet niks af aan de daadwerkelijke betekenis ervan. Ik ben taalkundige van beroep, dus je hoeft me dit verder niet uit te leggen.

[kodak]

Ik geef slechts aan dat het er officieel (wettelijk) wel toe doet. En aangezien de betekenis taalkundig gaat om het inhoudelijke officiele valt dus niet simpel te stellen dat het specifieke er niets aan af doet. Eerder is het juist belangrijker, zeker als de organisatie het niet zo specifiek stelde en juist een heel andere (officiële) verwoording gaf.

[ironic6925]

Ik hoop niet dat hier meer lekt 😎

[Cowamundo]

Er kan tegenwoordig beter een lijst bijgehouden worden van bedrijven die nog GEEN data gelekt hebben of waar bij ze nog NIET gestolen zijn. Wordt alleen een vrij korte lijst ben ik bang.

[Zer0]

Er zijn 2,5 miljoen bedrijven in Nederland, dus dat wordt zeker geen korte lijst, zelfs als je de ZZP'ers weg laat (1,7 miljoen) hou je nog 800.000 bedrijven over.

[Frame164]

Statistisch gezien moet een groot deel van de community op deze site er wel eens mee te maken hebben gehad.

[Unstable Element]

Telecom winkel hier in de stad. Hebben niet eens een website. Alles gaat cash en hij schrijft de bonnetjes. Super aardige man, verstand van waar hij mee bezig is reparaties dezelfde dag nog klaar. En O zijn er nog vele.

[Ron79]

Momenteel is het ook niet mogelijk om in te loggen.

[Dafader]

Dat is het al een tijdje. Het Mijn Waterbedrijf gedeelte kampt al langer met een storing. Of het hiermee te maken heeft is mij niet duidelijk.