Limburg.net stuurt 280.000 klanten een brief na cyberaanval, maar oplijsting van gestolen data niet prioritair

Er vertrekt een brief vanuit Limburg.net naar de klanten van wie de gegevens gestolen zijn bij de cyberaanval, die aan het licht kwam halverwege december. In totaal gaat het om zo'n 280.000 brieven. De eerste exemplaren vertrekken vandaag, terwijl de laatste over zes dagen verzonden worden. "De eerste brieven zullen eind deze week aankomen. We hebben de gestolen lijsten uit 2014 en 2015 geactualiseerd om zo te kijken wie getroffen is en nog een brief moet krijgen", legt woordvoerder Hans Roggen uit. 

Roggen verdedigt het feit dat Limburg.net voor een fysieke brief kiest, anderhalve maand na de eerste berichten. "Hoe moet je communiceren met getroffen slachtoffers? Dat kan via de pers, maar dat kan ook persoonlijk. Zoveel brieven klaarkrijgen, vraagt tijd. Maar we erkennen de ernst van de diefstal en zullen alle vragen beantwoorden." 

De aankondiging van de brieven komt er tegelijk met een uitgebreide tijdlijn van de cyberaanval. Daaruit blijkt dat hackerscollectief Medusa al op 17 november binnendrong bij Limburg.net. Bijna een maand later, op 13 december, gingen de alarmbellen bij de intercommunale af en werd de aanval gemeld bij verschillende overheidsdiensten. Op 19 december werd dan duidelijk dat er data gestolen waren. Op dat moment is de federale gerechtelijke politie ingelicht. 

Het duurt dan bijna weer een maand, tot 15 januari, voor de afvalintercommunale een goed eerste zicht heeft op wat er buit is gemaakt. Ondertussen hebben hackers op 11 januari al losgeld geëist op het Dark Web. Limburg.net beslist om niet te betalen.

De getroffen intercommunale vindt niet dat ze te laat communiceert over de initiële inbraak op 17 november. "Op het moment dat we op de hoogte waren, is een uitgebreid forensisch onderzoek gestart om te zien wat de hackers hebben bekeken en hoe ze zijn ingebroken", legt Roggen uit.

"Pas in dat onderzoek is gaandeweg duidelijk geworden dat ze al op 17 november de aanval hebben gestart. Het rapport is vrijdag afgewerkt en doorgestuurd. We hebben steeds gecommuniceerd met de informatie die we hadden. Je moet je ook afvragen wat je wel en niet moet vertellen. We volgen daarvoor richtlijnen van de overheid."  

Ook nu nog prediken overheidsdiensten voorzichtigheid. "We willen graag een zo uitgebreid mogelijk zicht geven over wat er net in het lek zit. Maar die kan je enkel bekomen door op complexe manieren naar die data te zoeken. Op dit ogenblik hebben we geen toestemming om dat te doen", zegt Roggen. 

Zo raadt ook de Vlaamse Toezichtscommissie, die toeziet op de naleving van de GDPR-wetgeving (die gaat over persoonlijke gegevens), aan om geen oplijsting te maken om elke burger te vertellen wat er net gestolen is van hem of haar. "Begeleiding van burgers is belangrijker dan de concrete opsomming van gegevens uit de diefstal. Het is prioriteit om na te gaan wat er gebeurd is, zodat de beveiliging opgeschroefd kan worden. Tijd en middelen moeten daarheen gaan en niet naar het documenteren van gegevens per persoon." 

Op vraag van instanties zoals de Vlaamse Toezichtscommissie zal Limburg.net dan ook haar energie steken in sensibilisering. Bij de magazines, flyers en directe inningen zal voortaan informatie rond gegevensbescherming zitten. Tot nu toe kwamen er 2.000 meldingen binnen bij Limburg.net. Het merendeel komt van ongeruste Limburgers die willen weten of ook hun gegevens gelekt zijn.

Ook de experten cybersecurity van de betrokken gemeentebesturen werden gisteren en vorige week op de hoogte gehouden. Morgen is het de beurt aan de burgemeesters. Ook overleg met de Vlaamse Toezichtscommissie en de Gegevensbeschermingsautoriteit blijft verdergaan. Ondertussen zetten het parket van Limburg en de politie hun onderzoek voort.