Een ransomwaregroep die wist in te breken op de systemen van de Gelderse oudereninstelling Attent Zorg en Behandeling heeft de daarbij buitgemaakte paspoorten van artsen, verpleegkundigen en fysiotherapeuten op internet gepubliceerd. De aanval die vorige maand plaatsvond was het werk van de groep achter de Qilin-ransomware. De zorginstelling meldde via de eigen website dat het op vrijdag 17 februari te maken kreeg met "technische problemen."

In een verklaring stelde Attent Zorg en Behandeling dat de problemen waren veroorzaakt door een "groepering" die toegang tot het netwerk had gekregen, waardoor de zorginstelling geen toegang meer had tot de eigen it-systemen. Drie dagen na de aanval meldde de zorginstelling dat een behoorlijk deel van de systemen was hersteld. Ook was Attent Zorg en Behandeling sinds 20 februari weer telefonisch bereikbaar en kon het weer gebruikmaken van het cliëntendossier en het systeem voor financiën en personeel.

De Qilin-groep claimde dat het via een ongepatchte kwetsbaarheid toegang tot de systemen had gekregen en daar honderden gigabytes aan data had buitgemaakt. Om wat voor kwetsbaarheid het zou gaan is niet bekendgemaakt. De groep dreigde de gestolen data te publiceren tenzij de zorginstelling zou betalen. Dat heeft de groep nu deels via de eigen website gedaan, meldt RTL Nieuws. Naast paspoorten gaat het ook om salarisstroken, geheimhoudingsverklaringen en vertrouwelijke interne communicatie. Een deel van de paspoortkopieën is al tien jaar niet meer geldig, maar werd toch nog in de systemen van Attent Zorg en Behandeling bewaard.

"Ondanks dat deze situatie een behoorlijke impact heeft gehad op onze organisatie en alle betrokkenen, heeft het ons ook veel geleerd en inzicht gegeven in een wereld die ook u kan raken. Die opgedane kennis en ervaring willen we graag delen. Vooral omdat wij van mening zijn dat cybercrime in het huidige digitale klimaat verscherpte aandacht verdient", zo laat Attent Zorg en Behandeling over het incident weten. De instelling heeft het personeel ingelicht, alsmede melding gedaan bij de Autoriteit Persoonsgegevens en Inspectie Gezondheidszorg en Jeugd (IGJ).