RTV Noord-hack was ransomwareaanval, niet specifiek gericht op omroep

De hack op de Groningse omroep RTV Noord was een ransomwareaanval. Dat zegt de omroep zelf, die stelt willekeurig te zijn gekozen als doelwit. De omroep gaat niet betalen en zegt dat er mogelijk gevoelige data van werknemers is buitgemaakt.

De hackers hadden interne systemen versleuteld en data gestolen, schrijft RTV Noord. Ze dreigen ook die data te publiceren. "Als publieke organisatie wil de omroep geen geld betalen aan criminelen", schrijft de omroep. Er is mogelijk gevoelige informatie buitgemaakt, zoals namen of werk-e-mailadressen, die gebruikt zouden kunnen worden voor gerichte phishingaanvallen. Er is geen toegang geweest tot privé-apparaten of persoonlijke accounts van werknemers, meldt de omroep.

RTV Noord is ook niet als journalistieke organisatie aangevallen, 'maar is slachtoffer geworden van een ransomwareaanvaller die wereldwijd willekeurige organisaties aanvalt'. "Ook staat vast dat de hack niet is veroorzaakt doordat een medewerker op een verdachte link heeft geklikt."

Het publiek heeft volgens de omroep nauwelijks hinder ondervonden van de hack, maar 'de interne impact is groot'. De omroep zegt op alternatieve systemen te werken en spreekt van een tijdrovende operatie. "De IT-afdeling werkt in fases met externe specialisten aan herstel van systemen en beveiliging. De verwachting is dat dit proces nog enige tijd duurt." De omroep werkt samen met andere omroepen, het ministerie van Onderwijs, Cultuur en Wetenschap, en het Nationaal Cyber Security Centre. De aanval vond vorige week donderdag plaats en zorgde ervoor dat er tijdelijk geen berichten geplaatst werden op de site van de omroep.

Reacties (6)

[P_Tingen]

Het bedrijf waar ik werk heeft een pentest uit laten voeren. De man had minder dan een uur nodig om binnen te komen. Je bent echt véél kwetsbaarder dan je denkt

Kudos voor RTV Noord dat ze niet betalen. Het kwaad is immers al geschied. Betalen en dan hopen dat de criminelen zo aardig zijn om niks met je gegevens te doen is ronduit naief

[SomerenV]

"Ook staat vast dat de hack niet is veroorzaakt doordat een medewerker op een verdachte link heeft geklikt."

Ik ben dan wel benieuwd hoe hackers dan wél op de interne systemen terecht zijn gekomen. Wellicht een medewerker die een verdwaalde USB-stick in een PC geplugd heeft?

[d5stick]

Of SSH of RDP naar buiten open, het komt vaker voor dan je zal denken.

[Nijl]

Ik geloof er helemaal niks van dat daar een hack was. Ze zitten nog niet zo lang in een nieuw pand, nieuwe infra etc. Ze hebben gewoon de boel niet op orde.

[William_H]

Ik blijf ook dit idee hebben, nadat deze info als reactie werd gegeven onder een eerder artikel. Een misconfiguratie is dan zeer aannemelijk.

[naaitsab]

De meeste ransomware clubs zitten in oost-Europa en Azië, die gaan geen USB-sticks rondsturen naar Nederland tenzij ze hele specifieke doelen aanvallen. De digitale ingangen zijn legio. Niet gepatchde routers, internet facing diensten zoals Citrix, VPN software met beveiligingslekken. Social engineering, zoals Clickfix en gecompromitteerde bestanden mailen. Om er een paar te noemen.

Wij hadden nog een kwetsbaarheden scanner op een WAN-ip aan staan, zoals we bij alle hebben. Deze waren we vergeten uit te zetten. Deze lijn was namelijk opgezegd en het WAN-ip onderhand bij een ander bedrijf actief geworden. Binnen een paar dagen kregen we een lading alerts binnen. Antieke SonicWall, internet facing Synology die flink achter liep in de updates met dus lekken en RDP stond open. Dat zijn "prachtige" doelen om aan te vallen. Met zo veel opties ga je niet lopen rommelen met USB-sticks met malware die door de meeste AV's wel tegengehouden worden al dan niet geblokkeerd zijn door het beveiligingsbeleid.