Een Friese it-leverancier is zelf aansprakelijk voor de meer dan 800.000 euro schade die het gevolg is van een gehackte Azure-omgeving, zo heeft de rechtbank Noord-Nederland geoordeeld. De uitspraak werd eind vorig jaar gedaan, maar is nu pas openbaar geworden. De Friese it-leverancier richt zich op mkb-bedrijven en maakt daarbij gebruik van de clouddiensten van Microsoft. Deze diensten neemt het niet direct af bij Microsoft, maar bij een ict-distributeur.

De kosten voor het gebruik van de Azure-clouddiensten worden steeds achteraf in rekening gebracht. Microsoft brengt de kosten in rekening bij de ict-distributeur, die deze kosten in rekening brengt bij de zogenaamde "resellers", zoals de Friese it-leverancier. Die brengt de kosten op haar beurt in rekening bij de eindgebruikers. In 2020 mailde de ict-distributeur dat Microsoft allerlei beveiligingsmaatregelen ging verplichten en het gebruik van multifactorauthenticatie (MFA) voor beheerders moest worden ingesteld. MFA wordt sinds oktober 2022 standaard door Microsoft ingeschakeld op Azure-omgevingen.

Op 21 augustus 2021 heeft de Friese it-leverancier Microsoft Azure-diensten besteld voor een niet nader genoemde klant. Op 7 november 2022 detecteerde de ict-distributeur een ongebruikelijk hoog dataverbruik binnen het cloudplatform van deze klant, waarop de ict-distributeur de Friese it-leverancier waarschuwde. Het verbruik zorgde voor een kostenpost van 22.000 euro per dag.

Cryptominer

Dit resulteerde in een bedrag van honderdduizenden euro's. Uiteindelijk aanvaarde de ict-distributeur een betalingsvoorstel van de Friese it-leverancier van 178.000 euro in zijn geheel en een bedrag van 686.000 euro in delen. De totale schade komt daarmee uit op 864.000 euro. De Friese it-leverancier heeft als onderdeel van de betalingsregeling al 300.000 euro betaald.

De Friese it-leverancier had een verzekering, maar die bleek dit misbruik niet te dekken. Het bedrijf stapte naar de rechter en eiste een aantal zaken. Zo moest de rechter verklaren dat de Friese it-leverancier niet aansprakelijk is voor de schade, de getroffen betalingsregeling met de ict-distributeur vernietigen, de ict-distributeur de al betaalde 300.000 euro laten terugbetalen en de verzekeraar voor de schade van 864.000 euro laten opdraaien.

Volgens de Friese it-leverancier heeft de ict-distributeur haar zorgplicht geschonden door het bedrijf onvoldoende te wijzen op het inschakelen van MFA. Daarnaast stelt de leverancier dat de distributeur haar contractuele verplichting om te monitoren heeft geschonden. Volgens de leverancier had de distributeur eerder melding moeten maken over de onregelmatigheden op het cloudplatform van de klant. Daardoor kon het onrechtmatig gebruik veel langer doorgaan, met grote schade tot gevolg.

Oordeel

Daarnaast is de ict-distributeur een "Indirect Provider" van Microsoft-clouddiensten, die niet de tools of de middelen heeft om zelf te monitoren en in te grijpen. De rechter stelt dan ook dat de Friese it-leverancier richting haar eindgebruikers zelf verantwoordelijk is voor het it-beheer van de accounts van haar eindgebruikers, waaronder de instandhouding van de juiste beveiligingsmaatregelen.

De rechter komt tot de slotsom dat de Friese it-leverancier zelf aansprakelijk is voor de schade die het gevolg is van de hack, die volgens de rechter hoogstwaarschijnlijk kon plaatsvinden doordat de it-leverancier MFA niet had ingeschakeld. Het bedrijf moet dan ook zelf voor de schade opdraaien. Ook de andere vorderingen wijst de rechter af. Als verliezende partij moet de Friese it-leverancier ook de proceskosten van de andere partijen betalen, die op zo'n 39.000 euro uitkomen.