De gemeente Hof van Twente, waar criminelen eind 2020 dankzij het wachtwoord "Welkom2020" konden binnendringen en ransomware uitrollen, was al veel eerder gewaarschuwd over het wachtwoordbeleid. Signalen over problemen met de informatiebeveiliging kwamen echter niet voldoende binnen bij het management, college en de raad. De kennis over informatiebeveiliging was onvoldoende om de risico's op informatieveiligheid adequaat te duiden en erop door te vragen. Dat blijkt uit een rapport van de Rekenkamercommissie van de Hof van Twente.

Uit onderzoek naar de aanval bleek dat door een aanpassing van de gemeentelijk firewall sinds oktober 2019 de RDP-poort van een ftp-server naar het internet toe openstond. Zo kan er op afstand op de server worden ingelogd. Een gemeentemedewerker wijzigde op 15 oktober 2020 het wachtwoord van een beheerdersaccount naar het wachtwoord "Welkom2020". De tweefactorauthenticatie was voor dit account uitgeschakeld. Aanvallers wisten het wachtwoord via een bruteforce-aanval te achterhalen.

De bruteforce-aanval werd niet opgemerkt. Het beheerdersaccount draaide met "verregaande rechten" en netwerksegmentering ontbrak. Gedurende drie weken kon de aanvaller zijn gang gaan en de ransomware-aanval voorbereiden. Deze activiteiten werden ook niet gedetecteerd. Verder bleek dat er van de back-ups geen kopie was op een externe locatie. De back-ups zijn deels vernietigd en deels versleuteld. Ook de back-ups bij de leverancier die de hosting van een deel van de systemen uitvoerde.

Wachtwoordbeleid

De accountant van de gemeente had voordat de aanval plaatsvond meerdere keren gewaarschuwd voor een mogelijke aanval en het gebruikte wachtwoordbeleid. In 2018 geeft de accountant een achttal aandachtspunten, waaronder het informatiebeveiligingsbeleid, toegangs- en autorisatiebeleid en pentesten. In 2019 constateert de accountant dat op een aantal punten vooruitgang is geboekt, maar dat er nog aandacht nodig is voor it-beheer en wachtwoordbeleid.

Volgens de Rekenkamercommissie was diepgaande kennis over ict niet voldoende aanwezig op sleutelposities in de ambtelijke en bestuurlijke organisatie om de naleving van beleid en protocollen af te dwingen of te controleren. De signalen van de account en resultaten van een uitgevoerde pentest kwamen niet voldoende binnen bij het management, college en de raad. "De kennis over informatiebeveiliging was beperkt om de risico's op informatieveiligheid adequaat te duiden en erop door te vragen", aldus de Rekenkamercommissie (pdf).

Zo bleek dat bepaalde onderdelen op papier waren gerealiseerd, zoals het 2FA-beleid, maar bleken die in de praktijk niet consequent te worden uitgevoerd. "Er bleek een groot verschil tussen de bestuurlijke werkelijkheid en de dagelijkse praktijk", zo stelt de Rekenkamercommissie, die tevens opmerkt dat de gemeente te weinig geld uitgaf aan informatiebeveiliging.

Reactie burgemeester

In een reactie stelt burgemeester Nauta dat de ransomware-aanval duidelijk heeft gemaakt dat ict, digitalisering en informatiebeveiliging op het hoogste niveau meer aandacht verdienen dan ooit daarvoor. "Binnen de raad, het college en de ambtelijke organisatie moeten we dit beter borgen in structuren en processen. Tevens moeten we nadenken op welke wijze we de benodigde deskundigheid en sturingsinformatie kunnen ontwikkelen", zo laat ze weten.

De gemeente is nu bezig om een chief security information officer (CISO) aan te trekken die een eigen budget krijgt. Afgelopen dinsdag werd het rapport van de Rekenkamercommissie binnen de gemeenteraad van de Hof van Twente besproken.