Rapport Vlaamse overheid vernietigend voor cyberveiligheid stad Antwerpen vóór grote hack in 2022: "Onvoldoende maatregelen, pijnlijk voor zo'n grote organisatie"

Het eindoordeel van de Vlaamse Toezichtcommissie voor de verwerking van persoonsgegevens laat geen ruimte voor onduidelijkheid en is zeer scherp voor Digipolis, verantwoordelijk voor de IT van de stad Antwerpen, en de stadsdiensten.

De stadsdiensten waren onvoldoende voorbereid op een cyberaanval, er was amper een herstelplan, belangrijke updates in de beveiliging waren niet doorgevoerd en er was ook amper tweestapsverificatie, dat is een veilige manier om vanop afstand in te loggen.

Even opfrissen. Op 6 december 2022 werd de stad Antwerpen getroffen door een zware cyberaanval. Zowat alle stadsdiensten lagen plat, tot zelfs ruim een jaar na de aanval. Het ging om een aanval door de cybercriminelen van Play waarbij meer dan 500 gigabyte aan gegevens zouden zijn buitgemaakt. De criminelen eisten losgeld voor die gegevens, maar Antwerpen zou niet hebben betaald.

Er zaten volgens het rapport gaten in het IT-systeem, omdat belangrijke updates niet waren doorgevoerd, behalve bij het Zorgbedrijf, dat woon- en zorgdiensten aanbiedt aan Antwerpse senioren, en het stedelijk onderwijs.

Tweestapsverificatie, waarbij je bijvoorbeeld een code op je gsm krijgt om in te loggen op je werkmail, was onvoldoende geïmplementeerd. Daarnaast spreekt de conclusie van het onderzoek over te weinig netwerksegmentatie, dat is een groot netwerk opsplitsen in delen met een stevige beveiliging tussen die delen.

Er zijn bij die aanval ook heel veel persoonsgegevens gelekt. Persoonsgegevens zijn alle mogelijke data gelinkt aan inwoners van de stad Antwerpen. Organisaties zijn verplicht dat te melden, in het geval van Antwerpen dus onder meer aan de Vlaamse overheid.

De Vlaamse Toezichtcommissie deed daarom een onderzoek. Dat onderzoek stelt dus zware gebreken vast. Naast de grote impact op de stadsdiensten, er moest op sommige plekken zelfs weer met pen en papier worden gewerkt, zijn gevoelige gegevens van mensen gelekt, uit bijvoorbeeld rusthuizen of de dienst bevolking.

Er was bovendien ook onduidelijkheid over welke gegevens dat waren, zegt het rapport. De grootte van de cyberaanval kon daardoor moeilijk ingeschat worden en dus ook moeilijk aangepakt worden.

Het rapport erkent dat in de maanden voor de aanval stappen waren gezet om de cyberveiligheid van de stad en de stadsdiensten te verhogen, maar zegt tegelijk dat de diensten niet voldoende voorbereid waren op een cyberaanval.

“Er was wel een werkende crisiswerking, maar die was niet ‘cyberspecifiek’. De commissie bedoelt hiermee dat de crisiswerking niet voldoende afgestemd was op een mogelijk groot cyberincident. [...] Er was slecht gedeeltelijk een herstelplan ter beschikking, of minstens geen plan dat de confrontatie met de realiteit kon doorstaan.”

In haar eindconclusie zegt de Vlaamse Toezichtcommissie dat [...] de maatregelen niet strikt en niet afdoende waren geïmplementeerd. Dit is des te pijnlijker als het (hier minstens globaal) om een zeer grote organisatie gaat, waarvan verwacht zou worden dat zij over afdoende middelen beschikt om incidenten waar mogelijk te voorkomen, of minstens om ze effectief te kunnen beheersen.

Schepen voor Digitalisering Erica Caluwaerts (onafhankelijke) heeft intussen schriftelijk gereageerd. "Op basis van audits, die reeds voor de cyberaanval hadden plaatsgevonden, was de stad een cyberveilige omgeving aan het implementeren. De bijkomende budgetten waren al vrijgemaakt. Momenteel geven wij hierover duiding aan de Vlaamse Toezichtcommissie.”

De Vlaamse Toezichtcommissie wacht nu op een update die inzicht moet geven in de stappen die intussen zijn gezet om de cyberveiligheid te verhogen.

"Het rapport ligt in lijn met een aantal audits die eerder werden uitgevoerd", reageert gemeenteraadslid Niel Staes (Groen, in de oppositie in Antwerpen). "Maar om dit nu allemaal opgelijst te zien: een gebrek aan herstelplan, slechte inlogprocedures, te late updates... Dat is nieuw voor ons. Er is niet één dominosteentje omgevallen maar een hele reeks. Er liep structureel iets mis met de cyberdefensie in Antwerpen."

"Vanaf de start was de communicatie rond de impact sussend, terwijl nu blijkt dat de diensten die gehackt werden, zoals rusthuizen of de dienst Bevolking, gevoelige gegevens beheerden. De Toezichtcommissie klaagt de onduidelijkheid aan die tot vandaag speelt over welke gegevens niet alleen onbeschikbaar, maar ook gelekt zijn. Dit toont dat het incident nog steeds niet correct kan ingeschat worden. Antwerpen wordt hier zwaar op de vingers getikt."