De gemeente Epe werd in maart 2026 getroffen door een ernstig datalek als gevolg van een professionele cyberaanval.
De gemeente Epe heeft recent haar evaluatierapport over het datalek openbaar gemaakt. Daarin geeft zij een weergave van de gebeurtenissen, deelt zij de oorzaken van het incident en geeft aan welke lessen hieruit zijn getrokken.
Op 10 maart verkregen aanvallers via een zogenoemde ClickFix-aanval toegang tot het gemeentelijke netwerk. Daarbij werd een medewerker misleid om onbewust schadelijke software uit te voeren. Hoewel het account van deze medewerker was beveiligd met multifactor-authenticatie (MFA), bood deze maatregel geen bescherming tegen een aanval waarbij de gebruiker zelf kwaadaardige code activeert.
Na de eerste toegang wist de aanvaller zijn rechten binnen het netwerk uit te breiden. Door een beheerderswachtwoord te kraken kreeg hij toegang tot een beheerdersaccount en vervolgens tot een zogenoemd break-glass-account, een noodaccount met uitgebreide bevoegdheden. Met deze rechten kon circa 871 GB aan gegevens, bestaande uit meer dan 550.000 bestanden, worden gekopieerd naar externe cloudopslag.
Persoonsgegevens
De gestolen gegevens bevonden zich op een interne bestandsserver die op de planning stond om uitgefaseerd te worden vanwege een migratie naar SharePoint en Microsoft Teams. Onder de buitgemaakte informatie bevonden zich persoonsgegevens uit de Basisregistratie Personen (BRP), personeelsgegevens, financiële gegevens van de gemeente en haar relaties, contractinformatie, dossiers over gemeentelijke voorzieningen en meldingen uit de openbare ruimte. Daarnaast werden kopieën van 1.022 identiteitsbewijzen aangetroffen, waarvan 845 nog geldig waren. Op het moment van rapportage waren er geen aanwijzingen dat de gegevens waren gepubliceerd of misbruikt. Ook was geen losgeld geëist.
Melding
Na ontdekking van de inbraak op 12 maart 2026 werden direct maatregelen genomen. De ICT-omgeving werd geïsoleerd, alle gebruikers- en beheerdersaccounts werden gereset en een gespecialiseerd forensisch onderzoeksbureau werd ingeschakeld. De gemeente meldde het incident tijdig bij de Autoriteit Persoonsgegevens, deed aangifte bij politie en Openbaar Ministerie en werkte nauw samen met de Informatiebeveiligingsdienst voor gemeenten (IBD) en het Nationaal Cyber Security Centrum (NCSC). Daarnaast werden inwoners, medewerkers, ketenpartners en de gemeenteraad geïnformeerd.
Na de acute fase werd een projectorganisatie ingericht met drie deelprojecten: technisch onderzoek en data-analyse, communicatie naar betrokkenen en nazorg met verbetermaatregelen. De communicatie werd gefaseerd uitgevoerd, afhankelijk van de beschikbare onderzoeksresultaten. Inwoners werden geïnformeerd via nieuwsberichten, een speciale projectpagina en een huis-aan-huisbrief. Personen van wie een geldig identiteitsbewijs in de gestolen data was aangetroffen, ontvingen een persoonlijke brief en kregen de mogelijkheid hun document kosteloos te vervangen.
Belangrijke lessen
Het onderzoek wees uit dat zowel technische als organisatorische factoren hebben bijgedragen aan de omvang van het incident. Belangrijke lessen zijn dat sociale manipulatie een groot risico vormt, dat beheerdersaccounts extra bescherming vereisen en dat noodaccounts beter moeten worden beveiligd. Ook bleek dat afspraken met leveranciers en partners over incidentrespons verder verduidelijkt kunnen worden.
Verbetermaatregelen
De gemeente heeft inmiddels diverse verbetermaatregelen doorgevoerd, waaronder 24/7 monitoring van systemen, aanscherping van netwerksegmentatie, beperking van risicovolle beheerfuncties en het resetten van alle accounts. Andere maatregelen, zoals het versneld uitfaseren van de getroffen bestandsserver, verbetering van gegevensbeheer, bewustwordingstrainingen voor medewerkers en periodieke crisisoefeningen, zijn nog in uitvoering of gepland.
De financiële impact van het incident bedraagt voorlopig € 345.258, voornamelijk voor onderzoek, technische maatregelen, projectleiding, communicatie en nazorg. De gemeente benadrukt dat zij maximale openheid wil betrachten, betrokkenen wil ondersteunen en structureel wil investeren in betere informatiebeveiliging om vergelijkbare incidenten in de toekomst te voorkomen.
Geef een reactie