Hackersgroep publiceert alle gebruikersdata laptops Nederlands afvalbedrijf

De Russische hackersgroep Qilin heeft 1TB aan gegevens gepubliceerd van de Noord-Nederlandse afvalverwerker Omrin. Daaronder is de volledige inhoud van op zijn minst een deel van de laptops van medewerkers.

Daaronder zijn veel persoonsgegevens van medewerkers, meldt de Leeuwarder Courant. Eerder zette de hackersgroep al identiteitsbewijzen, woonadressen en salarissen van personeel online om te bewijzen dat ze de data in handen hadden. De publicatie van de rest van de data wijst erop dat Qilin geen losgeld heeft ontvangen van Omrin.

Qilin hackte Omrin op 12 oktober in een ransomware-aanval. Het is onbekend hoe de hackersgroep precies is binnengekomen. Het gaat nu in totaal om meer dan 1TB aan gegevens, waaronder notulen van vertrouwelijke vergaderingen en privégegevens van medewerkers.

Reacties (67)

[Zorg]

Laatste tijd veel van dit soort berichten en wat opvalt is dat de bedrijven veelal een slachtoffer zijn. Vermoedelijk (ok een aanname) veelal besparen op IT & security en dan er mee wegkomen met een mea culpa? Zou er niet harder moeten worden opgetreden? Wij zijn allemaal maar verplicht om al onze gegevens door te geven aan ondernemingen die het veelal niet heel erg belangrijk vinden om goed met onze data om te gaan! Ik zou graag meer bestraffing maar ook preventie willen zien. Verzekeringen, minimale security vereisten en boetes. Wij moeten overal maar ons data achterlaten aan bedrijven waarvan we niet eens weten hoe ze de boel op orde hebben. En blijkbaar niet op orde hebben!

En niet afschuiven op de IT afdeling, die voeren uit met het budget wat management goedkeurde. Als deze persoonlijk aansprakelijk zouden zijn zou er opeens een pak meer budget zijn

[Reactie gewijzigd door Zorg op 28 oktober 2025 23:35]

[NoTechSupport]

Het is te kort door de bocht om van de bedrijven en overheidsinstellingen de boosdoeners te maken. Één gaatje in je security (van een zero day tot een minder intelligente/goedgelovige medewerker die op een link klikt) en privégegevens kunnen op straat liggen.

Ik denk dat we enerzijds in vraag moeten stellen of bedrijven al die privégegevens altijd nodig hebben (bij postpakketjes geef ik persoonlijk nooit mijn eigen naam of telefoonnummer op). Anderzijds moeten sommige gegevens kunnen veranderen. Waarom zou je rijksregisternummer, telefoonnummer, adres en bankrekeningnummer je hele leven hetzelfde moeten zijn?

[Zorg]

Je hebt zeker een goed punt. Het is natuurlijk nooit 100% uit te sluiten, maar wel te verzekeren. Iets meer harde controle en vereisten zouden we wel mogen verwachten vind ik

[Woesjah]

Maar wat is reden dat je zou verzekeren? Vaak doen ze het voor financiële redenen. Dus of om de schade te beperken of een verzekering om losgeld te betalen. Vind een verzekering maar een beetje afkopen van dingen die je veel beter in basis gewoon moet regelen.

Gelukkig stellen verzekeraars wel een set aan minimale eisen op (MFA etc) voor dekking.

[Reactie gewijzigd door Woesjah op 29 oktober 2025 12:37]

[Tintel]

Waarom zou je rijksregisternummer, telefoonnummer, adres en bankrekeningnummer je hele leven hetzelfde moeten zijn?

Juist. Maar de voornaamste reden is om het niet te doen is - helaas - tracking [door de uitgever van dat nummer...]

Telefoonnummer was niet zo'n probleem als het aan een huisadres vasthing (bij verhuizing veranderde dat dan ook) - maar dankzij mobiele telefonie en personal devices toch weer wel.
Je eigen naam; tja dat zou op zichzelf geen probleem moeten zijn en is niet eens zo heel uniek (is ook niet verplicht).
Maar dan nog: het adres hebben ze hoe dan ook nodig - het probleem ontstaat als die gegevens niet worden verwijderd na gebruik.

[bassekeNL]

Waarom doen we er zo panisch over? Wat voor maatregelen we ook treffen dit blijft gebeuren. Daarna (of daarvoor) de kosten dusdanig laten oplopen, door beveiliging of boetes, gaat alleen maar verlammend werken.

Laten we stoppen met enige bewijslast toekennen aan het kennen van deze gegevens, en accepteren dat deze bekend kunnen zijn. Het is namelijk van de zotte dat wanneer iemand met jouw bsn of een kopie van een identiteitsbewijs een bankrekening oid opent, dat de bewijslast dan bij jou ligt.

[NoTechSupport]

Als je bekend bent worden deze gegevens gebruikt om mensen te achtervolgen, bedreigen etc. Maar ook voor een anonieme NoTechSupport of basskeNL kunnen deze gegevens gebruikt worden voor oplichting.

[Ronwiel]

In veel vacatures zie je voorbij komen dat je een laptop van 'de zaak' krijgt. En dat je die privé mag gebruiken. Ik hoop dat dit nieuwsbericht voor iedereen een waarschuwing is.

[Digimann]

Ik heb geen toegang tot bron artikel, maar uit bovenstaande haal ik niet dat het om data gaat wat ontstaan is door persoonlijk gebruik.
Werkgevers hebben toegang tot persoonsgegevens. Maar ook prive gegevens hoeven geen gegevens te zijn door persoonlijk gebruik. kan ook gaan om ziektes, thuis situaties die invloed hebben op functioneren etc

[Ronwiel]

Mijn aandacht werd gepakt door:

Daaronder is de volledige inhoud van op zijn minst een deel van de laptops van medewerkers.

In mijn omgeving zie ik in ieder geval veel mensen die zakelijke laptops gebruiken voor het boeken van vakanties, maken van fotoboeken etc. etc. Persoonlijk denk ik dat je dat beter niet kan doen. Je loopt immers het risico dat het in een zakelijke Onedrive terecht komt, of, zoals dit artikel aangeeft, onderdeel wordt van een hack.

[Digimann]

Mijn aandacht werd gepakt door:
[...]

Oke ik lees dat "gewoon" als de laptops die de medewerkers in gebruik hebben.

Om ook je reactie mee te pakken...
Ik had laatst discussie over thuis werken en dat mijn thuis computer op hetzelfde netwerk zit die van mijn werk. En die reactie was Als de baas zich er niet druk over maakt die het dan zelf ook niet.
Als je thuis werkt is het ook mogelijk om prive gegevens te verzamelen ook als dat niet via de zakelijke laptop gaat. En in de meeste gevallen hoop ik dat zakelijke laptops beter beveiligd worden dan de meeste thuis laptops.
Prive gevens in zakelijke onedrive is dan niet waar ik me het meest druk over zou maken.
Al snap ik het punt dat je wilt maken wel!

[fenrirs]

Met een laptop van de zaak komt ook de vpn tool. Mijn ervaring met een cisco en fortinet versie is dat die verregaande toegang willen to je documenten. Zelfs al zijn alle docs werk gerelateerd, wil je dat nog steeds niet altijd, zekwr jietvgezien hun reputatie

[supersnathan94]

De kans is vrij groot dat je dan ook al cisco umbrella hebt.

Dat is letterlijk een SSL resigner die als MITM al je verkeer ontsleuteld en opnieuw versleuteld.

Beter hebben ze die in eigen beheer.

[Digimann]

Of een split tunnel

[SunnieNL]

Bij ons op het werk zou dat betekenen dat privé documenten worden beoordeeld en geclassificeerd door het DLP systeem en de AI daarvan. Een van de redenen om de laptop zeker niet privé te gebruiken. Als je er een creditcard nummer in een document zet of je prive adres zou het zomaar kunnen zijn dat je er een minuut later niet meer bij kan zelfs als je het opslaat op je prive onedrive gaat het door het classificatie systeem omdat de data nou eenmaal gecached staat op je lokale drive.

Zelfde voor telefoons. Ik heb office 2x op de telefoon omdat de zakelijke versie door de DLP loopt. Zit er dan ook aan te denken de telefoon met dual Sim weer te splitsen naar 2 telefoons omdat ik nu vaak de werkcontainer moet in en uitschakelen om te voorkomen dat ik per ongeluk de verkeerde app te pakken heb

[scsirob]

...op je prive onedrive

Ik kon een kleine glimlach niet onderdrukken

[Reactie gewijzigd door scsirob op 28 oktober 2025 22:29]

[bzzzt]

In mijn omgeving zie ik in ieder geval veel mensen die zakelijke laptops gebruiken voor het boeken van vakanties, maken van fotoboeken etc. etc.

Lezen van tweakers.net?

Persoonlijk denk ik dat je dat beter niet kan doen. Je loopt immers het risico dat het in een zakelijke Onedrive terecht komt, of, zoals dit artikel aangeeft, onderdeel wordt van een hack.

Dat ligt natuurlijk helemaal aan het beleid van de organisatie wat in principe aan de werknemer uitgelegd zou moeten zijn. Veel werkgevers hebben expliciet 'beperkt privé gebruik' toegestaan dus dan zou je ook enige vorm van privacy mogen verwachten. Hoewel het tegenwoordig 'not done' is bedrijfslaptops te gebruiken voor hobby en vermaak was dat vroeger wel geaccepteerd. Sommige mensen kunnen dat nog steeds opvatten als een soort verworven recht.

[Tintel]

Hoewel het tegenwoordig 'not done' is bedrijfslaptops te gebruiken voor hobby

Waarom is dat dan 'algemeen' zo? Als we laptops puur zien als gereedschap en alle bedrijfsdata elders wordt opgeslagen wat is er mis met prive gebruik? Hetzelfde geldt overigens voor desktops.
Het zo net als een lease-auto moeten zijn; de werkgever verstrekt de laptop voor gebruiker door de werknemer en dat gebruik mag niet het bedrijfsmatige doel hinderen - that's it.
Een mobiele telefoon van de zaak kun je toch gebruiken om prive te bellen?

Als er veiligheids risico's zijn dan is mee naar huis nemen al een risico.

[bzzzt]

Als je een werklaptop vol met niet noodzakelijke software gooit is dat best een risico. Vroeger had lang niet iedereen een computer thuis en was ook niet alles permanent verbonden met internet dus het was gebruikelijker dat er meer dingen op werk hardware werd gedaan dan strikt noodzakelijk. Ook om mensen wat vertrouwder met computers in het algemeen te maken en de weerstand van het veranderende werk te verminderen.
Tegenwoordig zijn PCs een stuk goedkoper, zijn mensen er minder bang voor en is het niet zo absurd om te eisen dat een werklaptop alleen voor werk wordt gebruikt om de veiligheid.

[Tintel]

oh - ik zeg niet dat er niet 'voorzichtig' om moet worden gegaan met werkmateriaal maar het idee dat je dat altijd 100% moet scheiden, is niet juist denk ik.

[bzzzt]

100% is natuurlijk heel veel. Dan zou je nog geen weerbericht open mogen klikken als dat niet relevant voor werk is. Maar ik denk dat het niet heel onrealistisch is dat een bedrijf bijvoorbeeld oplegt dat er geen games op werklaptops staan. Sommige games installeren rootkits die feitelijk volledige controle over een systeem krijgt. Dat verhoogt domweg de kans dat gevoelige data van zo'n systeem wordt getrokken. Dat wil je als bedrijf niet aan de klant uit hoeven leggen...

[Tintel]

Ja, er zijn zeker gradaties. Maar dat geldt dus voor alle door de werkgever versterkte materialen, die je ook prive mag gebruiken.
Jouw voorbeeld van de game met rootkit zal dan ook het reguliere werkgebruik (kunnen) hinderen en daarom niet de bedoeling.

[Bender]

Een eigen prive laptop gebruiken, welke niet beheerd wordt, is natuurlijk geen enkele garantie dat het niet gebeurt.

[Ronwiel]

Maar je bent ook een minder groot doelwit dan een groot bedrijf die een flinke som geld over kan maken. Maar je hebt een punt, iedereen kan, ook met een eigen laptop, slachtoffer worden van ransomeware of een keylogger.

[NBK]

Sterker nog. Veel zakelijke laptops zitten behoorlijk dichtgetimmerd waardoor je eigenlijk niks perongeluk kunt installeren. Bij de meeste prive laptops werkt de gebruiker op de admin account.

[SunnieNL]

Think again...

Ik kom maar al te vaak tegen dat men zegt dat gebruikers geen admin zijn en daarom andere beveiligingen niet nodig zijn. Sommigen hebben applocker actief en als ik ze dan wijs op gedocumenteerde mogelijkheden om er omheen te werken staan ze verbaasd te kijken. Zeker als dat ook nog werkt en niet heel moeilijk is te vinden.

En dan heb je nog de groep bedrijven waar gebruikers wel admin zijn, want bepaalde functies vinden het anders maar onhandig... Zoals management, development, support, domain admins...

[Reactie gewijzigd door SunnieNL op 29 oktober 2025 00:44]

[Matszs]

Andersom kan ook; omdat een laptop uitmaakt van een bedrijf omgeving is opeens alles beschikbaar voor een hacker?

[TrafalgarLaw]

Jullie krijgen laptops?!

[Bender]

Ik mag aannemen dat je middelen die je nodig hebt voor je werk van de werkgever krijgt?

[TrafalgarLaw]

Over het algemeen niet. Ik kan wel spullen bestellen voor gebruik op kantoor/spreekkamer maar dan blijven ze daar ook. Toen ik in dienst van de gemeente trad kreeg ik een iphone 6 met abbo om mee te bellen.

[Bender]

Over het algemeen niet?
Dat zou ik raar vinden, ik vraag me zelfs af of een werkgever zomaar kan verplichten prive middelen te gebruiken voor zakelijk werk.

Wat voor soort middelen moest jij prive aanschaffen voor je werk dan? Want je telefoon kreeg je ook.

[supersnathan94]

Na een beetje op je profiel rondgekeken te hebben begrijp ik je context wat meer. Ik denk dat het in jouw situatie ook niet heel raar is dat je geen laptop krijgt. Ik zie bijvoorbeeld geen situaties waarin "work from home" een ding is. En dan met name je eigen home. Ik denk dat data beveiliging in jouw situatie meer van belang is precies vanwege dit soort situaties.

Of zit ik er dan naast?

[TrafalgarLaw]

Haha ja die comment over laptops was ook een beetje grappend/meme achtig bedoeld maar dan krijg je een hele serieuze comment en daar moet je dan wat mer.

[supersnathan94]

yeah in de "y'all are getting paid " vibe

[HADES2001]

Sterker zelfs momenteel heb ik er 3 gekregen en een workstation op kantoor. En als ik wat prive wil doen doe ik dat op geen van die systemen want wil niet dat dankzij mijn toedoen (hoe klein de kans ook) er een bericht op deze frontpage komt

[Keypunchie]

Zal van je functie afhangen. Denk dat de mannen die op de vuilniswagens rijden minder waarschijnlijk een laptop krijgen, maar ik ken eigenlijk geen kantoorfunctie waar je niet van een laptop v/d zaak wordt voorzien...

[Dennisb1]

Heb al diverse keren een verzoek gedaan tot informatie welke gegevens ze van mij bezitten en wat er gelekt is (zowel mail als Facebook, welke wel gelezen worden) maar antwoorden ho maar.

[SunnieNL]

Zoeken naar de privacy officer op de website (doe moet er op staan) en een avg verzoek tot inzage doen. Zelfde bij de gemeente, die zouden de gegevens ook moeten hebben omdat het een 3rd party processor is met wie ze afspraken hebben gemaakt. Dus ook daar het avg verzoek doen.

Kan wel even duren. Bij mijn gemeente was ik een paar jaar geleden de eerste en moesten ze alles bij elkaar verzamelen duurde een maand of 2, 5

[par4]

Ah wat gek dat ze momenteel geen tijd hebben voor Dennisb1

[supersnathan94]

Alsof de social media manager nu bezig is om uit te zoeken waar het lek zit? die is social media manger geen IT forensic expert

[ilm]

Ik vraag me af of bedrijven of overheden niet gewoon wat mist kunnen spuiten voor al die ransomware.

Gewoon wat (veel) extra data genereren met wat straffe verhalen en vals IBANS, en dan op het dark web zetten voor de ransomware deadline verstreken is (toch nog een nut voor LLMs). Dicht genoeg bij de realiteit maar wel waardeloos en geeft ook bescherming tegen chantage bij werknemers nadien.

Security through obscurity, maar dan na de feiten. Zal niet alles beschermen maar ge maakt alles wel moeilijker. Je kan dan gemakkelijker nadien claimen dat iets niet waar is (ook al is het genuine), gewoon al door het feit dat er fake data tussenzit. Zal natuurlijk niet helpen bij ontwerpen van chips enzo.

[Reactie gewijzigd door ilm op 28 oktober 2025 20:32]

[Bender]

Wat maakt het dan moeilijker?

Alles op het darkweb dumpen geeft voor hun geen financieel gewin, het boeit ze dan ook niet dat er nepdata tussen zit.
Daarnaast als het gratis is boeit de gebruiker ook niet dat er wat nepdata tussen zit.

[Daoka]

Het idee is leuk maar dan moet het wel super vol zitten met nep data en vaak heeft het toch geen zin. Stel dat je nep telefoonnummer toevoegt. Als maar de helft nep is de rest echt en is het 1 op de 2 kans dat het goed is. Irritant misschien maar zeker nog goede kansen. Valse email adressen heeft weinig zin. Geautomatiseerd spam mail versturen is de computer misschien langer bezig maar de persoon heeft daar geen last van. Daarnaast zullen ze wel gewend zijn dat ze op veel berichten geen reactie krijgen doordat veel al als spam geclassificeerd wordt. Nep werknemers / klanten heeft ook geen zin want er wordt toch geen controle gedaan of het echt is. Misschien nep notulen om te verbergen wat het bedrijf van plan is maar ik vermoed dat de meeste dingen die geheim moeten blijven ook geen notulen van gemaakt worden en de rest zal vaak toch wel minder interessant zijn.

Misschien dat zelfs de data duurder wordt omdat ze gewoon maar data hebben. Uiteindelijk (als het bekend is dat er vaak nep data bij zit) dat de data minder waard wordt omdat potentiële kopers de nep data minder leuk vinden maar zelfs dat verwacht ik niet. Ik vermoed dat dit gewoon dan als risico gezien gaat worden en dat men gaat inschatten hoeveel ongeveer echt zal zijn.

[supersnathan94]

Stel dat je nep telefoonnummer toevoegt. Als maar de helft nep is de rest echt

https://www.maxvandaag.nl/sessies/themas/media-cultuur/hoe-zit-het-hoeveel-mogelijke-06-nummers-zijn-er-in-nederland/

dan moet je echt exact weten welke nummers er in onbruik zijn, anders is de kans dat je een echt nummer toevoegt ongeveer 90%.

Valse telefoonnummers genereren is in NL echt niet goed mogelijk.

Ik snap daarom ook niet waarom we niet vaker spamcalls hebben. 9 van de 10 nummers zijn toch wel in gebruik. Random eentje gokken en je hebt vrijwel 90% kans dat je een goede hebt.

[Daoka]

Ik had daar inderdaad niet aan gedacht. Het was natuurlijk maar ook een voorbeeld dat je dus veel extra data nodig hebt om dit dus een echt probleem te maken (wanneer dus mogelijk).

Ik snap daarom ook niet waarom we niet vaker spamcalls hebben. 9 van de 10 nummers zijn toch wel in gebruik. Random eentje gokken en je hebt vrijwel 90% kans dat je een goede hebt.

Jij bent natuurlijk maar 1 (of 2) op de 60 miljoen. Het is natuurlijk dus maar een kleine kans dat je gekozen wordt. Daarnaast zijn er meer landen in de wereld dus je ben zelfs niet eens de 1/2 op de 60 miljoen. En ik verwacht ook wel dat telefoon providers bepaalde veiligheid hebben ingebouwd. Ik kan me voorstellen dat er regels zijn als iemand 20 keer in een uur met verschillende mensen belt en je gesprek duurt nog geen 10 seconden dat je dan wel geblokkeerd wordt. En mogelijk dat providers deze nummers ook wel met elkaar uitwisselen

[Reactie gewijzigd door Daoka op 29 oktober 2025 02:13]

[TheToolGuy]

Ik heb mijn netwerk thuis extreem dicht gespijkerd en gebruik een laptop van de zaak alleen voor de zaak, NIETS privé.

Verder maak ik alleen verbindingen via VPN, plus een extra versleutelde laag.
Uiteraard bitlocker actief en ik gebruik en sla data alleen op op de storage in het bedrijf, NOOIT lokaal.

Zonder bijbehorende USB stick krijg je totaal geen toegang tot de schijf überhaupt ...

Ikzelf denk dat dit een vrij goede methode is om laptop data te beschermen (mocht je lokaal toch iets opslaan...)

[m_snel]

Randsom ware is te vergelijken met bitlocker zonder de sleutels.
Dat is meer voor als je device fysiek gestolen wordt.

Maar het probleem zit hem natuurlijk in of je alles update, geen vreemde sites bezoekt en zeker geen links in mails aanklikt.

De zwakste schakel is vaak de mens zelf

[NESFreak]

Op https://www.oogtv.nl/2025...van-afvalverwerker-omrin/

Melden ze over de gemeente Groningen het volgende

Of ook persoongegevens van inwoners van onze gemeente zijn gelekt is niet duidelijk. Omrin is in onze gemeente alleen verantwoordelijk voor de verwerking van het afval. Inwoners krijgen niet zelf te maken met het bedrijf, omdat de gemeente het afval zelf inzamelt.

Maar inwoners uit gemeentes met een diftar systeem hebben well rechtstreeks een account bij Omrin en kunnen in de Omrin app ophaaldagen zien, en ook het aantal kilos wat voorgaande keren is meegegeven. Ik ben dan ook erg benieuwd wat hiervan allemaal gelekt is.

[Rambolinie]

Ik ben (als ex medewerker van Omrin ) benieuwd waar de data staat om te zien wat er van mij op straat ligt…

Heb in ieder geval nog geen bericht gehad van Omrin.

[mysterion1989]

moet even zoeken tor web site stond link naar ftp kon ik kijken maar stonden wel id testen enzo

[Frogmen]

Niet betalen lijkt mij een hele goede norm gelijk met aangifte doen. Als vervolgens in de hele beschaafde wereld het linken en of delen van gestolen data strafbaar wordt ondermijn je het verdien model.

Nu wordt er door criminelen geld verdient met angst, gezien de huidige toestand in de wereld kan het ook voor een overheid een financieringsmodel worden.

[Arfman]

Laptops waar bedrijfsdata opstaat, niet versleuteld met Bitlocker. Dat is toch wel security 101. Beter is nog om helemaal geen data lokaal op te slaan maar dat is niet altijd haalbaar.

[aikebah]

Waar lees je dat het niet beveiligd was met bitlocker? Bitlocker met een ingelogde gebruiker beschermt je niet tegen ransomware, want dankzij die ingelogde gebruiker wordt alle data transparant ontsleuteld.

[Arfman]

Dat kan alleen als de laptop uit de handen van de medewerkers is gegrist. Aangezien het hier om meerdere laptops gaat denk ik niet dat dit het geval was.

[aikebah]

Dat kan alleen als de laptop uit de handen van de medewerkers is gegrist. Aangezien het hier om meerdere laptops gaat denk ik niet dat dit het geval was.

Bij Ransomware hoef je helemaal geen laptop in handen te hebben... je harvest data gewoon over het internet met je ransomware, dat is waar ik op doel. Jij moet meer lezen dan allen de intro. De data zou afkomstig van medewerker-laptops, maar niet door een fysiek apparaat uit te lezen, maar met malware over het internet verstuurd. In dat scenario wordt je totaal niet gehinderd door automatische disk-encryptie, want die beveiligd enkel tegen oogsten van bruikbare data van een device dat je fysiek in handen hebt.

Zeer goede kans dat de data uiteindelijk dubbel-encrypted op die schijven stond na de aanval (malware-encrypted en daarna bitlocker er overheen)

[Zsub]

Da's wel praktisch met de salarisonderhandelingen, je ziet precies wie wat krijgt