AddComm: gegevens van 'selecte groep klanten' buitgemaakt bij ransomwareaanval

Bij de ransomwareaanval op AddComm eerder deze maand zijn de gegevens van een 'selecte groep klanten' gestolen. Dat schrijft het Nederlandse klantencommunicatiebedrijf in een update. Alle getroffen klanten zijn door het bedrijf op de hoogte gebracht.

AddComm schrijft dat het de omvang van het incident van 17 mei in kaart heeft gebracht met behulp van externe cybersecurityexperts. Uit het onderzoek blijkt dat de data van een beperkte groep klanten is buitgemaakt. Het is niet duidelijk om hoeveel klanten het precies gaat. Het bedrijf schrijft dat 'relevante klanten' per e-mail op de hoogte worden gehouden en belooft zich in te zetten om verspreiding van de gestolen gegevens te voorkomen.

Daarnaast zegt AddComm dat er 'onder begeleiding van externe cybersecurityexperts afspraken zijn gemaakt met de cybercriminelen over het niet-publiceren en verwijderen van buitgemaakte klantdata. Dit suggereert dat het bedrijf de cybercriminelen heeft betaald om de gestolen data niet te publiceren en te verwijderen. Het bedrijf zegt dit besluit genomen te hebben om de schade voor klanten zoveel mogelijk te beperken.

Eerder maakte het waterschap Hoogheemraadschap Hollands Noorderkwartier bekend dat het mogelijk indirect door de cyberaanval is getroffen. Het waterschap maakte gebruik van de diensten van AddComm. Het bedrijf stuurde aanslagen voor waterschapsbelasting naar klanten in de regio. Daardoor is het mogelijk dat er namen, adressen, woonplaatsen en burgerservicenummers zijn gestolen bij de ransomwareaanval.

Ook Waterbedrijf Groningen meldde vorige week dat er mogelijk klantgegevens zijn gelekt bij de cyberaanval op AddComm. Ook deze organisatie maakte gebruik van de diensten van het klantcommunicatiebedrijf. Waterbedrijf Groningen heeft een melding gedaan bij de Autoriteit Persoonsgegevens en raadt klanten aan om waakzaam te zijn voor verdachte e-mails.

Infomedics, een bedrijf dat de facturatie van zorgverleners zoals tandartsen regelt, besteed het versturen van de rekeningen uit aan AddComm. Infomedics zegt dat er geen gegevens van klanten van het bedrijf zijn betrokken bij de ransomwareaanval, ook geen gegevens van zorgconsumenten.

Update, 28 mei 10.15 uur: reactie van Infomedics toegevoegd en verduidelijkt dat AddComm 'afspraken heeft gemaakt met de cybercriminelen'.

Reacties (31)

[De Priester]

https://www.infomedics.nl/beveiligingsincident

Uit onderzoek van AddComm en haar externe (forensisch) deskundigen is gebleken dat het om een ransomware aanval ging, waarbij naast versleuteling door de aanvaller data van bepaalde klanten van AddComm is weggenomen. AddComm en haar deskundigen hebben geconcludeerd dat er geen gegevens van klanten van Infomedics bij de aanval zijn betrokken, en daarmee ook geen gegevens van de zorgconsumenten. 

[5V1NA70G]

Hmmm iets wat onjuist bericht.
Fijn dat ze niet in het lek zaten.
Dat ze hun klanten op 17 mei hebben geïnformeerd klopt niet. Sommige klanten zijn pas afgelopen vrijdag geïnformeerd…

[beerse]

Dat infomedics niet getroffen is (zou zijn) maar enkele andere klanten wel... Dat houdt dus in dat de klanten zoals de waterleidingbedrijven en hoogheemraadschappen getroffen zijn. En dat dus (in potentie) al de klanten van deze organisaties getroffen zijn.

Misschien moet de avg maar eens strikt worden nageleefd: Ik stem er mee in dat mijn leveranciers mijn gegevens mogen verwerken. Maar dat houdt NIET in dat mijn leveranciers mijn gegevens mogen doorgeven aan hun leveranciers. Als mijn leveranciers diensten van derden gebruiken voor hun administratie dan wil dat naar mijn mening zeggen dat die administratie bij MIJN leverancier wordt gevoerd en niet bij diens leverancier.

[MennoE]

Zo werkt het toch niet. Je bestelt een pakket bij Wehkamp, en die geven dan jouw gegevens door aan Postnl om het pakket te versturen. En ze geven Klarna opdracht om het bedrag bij jou in rekening te brengen. Je kan lastig van ze verlangen dat ze dat allemaal in eigen beheer doen.

[B64]

Yep - Infomedics is een bedrijf waar bedrijven in de medische sector hun facturatie onderbrengen. En Infomedics besteed het verzenden van facturen (dat gebeurt digitaal!) uit aan AddComm. Nou weet ik dat ik het nu heel erg simplificeer, maar wat doet Infomedics dan precies? Infomedics kan dat versturen prima in eigen beheer doen, dat het niet gebeurt is puur een centenkwestie...

[Groningerkoek]

Er is bijna geen bedrijf meer welke alleen lokaal haar persoonsgegevens verwerkt en opslaat. Als je dat zou willen dan moet elk bedrijf hardware, software en mensen hiervoor regelen. Onuitvoerbaar.

[beerse]

Dat was een paar jaar geleden wel anders. Het is best wel uitvoerbaar. Het is alleen maar omdat heel veel bedrijven en organisaties aan outsourcing doen voor niet primaire zaken. Niet dat zoiets verboden moet zijn maar er moet wel een reëel overzicht en toezicht blijven.

Nu zien we steeds vaker dat zaken over meerdere schijven uiteindelijk toch daar uit komen waar we het niet willen hebben.

[crazyboy01]

Ben het eens met het tweede deel uit je reactie, alleen snap ik het eerste deel niet helemaal. Ze hadden een waslijst aan klanten, grote landelijke en kleinere regionale namen. Er zijn tal van bedrijven mogelijk getroffen. Waarom zouden de waterleidingbedrijven en hoogheemraadschappen automatisch onder de 'enkele andere klanten' vallen zodra Infomedics er niet onder valt?

[SkyStreaker]

Gaat niet werken, zeker niet op logistiek vlak. Er gaan soms dingen mis en dan moet ik helaas een database inkruipen om ervoor te zorgen dat wat verscheept of verzonden moet worden ook daadwerkelijk die kant op gaat en/of naar het juiste adres.

Als de AVG zover doorgetrokken wordt, dan bestaat de kans dat ik alleen nog maar een collo-identificatie/drager heb en de hele order via dat moet annuleren en de klant krijgt: "bestel opnieuw" - dit kan en moet je echt, echt niet hebben.

De schadeposten daarvan kunnen heel snel hoog en heel destructief oplopen.

Jouw voorstel is onwerkbaar.

[Reactie gewijzigd door SkyStreaker op 22 juli 2024 14:23]

[beerse]

Dat valt op zich wel mee. Dat jij een database in moet kruipen is op zich wel te doen: Je gaat naar de data-eigenaar en daar ga je de database in. Geen probleem. Dan kan meteen de toegang en dergelijke geregeld worden. Bijvoorbeeld of je er alleen naar kan en mag kijken of dat het onder toezicht moet. En of je de gegevens rauw behapt of dat je ze kan en mag ontsleutelen of assembleren.

Maar het is niet de bedoeling dat je een kopie trekt van die database en die op je eigen systemen zet om ze daar te bewerken. De gegevens moeten onder het bereik van de eigenaar blijven.

[SkyStreaker]

Er is gegevensuitwisseling tussen bijv. een locale database, Business Central en bijv. PostNL voor een track/trace en NAW-uitwisseling. Het kan zijn dat ik je verkeerd interpreteer, inderdaad.

[Keypunchie]

Heb jij dan ook je contacten alleen lokaal op je telefoon? Of gebruik je een cloud-dienst, zoals iCloud?

Je draait ook je eigen mailserver?

[Reactie gewijzigd door Keypunchie op 22 juli 2024 14:23]

[Blokker_1999]

De AVG voorziet net in de mogelijkheid om dat allemaal mogelijk te maken. Waarom denk jij dat dat niet zo zou zijn? De AVG bepaalt enkel wie waarvoor verantwoordelijk is en welke informatie doorgegeven mag worden onder welke voorwaarden.

[5V1NA70G]

Infomedics is ook geraakt. Zijn doen facturatie voor zorgdienstverleners (bv tandartsen) naar patiënten.
De verschillende zorgdienstverleners zullen hun patiënten eventueel op de hoogte moeten stellen.

[Reactie gewijzigd door 5V1NA70G op 22 juli 2024 14:23]

[Yzord]

AddComm en haar deskundigen hebben geconcludeerd dat er geen gegevens van klanten van Infomedics bij de aanval zijn betrokken, en daarmee ook geen gegevens van de zorgconsumenten. 

[Lisadr]

Zijn andere AddComm zoals Regionale Belasting Groep, Staedion en Vattenfall zijn ook getroffen?

[bhartman]

Essent heeft het alvast goed op hun website verstopt: https://www.essent.nl/kla...onlijke-gegevens/phishing

[jordy5]

Wederom een succesvolle buit als ik het zo lees:

Het privacybelang van onze klanten en hun data weegt zwaar. Zwaarder dan het principe om ons niet te laten afpersen door de cybercriminelen. Daarom zijn er onder begeleiding van externe cyber security experts afspraken gemaakt met de cybercriminelen over het niet-publiceren en verwijderen van buitgemaakte klantdata.

[Lisadr]

Het privacybelang van onze klanten en hun data weegt zwaar.

Dom om te denken dat de criminelen geen data gaan doorverkopen.

[foaly]

Over het algemeen houdt dit type crimineel zich goed aan dit soort afspraken. Wat het bedrijf zelf bereid is te betalen is vaak een stuk meer dan een data broker en als het eenmaal duidelijk is dat je het alsnog doorverkoopt gaat nooit iemand meer betalen. Hetzelfde met encryptie, die criminelen hebben hartstikke goede support als je betaald en zorgen dat je ook echt altijd bij je data kan als je betaald, die reputatie is belangrijk om te zorgen dat mensen betalen.

[latka]

Anderzijds wordt de winst die men nu gemaakt heeft deels geherinvesteert in nieuwe malware aanvallen zodat we volgend jaar om deze tijd een dubbel aantal aanvallen hebben. Dank Addcom voor het subsidieren van criminaliteit.

[foaly]

O begrijp me niet verkeerd, het blijven criminelen, ik zou ook liever niet zien dat ze betaald worden. Ik reageerde puur op de betrouwbaarheid van wat ze doen.

[Groningerkoek]

Altijd lastig dit soort dingen. Als niemand ooit nog zou betalen dan zou het probleem volgende week zijn opgelost. Maar net als met ontvoeringen is het simpel om te stellen dat ze zijn opgelost als niemand ooit nog zou toegeven, ik vind ook dat we dat moeten doen. Maar ik weet ook dat als het om mijn kind zou gaan ik 3 banken zou overvallen om maar te zorgen dat de ontvoerders hun geld krijgen.

[indexample]

Hoe werkt zo een afspraak eigenlijk? Krijg je dan bepaalde garanties? Of moet je maar hopen dat een anoniem iemand zich aan een afspraak houdt op basis van.....?

[Groningerkoek]

Je maakt afspraken en hoopt dat de voor jou anonieme partij zich daaraan houdt, en meer kun je niet doen.

Als je met een wilde cowboy te maken hebt dan is dat lastig, maar de grootste groepen zijn professionele bedrijven die gewoon in een kantoor zitten in een (relatief) veilig land. En die groepen moeten het vooral van hun reputatie hebben. Als die en betaald krijgen en uitlekken dan krijgen die natuurlijk geen cent meer. Als een bedrijf zo goed als zeker is dat ze te vertrouwen zijn dan is men veel sneller geneigd te betalen.

[Keypunchie]

Wat voor “garanties” kan een crimineel je geven?

Wat ga je doen als ze zich niet aan de afspraak houden?

Het is altijd een risico dat je neemt als je een crimineel vertrouwt.

[Kpt. Sputnik]

https://www.staedion.nl/o...k-bij-leverancier-addcomm

Al een tijdje geen huurder meer, maar ik werd door Staedion gemaild waarin voor dit datalek wordt gewaarschuwd.

[NotWise]

Met 'selecte groep klanten' bedoelen ze dat het precies jouw gegevens betreft en niet die van anderen

Je wordt zo langzamerhand wel moedeloos van. Wellicht moet iedereen gewoon al zijn gegevens op een centrale plek online zetten en dan mogen criminelen het gewoon downloaden. Dat scheelt een hoop gedoe.

[Robru1]

Wat ik altijd vreemd vind aan zulke hacks is, dat de betreffende bedrijven altijd vrijuit gaan. Als klant krijg je een lullig 'sorry' email, en dat was het.

[erikloman]

AddComm meldt dat ze de cybercriminelen hebben betaald:
https://www.addcomm.nl/ad...mware-update-27-mei-2024/

Via Daniël Verlaan (@danielverlaan):
https://x.com/danielverlaan/status/1795358904240787624