ChipSoft onderhandelt met criminelen na datalek patiëntengegevens

ChipSoft is aan het onderhandelen met de cybercriminelen die onlangs gegevens, waaronder patiëntengegevens, van het bedrijf hebben gestolen. Het is niet duidelijk of het bedrijf losgeld wil betalen.

Software ChipSoft ter illustratie

De leverancier van software voor elektronische patiëntendossiers erkent tegen de NOS dat er onderhandelingen plaatsvinden. Dat volgt op een recente dreiging van de verantwoordelijke hackersgroep om de gestolen gegevens openbaar te maken.

Het is niet duidelijk of de systemen van ChipSoft bij de ransomwareaanval ook versleuteld zijn. De criminelen claimen in ieder geval dat zij 100GB aan gegevens hebben gestolen, waaronder medische gegevens van patiënten.

Ook is niet bekend wat de onderhandelingen precies inhouden. Sommige bedrijven weigeren te onderhandelen met cybercriminelen omdat dit het verdienmodel van de criminelen in de hand werkt. Onderhandelingen kunnen bijvoorbeeld gaan over het losgeldbedrag of de voorwaarden voor het openbaren van gestolen gegevens.

In het kort: ransomwareaanval op ChipSoft

ChipSoft heeft te maken met een ransomwareaanval. Dat werd op dinsdag 7 april bekend. De getroffen software is in elk geval HiX on-premises, HiX SaaS en SaaS-patiëntenportaal gehost via ChipSoft, aldus Z-Cert, het expertisecentrum voor cybersecurity in de zorg.

ChipSoft is de grootste leverancier van software voor elektronische patiëntendossiers in Nederland. Het bedrijf heeft een marktaandeel van meer dan 70 procent onder ziekenhuizen. Bij huisartsenpraktijken is dat marktaandeel lager.

Reacties (74)

[Overheid]

Het is niet duidelijk of de systemen van ChipSoft bij de ransomwareaanval ook versleuteld zijn.

Dat lijkt mij vrij evident... als de bestanden versleuteld waren geweest, had je ook niet hoeven onderhandelen.

[estej]

Ze kunnen ook onderhandelen over het niet publiceren van de data

[Kevinp]

Als de data versleuteld is is dat toch niet zo erg. Of is de angst dat de key lekt en dan alles openbaar is?

Ik zou juridisch wel eens willen zien of deze bedrijven de overheid niet kunnen aanklagen.

Veel data is verplicht, of heeft de overheid verplicht. Zeker in het geval van Odido.

Laat duidelijk zijn uiteraard zijn ze zelf ook schuldig. Maar de eeuwige traceerbaarheid die de overheid eist is zeker niet handig.

[Horatius]

Ook versleutelde bestanden lekken is problematisch. Versleuteling welke we 25 jaar geleden dachten dat niet te kraken was is dat regelmatig wel gebleken.
Over 25 jaar is medische data nogsteeds erg vervelend als dat op straat ligt.

[banaj]

@Horatius

Versleuteling welke we 25 jaar geleden dachten dat niet te kraken was is dat regelmatig wel gebleken.

Welke versleuteling doel je op?

[Libido]

Geen idee waaraan werd gedacht maar versleuteling is wel vaker gebroken. Ik dacht aan:

WEP

RC4

Enigma

DES

3DES

MD5

SHA-1

SSL 2.0

SSL 3.0

TLS 1.0 met CBC-configuraties

GSM A5/1

GSM A5/2

DVD CSS

MIFARE Classic / Crypto-1

KeeLoq

ZIP Crypto

Oude Microsoft Office-encryptie

PPTP / MS-CHAPv2

EncroChat

Sky ECC

ANOM

[estej]

Vroeger waren dit soort aanvallen inderdaad voornamelijk het versleutelen van data, on zo het bedrijf buiten te sluiten. Maar voor partijen die jen backups goed op orde hadden was dit minder vervelen (alsnog veel tijd en werk, maar je kon vaak wel door).

Tegenwoordig stelen ze ook vaak data, zodat ze ook bij bedrijven met goede backups geld kunnen halen. Geef geld of ee publiceren je besrijfsgeheimen, klanten data, of andere gevoelige data. Ze passen zelfs hun losgeld eia aan op het wel of niet hebben van backups.

[Daoka]

Ik denk dat je het omgekeerd ziet. Er wordt bedoeld dat de hackers de systemen van ChipSoft hebben versleuteld. Niet of de data dus veilig is omdat er encryptie op zit.

[latka]

Als de bestanden versleuteld zijn is het lastig werken met de data. Iets als BitLocker is leuk voor een laptop die uitstaat, maar als je via een remote exploited binnenkomt (kan het raden van een rdp paswoord zijn) dan doet het niet zo veel. Het is echt heel lastig om een werkbaar systeem met encryptie te hebben.

[SiGNe]

Wordt er niet bedoeld dat de hackers de computers hebben versleuteld en dat ze alleen bij betaling de sleutel geven?

Is Chipsoft de boel versleuteld was dan heeft het geen waarde voor de hackers, die hebben dan hoogstens een versleutelde database in handen.. succes met het slot breken.

[Super_Fred]

Dat wordt, denk ik, niet bedoeld. De aanvallers hebben vermoedelijk de data van de systemen van Chipsoft versleuteld, waardoor Chipsoft er zelf niet meer bij kan. Oftewel: Chipsoft wordt nu gegijzeld en tegen betaling wordt de data weer ontsleuteld door de aanvallers.

[TheVivaldi]

Oei, dat mocht toch niet? Precies de reden dat Odido dat ook niet deed.

[SgtElPotato]

Er is met de ChipSoft hack wel iets meer en belangrijkere data gemoeid dan met Odido. Maakt het niet minder ernstig, maar zeker wel het onderhandelen waard.

[cmegens]

Vreemd precedent. Nu zeg je dus tegen hackers: steel zeer gevoelige informatie, dan wordt er wel betaald.

met terroristen moet je gewoon niet onderhandelen. De schade is groot, maar betalen geeft geen enkele garantie op schadebeperking. Beter dus gewoon je verlies nemen.

[CPM]

Ik draai hem om: door de criminelen te betalen en de data niet te laten publiceren hebben ze schade aan patiënten weten te voorkomen en liggen hun gegevens niet op straat. Dus ja, ik wil als patiënt dat de verantwoordelijke alles doet om dit te voorkomen.

Anders: niet onderhandelen met gijzelnemers?

En nee, garanties heb je niet als je ik zee gaat met dit soort figuren.

Maar als een groep er om bekend staat hun beloftes na te komen zullen slachtoffers ook sneller betalen.

[Reactie gewijzigd door CPM op 23 april 2026 20:58]

[Powerblast]

Het punt is vrees ik dat zelf bij betalen je die garantie niet hebt. Jij gaat een crimineel op zijn woord vertrouwen? Ik alvast niet. Ik zou als gehackte partij dat dus ook niet zomaar vertrouwen. En dat is juist het dilemma.

[telenut]

En wat als criminelen uw dochter ontvoeren en losgeld eisen? Niet onderhandelen met criminelen, want houden ze hun woord wel?

[Powerblast]

Daar hebben we het hier toch niet over?

[Belboer]

Als een groep criminelen de data door kunnen verkopen aan andere criminelen, denk je dat ze dat dan niet doen omdat het bedrijf losgeld heeft betaald? Dat lijkt mij vrij naief. En in dat circuit is best wat geld te halen met medische prive gegevens. Dat helpt enorm bij een phishing campagne.

[Powerblast]

De enige zekerheid die je hebt door te betalen is dat je je geld kwijt bent. Of ze hun woord houden valt nog maar te bezien inderdaad. Die garantie heb je niet en kan je al helemaal niet afdwingen.

[Reactie gewijzigd door Powerblast op 23 april 2026 20:50]

[R_Zwart]

Er zijn hackers die het echt voor het geld doen. Als die dan nadat ze het geld hebben gekregen alsnog de data publiceren, dan wordt het later toch moeilijker om geld te krijgen.

[Powerblast]

Dat hoor ik inderdaad geregeld, maar wat weerhoudt ze van te zeggen: we zijn zelf gehacked, we didnt release it. Hun naam ligt dan wel te grabbel maar dan gaan ze verder onder een nieuwe denk ik dan.

Of misschien nog erger. 2j later willen ze nog een keer langs de kassa passeren en beginnen ze opnieuw te dreigen met releasen. Eindeloos verhaal vrees ik waar je uiteindelijk nul garantie hebt. De data die gelekt is kun je mijn inziens beter vanuit gaan dat ze zo snel mogelijk gewijzigd, vernietigd of gecovered wordt dat het gelekt is.

[Reactie gewijzigd door Powerblast op 23 april 2026 21:23]

[kodak]

Met onbekende criminelen valt niet zomaar te onderhandelen. Die doen dat om er zelf nog beter uit te komen. Het idee dat er valt te onderhandelen alsof de criminelen er niet goed uitkomen is naief, tenzij er voor de opsporingsdiensten concrete aanwijzingen zijn daarmee de criminelen te zullen opsporen voordat die de gegevens doorverkopen of op een andere manier lekken. En dat is ook zelden de situatie bij dit soort criminaliteit. Dus nee, dit maakt onderhandelen niet meer waard enkel omdat de gegevens 'belangrijker' zijn.

[Reactie gewijzigd door kodak op 23 april 2026 20:30]

[Kevinp]

Hoezo is de data gevoeliger?

Er staat KevinP is bij een psychiator? of KevinP heeft behandeling kanker?

Emotioneel gevoeliger zeker. Maar is het ook echt belangrijker?

[5V1NA70G]

Er staat kevinP krijgt de volgende behandeling en medicatie voor dit type kanker. KevinP krijgt dan moeilijker een nieuwe baan of aanvullende (zorg)verzekeringen of hypotheek.

[Powerblast]

Daar zou ik me persoonlijk minder zorgen over maken. Weet eigenlijk niet of verzekeraars bijvoorbeeld met illegaal verkregen data zomaar mogen werken. Lopen ze daar geen serieuze risicos? Maar meer over het feit dat andere, phishers en dergelijke gaan misbruik maken van het feit dat je door dergelijke zaken minder oplettend bent.

[CH4OS]

Waar staat dat het niet mag? Dat een derde partij zoals het OM of politie iets adviseert, betekend ook niet dat daarnaar geluisterd moet worden.

[peize9]

De gegevens zijn gestolen, ga er van uit dat ze zelfs bij betalen vrij komen. Gewoon niet betalen, alles resetten en leren van je fouten. Dit is een grote grap.

[mexicanburribo]

Dat is dus precies het hele punt. Bedrijven leren blijkbaar niet. Daarom zijn er ook zoveel incidenten

[R_Zwart]

Met als gevolg dat de hackersgroep een volgende keer niet meer betaald krijgt voor een andere hack. Dan schieten ze toch zichzelf in de voet?

[mutsje]

Er stond gisteren al een tweet online met het bedrijf cinsoft echter met plaatje chipsoft dat er 100GB buit gemaakt was. Had de tweet doorgestuurd gekregen. Deze is echter ook alweer verwijderd blijkbaar.


Ze zullen wel moeten onderhandel om de data uit het publiek te houden. Dit is enorm gevoelige informatie. Je kan wel volgens een wet het verbieden echter daar zijn wij de burgers alleen maar de sjaak door want dan publiceren ze het gewoon.

[MeNTaL_TO]

Bijzonder, Chipsoft is volgens berichten niet zo van geld uitgeven.

Hoeveel zou 100 GB aan patientendata waard zijn?

[MSI2]

99% van de maatwerk applicaties die nu draaien gaan echt heel gemakkelijk te hacken zijn met AI modellen als Mythos. De meeste applicaties zijn al 5 jaar of meer niet onderhouden. Het updaten van libraries wordt vaak niet goed bijgehouden. Daarbij loop je tegenwoordig ook risico als je updated. Steeds vaker hoor je dat NPM library updates juist geinjecteerd zijn.

[peize9]

Krijg ik nog een mail met info of ik er bij zit? Deze data is al gelekt dus moet er ook bericht komen toch?

[Robinski]

ChipSoft laat die verantwoordelijkheid aan de zorginstellingen over....

Veelgestelde vragen - ChipSoft Informatiepagina ransomware-incident
Update 16 april 2026

Alle getroffen zorginstellingen worden inmiddels geïnformeerd. Indien u patiënt bent bij een van de getroffen zorginstellingen, verloopt de communicatie over dit incident vanuit uw zorginstelling.

[L0g0ff]

Onderhandelen met criminelen en qua transparantie sinds de hack is het ook ver te zoeken met chipsoft.

Ik beheer een aantal grote hix installaties maar ik weet niet of ik hier wel mee door wil gaan als chipsoft blijft doen wat het doet. Dit staat namelijk echt haaks hoe ik vind dat bedrijfsvoering zou moeten gaan.

Het enige voordeel van chipsoft is dat het soeverein is en 70 procent van alle ziekenhuizen in NL weten hoe het systeem werkt. En misschien draaien ze bij. Maar als ze betalen ben ik klaar mee iig.

Dus pak je verlies, trek je les eruit, beveilig de boel en kom er beter uit dan je erin ging. Geef dat geld wat je die criminelen wilt betalen maar aan de slachtoffers van wie de data echt gestolen is.

[_eLMo_]

Slechte zaak, zoals elke cybersecurity specialist je zal vertellen. Angst regeert echter vaak.

[Wietsee.]

Heerlijk om te zien dat Chipsoft dit overkomt.

[Pasteis]

Heerlijk om te zien dat Chipsoft dit overkomt.

Hoezo heerlijk? Kan je onderbouwen waarom je dit een bedrijf gunt? De grootste slachtoffers zijn de patiënten waar data van gelekt is

[TrafalgarLaw]

Waaronder de mijne, ik werd zojuist door een ziekenhuis ingelicht over de lek.

[Wietsee.]

YouTube: Documentaire - Dodelijke zorg. (2Doc)