Gemeente draait zelf op voor miljoenenschade hack: ‘Adviezen ICT-bedrijf in de wind geslagen’

 gemeente is er niet in geslaagd de schade van 4 miljoen die is veroorzaakt door de hack op 1 december 2020 op de leverancier te verhalen. Dit blijkt uit de uitspraak van de rechtbank Overijssel van 10 mei 2023.

De rechtbank oordeelde op basis van het aanbestedingstraject dat niet is afgesproken dat Switch IT Solution zou overgaan tot security monitoring, dat wil zeggen het monitoren op beveiligingsincidenten. Bij de aanvang van de overeenkomst is de gemeente gewezen op de risico’s hiervan.

Adviezen

Switch IT Solution heeft de gemeente op 19 februari 2019 tevergeefs een voorstel gedaan tot vervanging van de antivirussoftware, met name ter bescherming tegen gijzelsoftware. Op 22 mei 2020 is nogmaals een offerte voor verbetering van de beveiliging gestuurd, die ook niet is geaccepteerd. Ook de accountant van de gemeente heeft vóór de cyberaanval diverse keren gewaarschuwd voor de risico’s op het gebied van informatiebeveiliging en cyberaanvallen. De gemeente heeft de adviezen echter in de wind geslagen.

Hoger beroep en imagoschade

Switch IT Solutions is naar het oordeel van de rechtbank dan ook niet tekortgeschoten in de nakoming van haar zorgplicht als ICT-beheerder. Ook heeft het bedrijf niet onrechtmatig gehandeld. De gemeente heeft 3 maanden om in hoger beroep te gaan bij het Gerechtshof Arnhem-Leeuwarden. Het is nog onduidelijk of Switch de geleden imagoschade wil verhalen op de gemeente. Eerder wilde het bedrijf de burgemeester persoonlijk aansprakelijk stellen (klik).

Systemen versleuteld

De cyberaanval bestond onder meer uit het installeren van ransomware. De systemen van het netwerk van de gemeente en de back-up zijn versleuteld en ontoegankelijk zijn gemaakt en vele virtuele servers zijn verwijderd. De rechtbank vindt dat de gemeente zelf, door een eigen internetverbinding te willen hebben met de back-up en een account met de hoogste rechten te beheren, risico’s heeft geschapen voor de veiligheid van de back-up, met alle gevolgen van dien.

Welkom2020

Een medewerker van de gemeente had een regel in de firewall gewijzigd, waardoor de poort naar het internet werd opengezet en een server van de gemeente via het internet bereikbaar werd. De wijziging in de firewall is niet aan Switch IT Solutions gemeld. Vervolgens werd ‘Welkom2020’ als wachtwoord ingesteld op een door de gemeente beheerd beheerdersaccount. Doordat de aanvallers toegang hebben weten te krijgen tot een account met de hoogste rechten binnen het netwerk van de gemeente, konden zij de back-up benaderen en schaden. Het wachtwoord werd geraden door veelvuldig raden aan de hand van veel gebruikte wachtwoorden (Een brute force-aanval is als elke sleutel aan de sleutelbos proberen, om uiteindelijk de goede te vinden.)

(bron: www.nieuwsuitdelden.nl)