De Hogeschool van Arnhem en Nijmegen heeft een AVG-boete van 175.000 euro gekregen omdat zij de persoonsgegevens van studenten onvoldoende beveiligde. Een hacker wist in 2021 via een SQL-injectie in een webformulier gegevens te stelen. De Autoriteit Persoonsgegevens concludeerde daarop dat de HAN haar beveiliging niet genoeg op orde had.
De Nederlandse privacytoezichthouder begon het onderzoek in 2021, nadat de onderwijsinstelling getroffen werd door een datalek. Bij dat datalek stal een aanvaller onder andere naw-gegevens, maar in sommige gevallen ook wachtwoorden, cv's, legitimatiebewijzen en bsn's. De hacker probeerde de HAN af te persen, maar de school ging daar niet in mee en betaalde het losgeld niet. De hacker eiste destijds omgerekend zo'n 165.000 euro in bitcoin.
Hoewel de HAN niet betaalde, komt het datalek de school nu alsnog duur te staan. De AP begon een onderzoek nadat de HAN het datalek had gemeld. Dat onderzoek ging, benadrukt de AP, niet over de hack zelf, maar over de algemene beveiliging van persoonsgegevens. Bedrijven en instanties moeten onder de AVG gepaste maatregelen nemen om data goed te beveiligen. Dat heeft de HAN niet gedaan, concludeert de AP.
Opvallend is dat de hacker op wel erg eenvoudige wijze de systemen binnendrong. Dat gebeurde met een SQL-injectie in een webformulier, waarbij de aanvaller bij 'een databaseserver kon komen die meerdere databases omvat'. De HAN was zich ervan bewust dat dat mogelijk was, maar nam onvoldoende maatregelen om zich daartegen te beschermen. "De HAN heeft vervolgens desgevraagd aan de AP verklaard dat haar programmeurs zich bewust waren van het risico van SQL-injectie en dat daarover een zogenoemd bestpracticesbeleid bestond", zegt de AP, maar de HAN had geen risicoanalyse opgesteld en kon niet bewijzen dat dat bestpracticesbeleid werd nageleefd.
Bovendien maakte de HAN meer fouten in het databasebeleid. Het loggen en monitoren van toegang was onvoldoende, zegt de AP. Zo logde de server alleen query’s die te lang waren of heel veel records in één keer opvroegen. Daardoor merkte de HAN de aanval niet op. "De AP heeft kunnen vaststellen dat er twee keer eerder sprake was van een SQL‑injectie, terwijl de HAN dat zelf niet heeft opgemerkt", schrijft de AP.
Verder had de HAN een beleid om toegang te beperken voor specifieke accounts, maar dat werd niet goed toegepast. Uiteindelijk bleek een gebruiker alle rechten op de database te hebben. Ook had de HAN wel een verwijderingsbeleid voor oude data, maar ook dat werd niet goed nageleefd.
De HAN sloeg wachtwoorden ook onversleuteld op in de database. Dat gebeurde in 4381 gevallen. Ook werden 5194 wachtwoorden opgeslagen met een MD5- of SHA1-hash. Deze algoritmes zijn al geruime tijd niet meer veilig. Het ging om oude data waarvan de HAN zich niet realiseerde dat die nog in de database aanwezig waren.
Door die slechte beveiligingspraktijken overtreedt de HAN artikel 32 van de AVG op meerdere punten, zegt de AP. Artikel 32 heeft betrekking op adequate beveiliging van gegevens. De HAN erkent dat overigens. De AP prijst de onderwijsinstelling voor de manier waarop zij omging met de onderzoeksresultaten. "Tijdens en na het onderzoek heeft de HAN ten aanzien van de hierboven geconstateerde tekortkomingen, aan de AP toegelicht welke herstelacties zij heeft uitgevoerd om de geconstateerde tekortkomingen te verhelpen en de overtreding aldus te beëindigen."
Dat meedenken heeft er ook toe geleid dat de boete relatief mild is. De basisboete voor zo'n overtreding zou 310.000 euro zijn en kan oplopen tot 500.000 euro, maar de AP verlaagt dat bedrag naar 175.000 euro. "Concluderend stelt de AP vast dat de HAN zich actief heeft ingezet om de gevolgen voor betrokkenen in kaart te brengen, de kwalificaties daarvan ruim op te vatten en de gevolgen waar mogelijk weg te nemen. Deze omstandigheden leiden tot matiging van de basisboete."