Cyberexperten die de persconferentie volgden over de cyberaanval op de stad Antwerpen, waarschuwen dat er nog steeds cruciale informatie ontbreekt om in te schatten hoe ernstig het lek nu echt is. Ze stippen aan dat het nog steeds onduidelijk is wat er precies gebeurd is, en wat de impact ervan op de burger is. “Dit roept bij mij eigenlijk nog meer vragen op dan er al waren.”
Cyberexperten hebben vragen bij verklaringen van stad Antwerpen over hacking: "Beetje een vreemde, magische oplossing"
Wat is er gebeurd bij de hacking van de stad Antwerpen door de cybercriminelengroep Play? Welke gegevens zijn er nu precies gestolen? Hoe komt het dat Antwerpen plots niet meer op de lijst van Play staat van de buitgemaakte databases? Moeten de Antwerpenaren zich echt niet al te veel zorgen maken? En is de stad wel voldoende opgewassen tegen cybercriminaliteit?
Vanmorgen verschafte de Antwerpse burgemeester Bart De Wever (N-VA) meer duidelijkheid over de hack, en wat de stad eraan zou doen. Maar de persconferentie riep bij cyberexperten meer vragen op dan ze beantwoordde.
Welke gegevens zijn er nu precies gestolen?
“Tot op heden zijn er geen aanwijzingen dat persoonsgegevens zijn buitgemaakt door criminelen waar particuliere burgers ernstig benadeeld mee zouden kunnen worden”, verklaarde De Wever. “Elk woord heeft hier zijn belang”, vulde hij nog aan.
De Wever benadrukte zelf “tot heden” - in de toekomst kan er dus nog nieuwe informatie opduiken. Uit de verklaring valt ook op te maken dat het stadsbestuur enkel over aanwijzingen beschikt dat er geen persoonsgegevens zijn buitgemaakt. Geen bewijzen, dus.
“Geen aanwijzingen” dat er geen persoonsgegevens gestolen zijn, betekent niet dat er geen persoonsgegevens gestolen zijn”, merkte de ethische hacker Inti De Ceukelaire op op Twitter. “Het zegt enkel dat er geen aanwijzingen gevonden zijn.”
En dan blijft nog de vraag wat het stadsbestuur precies verstaat onder “ernstige” nadelen. Zijn er wel gegevens gestolen waar particuliere burgers niet per se ernstig mee benadeeld kunnen worden, maar die niettemin nadelig voor hen kunnen uitvallen?
VRT NWS-journalist Tim Verheyden wijst erop dat het stadsbestuur wel erg snel tot conclusies lijkt te komen. “De grote vraag is of die gijzeling van gegevens wel is afgelopen. Het moment waarop nu gecommuniceerd wordt, is opmerkelijk. Dit weekend is Antwerpen plots verdwenen (van de Play-lijst van gehackte websites, red.) maar je kan ervan uit gaan dat die cyberaanval op dit moment nog gaande is.”
“Cyberexperten zeggen me dat het pas na vier à acht weken duidelijk is welke data er gestolen zijn. Je kan dat nooit na twee weken al weten.”
Privacy-expert en -activist Matthias Dobbelaere-Welvaert (Ministry of Privacy) noemt de situatie dan weer "bijzonder". "Er is voorlopig inderdaad geen objectieve bron om te zeggen of er persoonsgegevens op straat liggen of niet", zegt hij. Hij vindt dat de stad Antwerpen beter en sneller had moeten communiceren. "Nu komt er plots een beetje een vreemde, magische oplossing uit de lucht gevallen terwijl je bijna een week gewacht hebt om journalisten allerlei doemscenario's te laten bedenken."
Hoe komt het dat Antwerpen plots niet meer op de lijst van buitgemaakte databases staat?
Volgens Dobbelaere-Welvaert kunnen er zich enkele scenario's hebben voorgedaan. Een eerste is dat er wél betaald is, maar dat de stad dat verzwijgt. "Play zijn geen amateurs. Het zou vreemd zijn dat ze Antwerpen zomaar van hun site halen zonder dat er iets betaald is."
Een andere optie is dat het collectief blufte en eigenlijk vooral bouwplannen en andere stedelijke documenten wist te stelen. "Als het om bouwplannen gaat, kan je snel aan 500 gigabyte zitten. Play heeft zich misschien mispakt, ze spreken tenslotte geen Nederlands en weten dus niet altijd welke documenten ze in handen hebben."
Moet de Antwerpenaar zich echt niet al te veel zorgen maken?
Volgens het stadsbestuur zouden er geen gegevens van burgers zijn gelekt, maar bijvoorbeeld wel bouwdossiers. “We moeten kijken in hoeverre dààr persoonsgegevens in zitten”, vindt Verheyden. “Ook verzekeringspapieren kunnen potentieel gevaarlijk zijn. Het is één groot vraagteken.”
“Bouwplannen op zich zijn bijvoorbeeld niet gevaarlijk, maar je zal maar eens een inbreker zijn die die bouwplannen op het dark web kan kopen. Dus ja, ik zou een gigantische slag om de arm houden. We weten het op dit moment nog altijd niet. We weten ook niet wat er gaat gebeuren en of die data nog überhaupt ergens op het internet zullen komen te staan.”
“We weten niet wat er gebeurd is. Zijn ze van die gegevens af? Zijn ze al doorverkocht aan anderen? Worden ze alsnog gedumpt? Dat is op dit moment voor iedereen één groot vraagteken.”
Is Antwerpen wel voldoende opgewassen tegen cybercriminaliteit?
Digipolis Antwerpen, de IT-partner van de stad, zegt nu dat het nadenkt over een draaiboek voor cyberaanvallen. “Er worden duidelijke stappen gezet, maar het roept toch vragen op”, vindt Verheyden.
“Ik zag op een slide staan dat ze gaan nadenken over tweestapsverificatie. Als je inlogt in bijvoorbeeld je Gmail-account, krijg je dan een code op je gsm om te verzekeren dat jij het wel bent. Dan denk ik: had je dat nog niet? Dat zou volgens de slide uitgerold moeten worden in 2023. Dat roept bij mij eigenlijk nog meer vragen op dan er al waren. Ook al omdat audits in 2020 al hebben uitgewezen dat er in het algemeen bij steden en gemeenten te weinig aandacht is voor cyberveiligheid."
Regionaal nieuws uit Antwerpen
Gepubliceerd:
