Belgische school slachtoffer van ransomware, hackers eisen ook losgeld ouders

Het Onze-Lieve-Vrouwinstituut Pulhof in Antwerpen is slachtoffer van ransomware, meldt onder meer Het Nieuwsblad. De hackers dreigen de persoonlijke gegevens van leerlingen en leerkrachten op het darkweb aan te bieden als zij maandag geen losgeld hebben ontvangen.

De aanval werd kort na de kerstvakantie vastgesteld en vond mogelijk tijdens die vakantie plaats. De servers van de school zijn volgens Het Nieuwsblad versleuteld. De hackers zeggen een jaar lang toegang te hebben gehad tot het systeem en gegevens van leraren en leerlingen sinds 2009 in bezit te hebben. Het zou gaan om onder meer financiële gegevens van de school, lonen, identiteitskaarten en gegevens over mentale gezondheid. De school zegt zelf nog te onderzoeken welke persoonsgegevens betrokken zijn bij de hack. De lessen gaan gewoon door.

De hackers eisten eerder 100.000 euro, maar hebben hun eis inmiddels verlaagd naar 15.000 euro. De school is niet ingegaan op die eisen. Donderdag hebben de criminelen daarom de ouders benaderd vanaf het administratieve e-mailadres van de school. Daarin vragen zij de ouders vijftig euro per kind om hun gegevens uit de dataset te laten verwijderen.

De hackers zeggen van de ransomwaregroep LockBit te zijn, maar volgens Kris Smout, de directeur van de school, is dat waarschijnlijk niet het geval: "Onderzoek door onze externe specialisten wijst erop dat OLV Pulhof niet door de echte LockBit-groep werd aangevallen, maar dat het hoogstwaarschijnlijk gaat om een imitator die niet tot die organisatie behoort", zegt hij. Op de pagina van de ransomwaregroep is ook geen melding te vinden van de hack van de school.

Bron: Curly_Photo/Moment/Getty Images

Reacties (44)

[nutty]

Tja waarom ook niet, met de hedendaagse rechters is het ergste dat je kan gebeuren een taakstraf van 40 uur krijgen, en anders verdien je er geld mee.

En zolang die situatie niet verandert, blijft dit gebeuren.

[bytemaster460]

Rechters volgen de wet. Die zijn niet vrij in het uitdelen van hogere straffen als de publieke opinie vindt dat er zwaarder gestraft moet worden. Dat kan enkel binnen de bepalingen in de wet. Als we vinden dat dat zwaarder bestraft moet worden zal dat vanuit de politiek geregeld moeten worden.

Heb je een voorbeeld waarbij een Nederlandse hacker 40 uur taakstraf kreeg bij een misdrijf van deze omvang?

[BartOtten]

"De aanval werd kort na de kerstvakantie vastgesteld en vond mogelijk tijdens die vakantie plaats."

"Donderdag hebben de criminelen daarom de ouders benaderd vanaf het administratieve e-mailadres van de school."

Of ze hebben na de eerste hack de boel niet dichtgegooid of ze zijn tweemaal gehackt. Ik zou dan ook niet betalen, de kans is groot dat de gegevens op nog meer plekken liggen.

[vrow]

Nou ja, dat laatste kan gewoon gespoofed zijn natuurlijk, e-mail is niet beveiligd in dat opzicht.

[T-men]

Als je scholen met jonge kinderen aan gaat vallen, dan hoor je als hacker tot het allerlaatste allooi. Ik hou niet van schelden, maar wat een lafbekken !

[JosPlays]

Zelfde kan je zeggen over ziekenhuizen of tehuizen voor mensen met beperkingen/ouderen. Heel eerlijk, ik heb sowieso geen bewondering voor mensen die andere mensen afpersen Als je nu een hacker zou zijn en dan de kwetsbaarheid meld dan heb ik meer respect voor zo'n iemand. Maja, daar is natuurlijk geen verdienmodel in te vinden voor een hacker.

Ik hoop eigenlijk dat niemand het losgeld betaald en dat er iets van een manier komt om dit in de toekomst terug te dringen. Bijvoorbeeld automatisch verwijderen van gegevens na 1x gebruik en dan maar iedere keer de ouders vragen voor de gegevens bijvoorbeeld.

[hottestbrain]

Er is prima een verdienmodel voor hackers die netjes kwetsbaarheden melden. Deze personen zijn dus gewoon ontzettend laag tuig.

[JosPlays]

Klopt, er zijn genoeg bounty-hunting programma's idd. Maar een school lijkt mij niet het budget te hebben om daar aan mee te doen. Dus even een update te laat installeren kan al dit probleem opleveren helaas.

[keejoz]

15K euro lijkt mij eerlijk gezegd een zeer laag bedrag om zoveel belangrijke persoonsgegevens te beveiligen. Maar zelfs dat hebben ze niet.

[Yalopa]

Of ze doen niet mee aan afpersing omdat ze snappen dat bij betaling er een nieuwe eis kan komen...

[droofx]

Ik denk dat de hackers leerlingen zijn van de school zelf die een inlog code gevonden hebben. Dat verklaart het lage bedrag en de vreemde aanpak

[Prince]

Ik vraag me af hoe een hacker eerst 100k vraagt en nadien naar 15k gaat.
Het voelt haast alsof het iemand is die op de school werkt en intern hoorde dat die 100k onmogelijk was.

Nuja, dit onderzoek zal wel lopen en als het een "imitator" is, is zijn skillniveau misschien ook niet hoog genoeg en wordt hij gepakt.

[Daoka]

Toch wil ik het geen goede verdien model noemen. Als ik soms de bedragen hier op Tweakers voorbij zie komen dan denk ik van "is dit het maar voor deze probleem?". Ze hoeven echt niet met de illegale markt te concurreren maar meer zou zeker wel mogen.

[DonJunior]

Ik vind ziekenhuizen iets erger wel maar het is hoe dan ook schorum van de laagste orde ja.

[aliberto]

Je weet niet de achtergrond van de hackers. Begrijp me niet verkeerd, ik praat het niet goed. Laatst op YouTube zag ik een documentaire dat mensen tegen hun hun wil in een "dorp" vastgehouden / gegijzeld werden door de maffia. Hadden ze niet genoeg geld weten te bemachtigen door scamming dan werd je in een cel geplaatst en geëlektrocuteerd.

Bron : video van YouTube.

[CamelKnight]

Scholen bestaan over het algemeen al langer dan IT. Bovendien hebben scholen vaak niet het budget om hun netwerk dusdanig veilig in te richten dat ze tegen hackers gewapend zijn, nog afgezien van het feit dat de meeste scholen niet eens een bekwame IT-er in dienst hebben. Vaak is het een 'hobby-project' van een docent.
Bij middelbare scholen, hoge scholen en universiteiten ligt dat wellicht wat anders, maar ook daar zie je dat men achterloopt op de realiteit. Zeker als je beseft dat het vorige kabinet massaal wilde bezuinigen (in NL) op hoger onderwijs maar we met z'n allen wel willen dat het onderwijs op niveau blijft. Dat geld moet wel ergens vandaan komen en dan is IT al snel het ondergeschoven kindje. Bovendien gaan de meeste echte IT talenten toch al snel de commerciële wereld in, waar het salaris gewoon een stuk hoger ligt.

[xenn99]

Voor zover ik kan zien is het best een grote school met zowel kleuter, lager als middelbaar onderwijs, 771 leerlingen.
Ik mag toch hopen dat dat de ICT daar geen hobby project is, dat zou wel erg slecht zijn.

[BounceMeister]

Middelbare scholen in de randstad hebben zo'n 2000 leerlingen, dan is dit icm kleuters en lagere school niet echt groot.

[xenn99]

Klopt er zijn natuurlijk veel grotere scholen, maar het lijkt mij dat als je op deze schaal opereert je wel iets van ICT personeel hebt, lijkt me sterk dat een leraar dat erbij kan doen als hobby project maar je weet het natuurlijk nooit.

[CamelKnight]

Dat help ik je hopen, maar vooralsnog zijn ze wel gehackt. Of dat komt door falend ICT beleid, een falende ICT medewerker of een compleet gebrek aan beide weten we niet. Het is zelfs goed mogelijk dat de hacker gewoon echt goed is in wat hij doet.

De wereld is in rap tempo een stuk gevaarlijker geworden en het onderwijs reageert daar vanwege allerlei redenen traag op. Deels omdat het niet mee kan gaan met hypes, maar deels ook omdat het vaak logge, trage entiteiten zijn, bestuurd door mensen die weinig kennis van dit soort zaken hebben waardoor IT niet de aandacht krijgt die het verdient. Dan kun je als ICT-er nog zo hard roepen, als je tegen bureaucratische muren oploopt dan kom je nog steeds niet ver.

Bron: ik werk zelf op een hogeschool en merk het vanuit de eerste hand.

[goarilla]

Bovendien gaan de meeste echte IT talenten toch al snel de commerciële wereld in, waar het salaris gewoon een stuk hoger ligt.

Hear Hear. Ook omdat je dan weet dat je ... in een moderne omgeving terecht komt met deftige bezoldiging en stabiele(re) uren. Ik zie vaak vacatures voor scholen langskomen (BE) en dan is het zoiets van ICT-coordinator school Blablabla (8-12 uren/week)

takenpakket:
- vergaderen met directie
- beveiligen infrastructuur
- magazijnbeheer bureelmateriaal
- 1e, 2de lijns support
- bedraad en wireless netwerk onderhouden
- vergaderen met leerkrachten
- pedagogische software testen/kopen, onderwijzen, ....
- nog eens vergaderen
...

Dat gaat dus niet in 8-12 uur he !
Je weet dan toch dat het daar al een zootje is en dat je wellicht
99% van de tijd vuurtjes gaat mogen blussen en organische gegroeide
ICT infrastructuur gaat moeten online houden waarvan je weet dat ze
al lang vervangen had moeten worden en die een groot veiligheidsrisico inhouden.

[vrow]

Het veiligste is om de id-kaarten en dergelijke gevoelige dingen op te slaan op een computer die geen netwerk heeft. Schijf versleutelen met VeraCrypt en de backups ook.

Je hebt die id-kaarten en andere gegevens toch niet zo vaak nodig.

Dan hoef je niet heel veel tijd en geld te investeren in hele goede beveiliging. Op het netwerk heb je dan enkel de namen en klassenindeling. Vervelend als dat gestolen wordt, maarja, een lijstje met namen is niet heel spannend natuurlijk. Je kreeg vroeger het telefoonboek gewoon thuisbezorgd. En tegenwoordig zijn mensen al helemaal panisch als je hun telefoonnummer aan iemand anders geeft die hen gewoon even willen bellen. Dat is wel echt veranderd.

[lenwar]

Je hebt die id-kaarten en andere gegevens toch niet zo vaak nodig.

Heb je een overzichtje waar/wanneer die gegevens nodig zijn? Ik heb oprecht geen idee? In Nederland moeten scholen van alles en nog wat registreren bij allerlei overheidsdiensten e.d. Geen idee hoe vaak dat wordt gebruikt om data op en neer te sturen. (de school moet tenslotte geld krijgen op basis van geregistreerde leerlingen, licenties voor alles en nog wat, enzovoorts.)

Misschien heb je gelijk hoor. Maar misschien is dit juist iets vrij veel nodig is.

Afhankelijk van waar de kwaadwillende naar op zoek is, kan dat lijstje met namen juist heel interessant zijn. Wie moet je omkopen om bij die ene rijke leerling uit te komen. Enzovoorts.

[Radeon79]

Aha, dus als je je huis niet afsluit met de beste sloten die er zijn, dan is het toegestaan om er in te breken?

Volgens mij is het nog altijd zo: van andersmans spullen blijf je af. Natuurlijk is het niet slim om je spullen slecht te beveiligen, maar dat betekent niet dat het daarom gestolen mag worden.

[bytemaster460]

Je IT op orde hebben is nog geen garantie dat je niet gehackt of aangevallen wordt. Als men daadwerkelijk de IT niet op orde heeft is een verwijt op zijn plaats. Om het maar direct te gaan roepen na een bericht over een hack of lek is toch een beetje naïef.

[KroeT]

Ben je wel eens op een basisschool geweest als volwassene? Die organisaties zitten vol keihard werkende meestal vaardige docenten met verrassend weinig tijd en talent voor het organiseren van dingen buiten de klas. Geld voor overkoepelende organisatie is er nauwelijks en voor ICT al helemaal niet. In een ideale wereld met ideale politieke steun zou er geld genoeg zijn voor je stelling, maar de praktijk is weerbarstiger. Als alleen scholen met hun ICT 'op orde' open zouden mogen blijven dan sloot morgen 99 procent van het basisonderwijs.

[MaDMaRTiGaN648]

Ik zou het eerder omdraaien. Als je als school geen budget hebt om je IT goed te regelen, beperk het IT gebruik dan tot een minimum. Ik snap dat dat in de huidige tijd misschien ook niet wenselijk is, maar vergelijk het met het rijden in een oude onveilige niet apk-gekeurde auto met versleten banden... dan kan je beter een goed onderhouden fiets pakken. En dan kan je inderdaad niet zo snel en niet zoveel meenemen, maar het is wel een stuk veiliger en uiteindelijk bereik je op de fiets ook het doel wel.

[maartend]

Victim blaming van de bovenste plank. Als vrouw is het zeker ook je eigen schuld als je een kort rokje draagt?

[Prince]

Hij heeft het enorm 'kort door de bocht' geschetst, maar ik begrijp zijn denkwijze wel.

Ouders laten kinderen (en hun privacy, veiligheid, etc...) over aan een school, met de gedachte dat ze hier correct mee om gaan.
Scholen die doen wat ze menselijk kunnen is dan ook ok, maar er zijn zeker ook scholen die niet doen wat ze kunnen en simpelweg geen common sense hebben. Ze zijn soms laks met data, denken niet aan phishing, hacking, etc... En geven niet veel om avg/gdpr. Het voelt allemaal "ver van hun bed".

Denk aan toetsen en taken van x jaar geleden op de straat zetten voor oud papier-ophaling. Deze staan vol met persoonsgegevens. Geen (of onlogisch) toegangsbeleid, ...

In essentie zit er al heel veel in de Office365 omgeving die de scholen erg goedkoop krijgen van MS.
Nadenken over rechten en hoe je dingen opzet kost op zich geen geld en vergt gewoon common sense - hooguit de hulp van een ICT Coördinator (die scholen toegewezen krijgen - deze zijn daar niet in dienst).

Zaken die ik persoonlijk al gezien heb: Excel lijst publiek zetten voor de ouders wie een schoollaptop mag ophalen en op welk moment. Yes: bevat alle namen van alle kinderen en in welke klas ze zitten. Wat bevat deze op de andere tabbladen? Alle laptops van alle jaren die eerder al uitgedeeld zijn, incl de namen. Heb ik gemeld, excuses gekregen en 'is niet de bedoeling'.

Of wat dacht je van deze: vervanglaptops die niet gecleaned zijn en vaak nog actieve gmail sessies hebben van de vorige gebruiker. Reactie van de school: het kind moet een factory reset doen voordat het deze inlevert. Bedenk: gmail = google photos en dit van tieners... Dit bevat veel materiaal dat fout gebruikt kan worden. Heb ik gemeld en processen zijn aangepast.

Victim blaming noemt het als het te laat is; maar "gebruik je gezond verstand" mag op elk moment aangehaald worden.

[maartend]

Ik denk ook dat ik eea anders bedoeld, maar die begreep je idd al.

[Yalopa]

Ik werkte enkele jaren (denk 7 tal) terug nog voor een grote IT cosulting boite in België. Scholen waren niet onze klanten, maar bij wijze van vriendendienst voor iemand van het management hebben we er toch een opdracht aanvaard. Ik zou een verbetertraject uitwerken voor hun ICT

De ICT was om te huilen. Oude Pcs als server opgesteld in een vochtig hok, dat soort dingen. Op dag 1 vroeg ik zoals gebruikelijk wat die mensen hun budget was om zaken aan te passen. Toen hij het bedrag noemde heb ik die persoon gezegd dat hij beter zn geld gaf aan een paar basics dan aan mijn rapport. Mijn rapport zou nl zo goed als zijn ganse IT jaar budget opbranden...

Hij wou het toch omdat de board niet wilde luisteren naar zijn vraag voor meer budget, hij hoopte dat een rapport met ons logo zou helpen. Ik denk dat ik toen een hoop uren onder de mat geveegd heb om er toch nog iets van te maken, maar ik heb er nooit meer wat van gehoord.

Long story... scholen hebben geen budget om beveiliging op orde te krijgen, ze hebben ook de kennis niet.

[SinergyX]

een imitator die niet tot die organisatie behoort
Dan weet je ook 99% zeker dat er geen 'erecode' is bij zulke mensen, met diezelfde niet-zekerheid dat je data dan ook verwijderd is. Je hebt robin hood's en kruimeldieven, hoe makkelijker het wordt aanvallen uit te voeren, hoe meer 'geldzoekers' erbij komen.

gegevens over mentale gezondheid
Dat lijkt me dat ook een bijzonder stukje dataset om mee te werken, of niet bepaald fijn als dit publiekelijk wordt.

[Skinnyice]

Lockbit is naast een entiteit ook nog een RAAS, waar je als affiliate voor 500 dollar gebruik kan maken van hun platform. Voor zover ik weet zou je dan ook op het blog geplaatst worden van lockbit zelf, dus dat zou een aanwijzing kunnen zijn dat het geen LB is.

Een jaar al in het netwerk is uiteraard mogelijk, maar niet heel waarschijnlijk, tenzij er backdoors geplaatst zijn. De meest gebruikte intrede is een firewall VPN waar geen MFA op staat. Dan ga je geen jaar lang rondsnuffelen, met het risico dat de IT het wel activeert. Op die VPN komen gaat of via bruteforcing, al zetten de meeste beheerders daar nog wel het vinkje voor aan. Vaker gewoon gestolen of gekochte credentials op het darkweb, die dan weer afkomstig zijn van infostealers, zoals de PDF Editor campagne van vorig jaar.

Sneu dat zo’n school dan geraakt wordt en helemaal dat ouders actief worden benaderd. Ze weten vaak pas waar ze binnen zijn als ze de files bekijken. Maar 50 euro per kind ga je niet rijk van worden als crimineel.

[AW_Bos]

De tactiek dat de hacker(s) de ouders vanuit naam van de school mailen om geld af te troggelen, past niet echt bij het hackers gilde. Dit geeft mij het idee dat het een eenmansactie is uit wraak. Een oud leerling misschien?

[flaskk]

Ik ben nog steeds van mening dat dit soort hackers moet uitroken op internationaal niveau. Als een land te weinig doet om hackers op te sporen sancties geven. Want ik heb het idee dat de meeste aanvallen komen van de landen die het allemaal wel best vinden.

[DutchGamer1982]

en daarom behoren medische gegevens analoog, dan wel in een niet genetwerkte database te zitten.

te ver doorgeschoten digitalisering maakt onnodig duur & onveilig.

je moet kiezen wanneer digitalisering de beste optie is en wanneer niet.
als de ouderwetse analoge manier van een dossierkast, of lokale niet genetwerkte computer in een adminstratiehok (met een fysieke of digitale kopie van deze data op een andere fysieke locatie, makkelijk te doen als een schoolengemeenschap meer dan 1 gebouw heeft) ivm verlies door brand

dit hele verhaal ruikt voor mij dat het ws een interne dader is (student, leraar, of familielid van een van beide)
dat vragen om 100.000 euro, dan droppen naar 15.000 komt ook nogal "amateuristisch" over..

[Reactie gewijzigd door DutchGamer1982 op 31 januari 2026 14:07]

[Racer89]

Ze willen tegenwoordig ook veel te veel weten. Hierdoor komt er veel informatie op één plek te liggen. Ik vermoed dat dit in de toekomst alleen nog erger gaat worden. Met dit soort aanvallen, op sectoren waar niemand het eigenlijk verwacht.

Er zijn tevens ook een hoop scholen waar het ICT gewoon een puinhoop is, met name de basisscholen.

[RadYeon]

Nooit betalen, dan sterven dit soort schofterige praktijken vanzelf uit.

De gegevens analoog op papier bewaren is gewoon geen doen meer omdat de instanties om deze gegevens mee uit te wisselen ook allemaal gedigitaliseerd zijn. Te ver doorgeschoten met digitaliseren? Volkomen mee eens. Het kan tegenwoordig ook niet anders als de wereld zijn eigen staart aan het opeten is. Alles moet meer, meer, sneller, harder en nog eens meer.

[Reactie gewijzigd door RadYeon op 31 januari 2026 14:25]