'HAN-hacker plaatst gestolen data op internet'

De HAN is vorige week getroffen door een datalek, waarbij ook een losgeldeis is achtergelaten voor de onderwijsinstelling. De aanvaller, die zichzelf 'masterballz' noemt, zegt tegenover RTL Nieuws dat hij om zo'n 10.000 euro heeft gevraagd. De HAN weigert echter te betalen, waarop 'masterballz' heeft besloten de gegevens nu te publiceren.

Nog vergelijken

Volgens de nieuwswebsite - die de gegevens heeft ingezien en geverifieerd - gaat het om data van honderdduizenden mensen, waaronder veel (oud-)studenten. De HAN kan dit nog niet bevestigen. "We hebben de data zelf nog niet online gezien", vertelt een woordvoerder aan AG Connect.

De onderwijsinstelling zegt echter dat de online-publicatie wel "in de lijn der verwachting" ligt. De woordvoerder laat verder weten dat er nog onderzoek wordt gedaan naar de precieze omvang en naar welke data er nu precies op internet gelekt zijn. "We willen weten wat er bij de ander ligt, zodat we mensen kunnen informeren."

Ook wachtwoorden gelekt

De HAN meldde eerder al dat het in ieder geval om gegevens gaat die in online-formulieren op de website van de onderwijsinstelling ingevuld kunnen worden. "Dat betreft vragen over opleidingen, het opvragen van algemene informatie, maar soms ook het toelichten van een studievoorkeur of een aanvraag voor ondersteuning." Daarnaast zijn er persoonsgegevens als de naam en het e-mailadres van aanvragers opgeslagen. Volgens RTL Nieuws dateren de gegevens soms nog uit 2009. Ook zijn er contactgegevens van HAN-werknemers gestolen.

RTL Nieuws stelt verder dat er in enkele duizenden gevallen ook onversleutelde wachtwoorden gelekt zijn. De HAN stelt dat het voor zover nu bekend om verouderde wachtwoorden gaat. Er zouden geen actuele gegevens van HAN-accounts buit zijn gemaakt. De data zouden via een populaire downloaddienst worden verspreid. Of de data te koop worden aangeboden of bijvoorbeeld alleen tussen criminelen gedeeld worden, is onduidelijk.

Lekke server

Alle gelekte data is buitgemaakt via één server. Hoe de aanvaller daar precies is binnengekomen, kan de woordvoerder niet direct tegenover AG Connect zeggen. 'Masterballz' zegt zelf dat hij via verschillende grote kwetsbaarheden binnen kon dringen en dat de onderwijsinstelling daardoor een "makkelijk doelwit" was. Het is nog niet bekend om welke kwetsbaarheden in welke software het gaat.

De HAN heeft na ontdekking van het lek direct externe experts ingeschakeld om het lek te dichten en de aanval te onderzoeken. Ook is er aangifte gedaan bij de politie en is er melding gemaakt van het datalek bij de Autoriteit Persoonsgegevens. De onderwijsinstelling zegt op zijn website dat het lek inmiddels gedicht is. Maar 'masterballz' claimt dat er nog "van alles" open staat.