De Universiteit Maastricht krijgt de 200.000 euro losgeld dat het criminelen achter de ransomware-aanval van eind 2019 betaalde terug met winst. Onderzoek van de politie naar de cryptowallet die de criminelen gebruikten leidt uiteindelijk naar de in beslag name van een half miljoen euro dat naar de universiteit gaat.

De aanval begon met verschillende e-mails die een Excel-document als bijlage hadden. Twee medewerkers openden dit document en activeerden de kwaadaardige macro's in de documenten die de aanvallers hadden toegevoegd. Zo werden de eerste twee UM-systemen gecompromitteerd. Via deze systemen werd vervolgens de rest van het netwerk overgenomen.

Verder bleek dat twee servers een belangrijke beveiligingsupdate misten, hadden systeembeheerders in strijd met het beleid van de universiteit gebruikgemaakt van het domeinbeheerderaccount voor het uitvoeren van onderhoudswerkzaamheden en waren back-ups vanaf het gecompromitteerde netwerk toegankelijk, waardoor die ook konden worden versleuteld. Er was van een ander systeem wel een offline back-up, maar die bleek zes maanden oud. "Een lacune", aldus de universiteit.

Uiteindelijk zag de Universiteit Maastricht zich genoodzaakt om de verantwoordelijke criminelen 197.000 euro losgeld te betalen voor het ontsleutelen van de bestanden. De Onderwijsinspectie oordeelde jaar dat de universiteit niet goed voorbereid was op ransomware-aanvallen. Na de betaling voerde de politie onderzoek naar het bitcoinadres waar het losgeld naar toe moest worden overgemaakt, zo meldt de Volkskrant.

De dertig betaalde bitcoins blijken in drieën te zijn gesplitst en gestuurd naar nieuwe wallets. Het grootste deel wordt vervolgens verder opgesplitst, maar 4,54 bitcoin komt bij een account van een bitcoinplatform terecht. Dat bedrag verdwijnt meteen weer uit het account. De politie dient een vordering in bij het betreffende cryptoplatform, dat uiteindelijk de identiteit van de eigenaar van de wallet bekendmaakt. De politie ontvangt zelfs een kopie van een Oekraïens paspoort én een pasfoto.

In de wallet van de verdachte zitten meer cryptovaluta. Aangezien de persoon in kwestie wordt verdacht van witwassen stuurt het Openbaar Ministerie direct een bevriezingsbevel naar het cryptoplatform. "We verdachten de eigenaar van de wallet van witwassen. We kunnen de bitcoins niet meer terughalen, maar wel het andere bedrag vorderen", zegt officier Van den Eshof. Het gaat om 40.000 euro aan cryptovaluta dat wordt vastgezet.

De verdachte mailt vervolgens het Openbaar Ministerie waarom hij niet meer bij zijn geld kan. Vervolgens ontvouwt zich een juridische strijd over de inbeslagname, totdat het OM erachter komt dat het platform helemaal geen vestigingsadres heeft. "Het werkt zo: als de vestigingsplaats niet bekend is, mogen wij het geld vorderen", aldus Van den Eshof. De verdachte wordt uiteindelijk gehoord. Het blijkt een katvanger te zijn. De waarde van de cryptovaluta stijgt in korte tijd van 40.000 euro naar 500.000 euro. Nadat het Openbaar Ministerie de bitcoins op de eigen rekening ontvangt worden ze meteen verkocht.