AP: datadiefstal bij ransomware verdubbelde bijna in 2024

Het aantal ransomwareaanvallen in Nederland waarbij data werd gestolen, was vorig jaar bijna twee keer zo groot als in 2023. Volgens de Autoriteit Persoonsgegevens moeten organisaties niet alleen beleid opstellen, maar dit ook volgen.

De Autoriteit Persoonsgegevens meldt deze opvallende groei in haar jaarlijkse datalekrapportage. In 2023 werd nog bij 24 procent van de ransomwareaanvallen data gestolen, maar in 2024 gebeurde dat bij ‘minimaal 53 procent van de aanvallen’. “Bij de organisaties die deelnamen aan het onderzoek van de AP werd er zelfs in 89 procent van de gevallen data gestolen.” De AP zegt dat dit ten opzichte van 2023 bijna een verdubbeling is. “Criminelen gaan op zoek naar (financieel) gevoelige gegevens om deze te stelen en om daar organisaties, of zelfs de klanten daarvan, mee af te persen”, verklaart de toezichthouder.

De trend waarbij er bij ransomwareaanvallen steeds vaker data wordt gestolen, is al langere tijd gaande. Tweakers schreef er vorig jaar al een achtergrondartikel over. Experts merkten toen al op dat er steeds vaker ransomwareaanvallen voorkwamen waarbij er zelfs helemaal geen systemen meer worden versleuteld, maar die alleen nog draaien om datadiefstal.

De toezichthouder kijkt voornamelijk naar datalekken die voor slachtoffers de grootste risico’s opleveren. Dit kunnen bedrijven en directe klanten zijn, maar ook indirecte slachtoffers. Een duidelijk voorbeeld van dat laatste is klantcommunicatiebedrijf AddComm, dat in mei vorig jaar werd getroffen door een ransomwareaanval. Via de ruim vijfduizend klanten van dat bedrijf zijn in totaal anderhalf miljoen Nederlanders geraakt door dit datalek, zegt de AP nu. De toezichthouder en andere instanties waarschuwen al langer voor de gevaren van dergelijke supplychainaanvallen; daarbij worden toeleveranciers interessante doelwitten, omdat daarmee andere bedrijven kunnen worden getroffen.

AddComm is een groot geval, maar geen uitzondering. De AP stelt in haar onderzoek vast dat het aantal cyberaanvallen in 2024 is toegenomen. “In 2024 zijn er 1430 datalekken na een cyberincident gemeld. In 2023 waren dit er nog 1309”, staat in het jaarrapport.

De meeste cyberaanvallen waarvan de AP een melding binnenkreeg, kwamen voor in het onderwijs en in de zorg. Zo zijn er in het onderwijs veel datalekmeldingen gedaan na een cyberaanval bij schoolboekenleverancier Iddink, die veel onderwijsinstellingen raakte. De meeste datalekken werden gemeld in de zorg, in het openbaar bestuur en in de financiële dienstverlening.

De AP roept Nederlandse bedrijven en organisaties op tot actie op het gebied van beleid tegen cyberaanvallen. Bedrijven zouden niet alleen maar beleid moeten hebben, maar moeten zich ook goed daaraan houden en regelmatig controleren of dat beleid nog actueel is. In 40 procent van de door de AP onderzochte gevallen hadden bedrijven of instellingen wel beleid tegen cyberaanvallen, maar voerden ze dat niet juist uit of hielden er gebrekkige controle op. “In 33 procent van de gevallen was er geen of onvoldoende beleid tegen cyberaanvallen. Dat maakte deze getroffen organisaties zeer kwetsbaar voor cyberaanvallen”, aldus de AP.

Reacties (18)

[swhnld]

Ik lees dat na het datalek bij de schoolboeken leverancier heel veel scholen melding gemaakt hebben van een datalek. Maar hoe telt de AP dat datalek dan, is het 1 geval, of tellen ze alle meldingen individueel?

Tel je ze individueel omdat je ook geraakt bent dan gaat het hard en verklaard dat de stijging met 121 meldingen t.o.v. het jaar ervoor mogelijk al grotendeels.

[kodak]

Wettelijk gezien gaat het recht op bescherming voor ieder persoon individueel op. Maar omdat er al melding gedaan moet worden bij een vermoeden dat gegevens van een of meerdere personen getroffen zijn is het waarschijnlijk ook geheel onduidelijk om hoeveel individueel geschonden rechten dit gaat. Deze conclusie gaat om een subgroep van een subgroep. Terwijl er eigenlijk inzicht hoort te zijn hoeveel personen er werkelijk getroffen zijn en hoeveel meerdere keren getroffen zijn.

[Jhojo270]

In het rapport staat vermeld: De overige 577 gemelde incidenten zijn niet verdiepend onderzocht, bijvoorbeeld omdat meerdere meldingen over hetzelfde incident gingen. Dit zijn bijvoorbeeld meldingen van een cyberaanval bij één organisatie, waar meerdere organisaties door geraakt werden.

[SunnieNL]

@JaspB Mogen jullie de link naar het rapport zelf niet delen?

Voor de mensen die het rapport willen lezen: AP: Datadiefstal door cybercriminelen verdubbeld | Autoriteit Persoonsgegevens

[TijsZonderH]

Toen we het bericht schreven, deden we op basis van embargoinformatie en daar kun je dan niet naar linken. Ik heb de link nu alsnog toegevoegd

[JaspB]

(Tijs was me voor dus. )

[Aldy]

En voor @TijsZonderH Dit is natuurlijk off-topic, maar als je het artikel schrijft kun je de link toch al toevoegen, omdat je weet dat je het pas gaat publiceren op het moment dat het embargo is opgeheven?

[JaspB]

(Probeer ik @TijsZonderH even voor te zijn. 😊)

Niet altijd, want soms hebben we nog geen linkje, bijvoorbeeld doordat onder-embargo-aanleverende partij een link zelf niet vooraf kan aanmaken & aanleveren.

[Floort]

Ik lees geen woord over onderzoeken naar niet gemelde datalekken. Jammer. Edit: De 16 ontdekte niet-melders zijn aangesproken en hebben alsnog gemeld. Geen echt onderzoek. Geen handhaving vanwege overtredingen op de meldplicht.

[Reactie gewijzigd door Floort op 3 juli 2025 11:07]

[kodak]

Zonder onderzoek gaan deze cijfers en conclusies inderdaad alleen om wat wel gemeld is. Dat is handig als je als toezichthouder iets inhoudelijks wil concluderen, maar de wet gaat om toezicht op zowel wat wel als niet gemeld is. En dus is de conclussie over de toename helaas niet zomaar juist. En zonder onderzoek wat de toezichthouder allemaal aan meldingen mist, en dus de aanvallen die verzwegen worden, is dit soort conclussies geen duidelijke weerspiegeling van de problemen in de praktijk. Er is dus onderzoek nodig voor men dit soort conclussies gaat trekken.

[Tc99m]

De AP geeft in hun nieuwsbericht en in de uitgebreidere rapportage aan dat het om een schatting gaat ("Deze datadiefstal kwam in 2024 ongeveer twee keer zo vaak voor als in 2023, schat de AP"). Daarnaast mag je gerust conluderen dat het aantal gemelde datalekken toeneemt als dat daadwerkelijk uit je eigen cijfers blijkt.

De AP weet natuurlijk ook wel dat lang niet alle datalekken gemeld worden, maar het doel van deze rapportage is niet om onderzoek doen naar de meldingen die onder de radar blijven, maar om te rapporteren over wat er met de wél gedane meldingen is gedaan. Dan trek je geen foute conclusies, en ik vind het ook nogal ver gaan om te suggereren dat de AP de rol als toezichthouder verzaakt omdat ze geen onderzoek zouden doen naar meldingen die onder de radar blijven. Waar blijkt uit dat ze dat niet doen? Dat ze het niet in dit specifieke rapport hebben opgenomen, wil niet zeggen dat het hun aandacht niet heeft of dat ze zich er niet bewust van zijn.

[Reactie gewijzigd door Tc99m op 3 juli 2025 12:30]

[kodak]

Het feit dat het om een schatting gaat doet niets af aan het grotere probleem: de wetgeving gaat niet slechts om selectieve meldingen en schattingen om maar iets te rapportere,het gaat ook om de praktijk van waar men allemaal geen inzicht in krijgt en niet wenst te krijgen.

Het is prima om van mening te verschillen wat genoeg is om stellingen over toename of afname op te baseren, maar het is niet voor niets dat schattingen ondergeschikt zijn aan behoorlijk praktijkonderzoek. Waarbij helaas nog komt kijken dat schattingen en selectief gegevens toepassen en negeren een erg beproefd middel is om de praktijk te negeren.

[Floort]

Het meest basale voorbeeld dat ik gebruik om dit uit te leggen: is een toename in het aantal meldingen een toename in het aantal inbreuken (negatief) of een toename in de meldingsbereidheid (positief), toename in detectie capaciteit (positief), etc... Waarschijnlijk is het een combinatie van factoren. Maar los van de interpretatie van de cijfers: ook de toezichtshouding van de AP heeft effect op hoe organisaties omgaan met datalekken. Deze analyse is al wat ouder, maar nog steeds van toepassing volgens mij. De AP straft (dat bedoel ik breder dan alleen boetes) melders van datalekken vaker én harder dan niet-melders. Dat ontmoedigd compliance met de meldplicht.

[Aldy]

Is AP verplicht om actief naar niet gemelde datalekken te zoeken? Zo nee, dan zijn de cijfers juist, anders zijn de cijfers onjuist en zullen nooit juist worden.

[TijsZonderH]

De AP is verplicht om gemelde datalekken te onderzoeken, maar kan daarnaast ook 'ambtshalf' onderzoek doen, ofwel onderzoek op eigen initiatief, denk bijvoorbeeld aan naar aanleiding van berichten in de media. Ik weet niet of dat verplicht is onder de AVG, maar wat je idealiter wil is dat de AP beide doet - anders loont het om datalekken juist niet te melden.

Vooral opvallend is dat de AP zelf tegen mij zei dat dit prioriteit voor ze was. In 2021 zeiden ze al dat er 'balans begon te komen' in het aantal reactieve en ambtshalve onderzoeken, maar een jaar later lieten ze in hun datalekrapportage weten dat amper nog te doen. Dus ze willen het wel, maar doen het niet.

[Aldy]

Vooral opvallend is dat de AP zelf tegen mij zei dat dit prioriteit voor ze was. In 2021 zeiden ze al dat er 'balans begon te komen' in het aantal reactieve en ambtshalve onderzoeken, maar een jaar later lieten ze in hun datalekrapportage weten dat amper nog te doen. Dus ze willen het wel, maar doen het niet.

Dit zal wel weer met wettelijke eisen en geld te maken hebben. Zolang dit niet in verhouding is, zal het nooit werken. Is natuurlijk een kwestie van prioriteiten stellen in de politiek en ik kan mij voorstellen dat de AP kind van de rekening is, maar maak ze dan niet verantwoordelijk voor de handhaving.

[kodak]

Het is zowel wettelijk de taak om onderzoek te doen als een plicht om zo betrouwbaar mogelijke conclussies te trekken en te communiceren.

De doelstelling van de wetgever is niet dat een schijn van werkelijkheid prima is. En zeker niet een die door onwil of onkunde om behoorlijk onderzoek te doen compleet los kan staan van de praktijk.

De taak van onderzoek is gegeven om schijn van theorie tegen te gaan. De plicht om zo betrouwbaar mogelijke conclussies te trekken en te communiceren om te zorgen dat men de taken als onderzoek daadwerkelijk ook toe past.

[Aldy]

Maar zoals ik al elders schreef is het tevens de bedoeling van de wetgever dat die je ook voldoende middelen geeft om je wettelijke taken uit te voeren. Zorg je daar niet voor, dan kun je niet verwachten dat je de vereiste resultaten krijgt.