Van wanbetalers tot medische attesten: persoonsgegevens van vooral kwetsbare personen gestolen bij stad Geraardsbergen

In september werden de administratieve diensten van de stad Geraardsbergen gehackt. De computers waren getroffen door ransomware, zogenoemde gijzelsoftware, waardoor de computers vergrendeld waren. Voor hackers is het een techniek om losgeld te kunnen vragen voor de vrijgave van gestolen data of geblokkeerde computersystemen.

Door de aanval waren de loketten en sommige stadsdiensten enkele dagen dicht. Experts konden de computers weer ontgrendelen, er is volgens de stad Geraardsbergen geen losgeld betaald. Twee weken geleden verscheen een bericht op het dark web waarin gedreigd werd om de gestolen data uit Geraardsbergen te publiceren. 

Er was een teller te zien waarop werd afgeteld. Vannacht is die teller gestopt en zijn er gestolen data gepubliceerd. Ethisch hacker Inti De Ceukelaire kon de lijst al inkijken, waardoor we nu al een beter zicht hebben op de precieze data die zijn gestolen en te grabbel zijn gegooid.

Volgens hem hebben de hackers een computer van de dienst Financiën gehackt. "Daar staan heel wat verslagen en attesten op, maar ook burgergegevens", legt hij uit. "Bijvoorbeeld lijsten van wanbetalers van parkeerboetes, aanmaningen, maar ook medische gegevens van bepaalde personen omdat die relevant kunnen zijn voor de gemeentebelasting. Zo zijn er attesten gelekt voor blijvende incontinentie waarop ook de namen van die personen staan."

De buitgemaakte persoonsgegevens zijn vooral die van kwetsbare personen, zegt de ethisch hacker. "Mensen in collectieve schuldbemiddeling of met een ziekte", legt hij uit. "Je zou als oplichter die gegevens kunnen misbruiken door bijvoorbeeld valse aanmaningen te sturen of valse boetes in de naam van de stad. Of je zou zelfs mensen kunnen chanteren als het echt om heel gevoelige medische informatie gaat."

De Ceukelaire schat na een eerste analyse dat een honderdtal burgers getroffen is door de datadiefstal. "Niet alleen mensen uit Geraardsbergen", zegt hij. "Als je ooit fout geparkeerd hebt in die stad, kan het zijn dat je op die computer bent beland. Al zal het overgrote merendeel van de getroffen burgers wel degelijk in Geraardsbergen zelf wonen."

De stad is door de privacywetgeving verplicht om alle getroffen burgers individueel op de hoogte te brengen. "Volgens mijn informatie heeft de stad zelf nog geen toegang tot de bestandenlijst en dat kan nog even duren", zegt hij wel. "Burgers uit Geraardsbergen zijn de komende tijd maar beter extra waakzaam. Zeker als het over betalingen gaat."

Jan de Smet de ICT-verantwoordelijke van de stad Geraardsbergen, geeft aan dat ze nog geen volledig zicht hebben op de precieze data die zijn gestolen. "We zijn momenteel volop bezig met de analyse, samen met het politieke bestuur en het management, van wat er gepubliceerd is en wat het inhoudt. Niemand zit te wachten op de publicatie van privacygevoelige data. Nadien zullen we gepast communiceren."

De Smet benadrukt dat er in september en ook nu nooit contact is geweest met de hackers. "Er is nooit contact met ons opgenomen, wij hebben zelf ook geen contact gezocht", klinkt het. "Dit is niet de normale manier van werken. Normaal nemen hackers contact op en maken ze hun dreigement, betalen of publiceren, maar dat is niet gebeurd." Hij herhaalt dat er ook nooit losgeld betaald is.

De Smet is er niet van overtuigd dat de stad Geraardsbergen specifiek geviseerd werd door de hackers. "We zijn gewoon de zoveelste in de rij. Hackersgroepen gaan het rijtje af, en wij zaten daartussen." De stad start intussen wel met een infolijn voor bezorgde burgers met alle vragen of de hacking bij de stad. Die lijn is al actief en bereikbaar op het nummer: 054/43.42.99. Je kunt ook mailen naar: info@geraardsbergen.be.

De stad zet vooral in op schadebeperking. "Eens de data gelekt is op het dark web, kun je daar niets meer aan doen. Je krijgt dat nooit meer offline", zegt De Smet. "Je kunt je alleen maar beveiligen tegen de gevolgen daarvan. Door onze burgers maximaal te informeren voor mogelijke identiteitsfraude of phishing. Schadebeperking is het enige wat we nog kunnen doen."