image

Privédata duizenden rijksambtenaren gelekt na inbraak op servers ID-ware

vrijdag 7 oktober 2022, 14:28 door Redactie, 13 reacties

Een ransomwaregroep die vorige maand wist in te breken op servers van it-bedrijf ID-ware heeft daarbij ook privégegevens van duizenden rijksambtenaren buitgemaakt en inmiddels online gezet, waaronder ook Tweede Kamerleden. Eind september en vorige week verschenen op Twitter berichten dat de ALPHV-ransomwaregroep had ingebroken op systemen van ID-ware. Het bedrijf levert toegangssystemen aan bedrijven en overheden, inclusief de Eerste en Tweede Kamer. Het gaat om de Rijkspas, die leden van de Eerste en Tweede Kamer, de staf van die organisaties, en rijksambtenaren toegang verschaft tot de Kamergebouwen en rijkspanden.

Dat laat staatssecretaris Van Huffelen vandaag in een brief aan de Tweede Kamer weten. Op 21 september meldde ID-ware de servers waren getroffen door een ransomware-aanval waarbij bestanden werden versleuteld. ID-ware stelt dat de systemen snel via een back-up hersteld konden worden, maar dat er ook een grote hoeveelheid data is gestolen en gepubliceerd.

Uit onderzoek blijkt dat de databaseservers die gebruikt worden bij de uitgifte van passen niet zijn getroffen door de aanval. Of er gegevens van Rijkspasgebruikers staan op de fileservers die wel geraakt zijn wordt onderzocht. Tot nu toe is bekend dat van bijna 3500 medewerkers van de Rijksoverheid naam, rijkspasnummer en paraaf is gelekt vanuit de thuisbezorgservice van de kaart.

"De persoonsgegevens die aanwezig zijn bij het bedrijf beperken zich tot de voor productie van de kaart noodzakelijke gegevens: naam, geboortedatum, geslacht, rijkspasnummer en pasfoto. Voor de meeste pasgebruikers zal dit, als toch blijkt dat deze gelekt zijn, een beperkte impact hebben, waarbij met name aan het risico van gebruik bij phishing moet worden gedacht. Niettemin betreur ik dit incident zeer, evenals de mogelijke gevolgen voor betrokken personen", aldus Van Huffelen.

Als reactie op de aanval hebben de Eerste Kamer en Tweede Kamer ook de netwerkverbindingen met ID-ware verbroken. De staatssecretaris merkt op dat met de gelekte informatie geen pas worden kan worden gemaakt die toegang tot gebouwen geeft, het hiervoor benodigde sleutelmateriaal wordt niet verwerkt bij ID-ware. De interne systemen van Rijkspasbeheer, Eerste Kamer en Tweede Kamer zijn door de aanval op ID-ware niet geraakt.

De personen van wie is vastgesteld dat er gegevens zijn gelekt zijn persoonlijk geïnformeerd of worden binnenkort ingelicht. ID-ware levert soortgelijke toegangssystemen ook aan andere klanten in Nederland en Duitsland en heeft hen eveneens op de hoogte gesteld. Ook is een melding gedaan bij Autoriteit Persoonsgegevens en heeft het bedrijf aangifte gedaan bij de politie.

Reacties (13)
07-10-2022, 14:54 door Anoniem
Blijft een beetje mistig waarom ID-ware die gegevens bleef bewaren nadat de pas geleverd was..? Wat je niet hebt hoef je ook niet te beschermen...
07-10-2022, 14:55 door Anoniem
Mijn sympathie. Althans, voor die ambtenaren die zich ingezet hebben voor gegevensbescherming. Voor wat betreft de overigen maakt het niet zo veel uit, immers die hebben altijd de mening gehad dat ze toch niets te verbergen hadden, dus die hebben mijn sympathie niet nodig...
07-10-2022, 15:40 door Anoniem
Door Anoniem: Blijft een beetje mistig waarom ID-ware die gegevens bleef bewaren nadat de pas geleverd was..? Wat je niet hebt hoef je ook niet te beschermen...
Opvallend in de brief dat ook de paraaf van de medewerker is gestolen. Een paraaf is een vereenvoudigde handtekening en wordt gebruikt om bij contracten van meer dan één pagina die pagina's te markeren. Het kan dan wel eens zo zijn dat er gebruikersovereenkomsten van de rijkspas zijn buitgemaakt.
07-10-2022, 15:51 door Anoniem
Niet zo leuk voor de mensen die continue beveiliging
nodig hebben of worden bedreigt.

NLNU2022
07-10-2022, 16:01 door Anoniem
Zouden we aivders er ook tussen zitten?
07-10-2022, 16:05 door User2048
Door Anoniem: Opvallend in de brief dat ook de paraaf van de medewerker is gestolen. Een paraaf is een vereenvoudigde handtekening en wordt gebruikt om bij contracten van meer dan één pagina die pagina's te markeren. Het kan dan wel eens zo zijn dat er gebruikersovereenkomsten van de rijkspas zijn buitgemaakt.

Tot nu toe is bekend dat van bijna 3500 medewerkers van de Rijksoverheid naam, rijkspasnummer en paraaf is gelekt vanuit de thuisbezorgservice van de kaart.

Of het is de paraaf voor ontvangst.
07-10-2022, 17:05 door karma4
Door Anoniem: Blijft een beetje mistig waarom ID-ware die gegevens bleef bewaren nadat de pas geleverd was..? Wat je niet hebt hoef je ook niet te beschermen...
Zo'n beetje de vraag stellen dat het privacygevoelig is om te weten wie in de kamer zitting heeft.
Een telefoonboek is dan ook heel privacygevoelig net als het bellen van bijvoorbeeld 112.l
07-10-2022, 17:23 door Anoniem
Ik vraag me af waarom deze passen niet in-huis aangemaakt wordt voor de specifieke gebruiker, of op zijn minst daar uitgereikt.
Waarom zoiets uitbesteden, met (blijkbaar) een thuisbezorgservice erbij.
Lijkt me een luxe oplossing, met nu een luxe probleem erbij.

Oh, wacht even... natuurlijk.
Het is niet de "core business" van de rijksoverheid.
Net zoals het verwerken van bagage en passagiers dat ook niet was voor Schiphol. (tot het fout gaat).

Dames en heren in de Tweede Kamer kunnen er op vertrouwen dat de markt dit wel voor hun oplost.
Misschien met een hoeveelheid schade en pijn voor de getroffen personen.
Maar ooit een keer lost de markt het voor ze op.
:-) :-)
07-10-2022, 21:31 door Anoniem
Het is wachten op het moment dat er ineens tientallen kernraketten door de lucht vliegen door een hack?
08-10-2022, 08:48 door Anoniem
Door User2048:
Door Anoniem: Opvallend in de brief dat ook de paraaf van de medewerker is gestolen. Een paraaf is een vereenvoudigde handtekening en wordt gebruikt om bij contracten van meer dan één pagina die pagina's te markeren. Het kan dan wel eens zo zijn dat er gebruikersovereenkomsten van de rijkspas zijn buitgemaakt.

Tot nu toe is bekend dat van bijna 3500 medewerkers van de Rijksoverheid naam, rijkspasnummer en paraaf is gelekt vanuit de thuisbezorgservice van de kaart.

Of het is de paraaf voor ontvangst.

Inmiddels laat ID-ware weten dat er géén persoonsgegevens zijn buit gemaakt.
08-10-2022, 11:24 door Erik van Straten
Door Anoniem: Inmiddels laat ID-ware weten dat er géén persoonsgegevens zijn buit gemaakt.
Bron?

Dat zou in tegenspraak zijn met wat er in de bijlage (van "CISO Rijk") in https://www.tweedekamer.nl/kamerstukken/brieven_regering/detail?id=2022Z18936&did=2022D40458 staat, onder meer:
Het onderzoek wijst uit dat er een grote hoeveelheid bestanden zijn verkregen door de aanvaller. Op darkweb is door de aanvaller een lijst met bestandsnamen gepubliceerd. Op dit moment wordt nagegaan of persoonsgegevens of andere klantgegevens zijn gelekt. Tot nu toe is bevestigd door Rijkspasbeheer dat van 3500 medewerkers van de Rijksoverheid naam, rijkspasnummer en paraaf bij de gelekte gegevens zaten. Deze zijn afkomstig van de thuisbezorgdienst van de Rijkspas. Er zijn hierbij geen huisadressen gelekt.
Waarbij je "zijn afkomstig van" kunt uitleggen als "behoren toe aan" of "zijn geregistreerd door" (let ook op de zin daarachter: "Er zijn hierbij geen huisadressen gelekt").

In dat laatste geval zou het om willekeurige Rijksambtenaren kunnen gaan waarvan passen zijn thuisbezorgd. En dan zou je (als die bestaan) groepen ambtenaren kunnen uitsluiten bij wie Rijkspassen nooit worden thuisbezorgd, naast waarschijnlijk Rijksambtenaren bij wie hun Rijkspas om welke reden dan ook niet is thuisbezorgd.

Mede door de typo kon ik dit niet laten:
Door Anoniem: Zouden we aivders er ook tussen zitten?
Maak je je zorgen, Rian?
09-10-2022, 09:09 door Anoniem
Door Anoniem: Inmiddels laat ID-ware weten dat er géén persoonsgegevens zijn buit gemaakt.

https://www.security.nl/posting/770386/It-leverancier+Rijksoverheid+ontkent+diefstal+van+data+Tweede+Kamerleden
10-10-2022, 13:29 door Anoniem
Niet alleen van rijksambtenaren maar mogelijk ook van ingehuurd personeel.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.