‘Iemand is bij ons binnen geweest en heeft dingen gestolen’

Begin april werd de gemeente Buren - in de Betuwe - het slachtoffer van een ransomware-aanval. Alexander Leeuw van Binnenlands Bestuur vroeg burgemeester Josan Meijers naar de toedracht en de gevolgen van de aanval. Het schijnt de eerste keer te zijn dat een gemeente dat overkomt, vertelt de burgemeester. "Het vormt ook een aanslag op onze medewerkers."

Wat is er op dit moment bekend over de hack?

Meijers: "We weten dat er 130 gigabyte aan gegevens is gepubliceerd op het dark web en daar zitten privacygevoelige gegevens bij. Bij die 130 gigabyte is de mededeling geplaatst dat er meer te koop is. De gemeente gaat ervan uit dat de volledige 5 terabyte aan gestolen data te koop is aangeboden. Het onderzoek moet nog uitwijzen wat de werkwijze was en wie de daders zijn."

Kunt u beschrijven hoe de eerste momenten voor u verliepen?

"Ik hoorde ervan op zaterdagochtend 2 april. Het was in de vrijdagnacht begonnen. Ik ging met de gemeentesecretaris naar het gemeentehuis, met eten en drinken voor onze ict’ers die de hele nacht hadden doorgewerkt. Ze waren begonnen met het uitzetten van alle servers. Ze hadden al gekeken naar welk extern bedrijf ze wilden inschakelen en die mensen begonnen die middag."

Doet het u denken aan de situatie van Hof van Twente begin vorig jaar?

"Ja, in zekere zin wel. Er is ook contact geweest. De gemeentesecretaris had contact met de gemeentesecretaris van Hof van Twente en ik met de burgemeester van Lochem, waar ook zoiets is gebeurd. Het grote verschil met zowel Hof van Twente als Lochem is dat onze gegevens op het dark web zijn aangeboden. Het schijnt de eerste keer te zijn dat een gemeente dat meemaakt."

Kwam er een losgeldeis?

"Ons is meteen in het begin al te verstaan gegeven dat wij contact moesten opnemen via een bepaalde link. Later werd dat herhaald op het dark web."

Hebben jullie dat gedaan?

"Nee."

Waarom niet?

"Omdat wij niet onderhandelen met criminelen."

Wat maakt het onderzoeken zo complex en intensief?

"De enorme hoeveelheid. 130 gigabyte omvat al een miljoen documenten en je wilt weten wat voor privacygevoelige gegevens erin zitten."

"We hebben eerst die gegevens gedownload van het dark web en ik heb begrepen dat dat al een hele tijd duurde. Dat afgesloten gedeelte van het internet is langzaam en het is niet een kwestie van even gegevens binnenhalen zoals normaal. Het was een kwestie van dagen, misschien zelfs meer dan een week."

Is er een beeld van de kosten, bijvoorbeeld voor het opbouwen van een nieuw systeem zoals Hof van Twente noodgedwongen moest doen?

"De donderdagavond voor de aanval was nog een back-up gedraaid, dus die was ontzettend goed in orde. We waren slechts 24 uur aan gegevens kwijt. In dat weekend is de back-up helemaal doorlopen en in dat weekend is alles eraan gedaan om te zorgen dat de dienstverlening niet plat zou komen te liggen. Maandag zijn we weer gestart."

"We hadden de pech dat er maandag ook een telefoonstoring was waardoor alle telefoons niet werkten. We dachten: heeft dit met de aanval te maken? Maar dat was niet het geval. In de loop van de maandag is dat verholpen en zijn de systemen weer opgestart en op dinsdag waren we weer volledig operationeel."

De beveiliging van de gemeente was volgens u op orde?

"Ja. We hebben de normale standaard altijd bijgehouden en we laten ons jaarlijks checken met zo’n gecontroleerde aanval."

Wat hoort u van burgers?

"Begrip en lichte ongerustheid: wat betekent het nou? Het is natuurlijk niet fijn. Mensen vinden het vervelend."

Wat vertelt u ze over het gevaar dat zij lopen?

"Mij is verteld dat er drie verschillende soorten persoonsgegevens zijn: NAW (naam, adres en woonplaats), BSN en kopieën van identiteitsbewijzen. Als die alle drie in de handen van een kwaadwillende vallen dan is iemand kwetsbaar, maar met het vernieuwen van de identiteitsbewijzen is de keten te doorbreken. Een BSN kun je niet opnieuw aanvragen en mensen vragen om te verhuizen gaat ook ver."

"Dus op dat punt zijn we: we zijn de 130 gigabyte aan het doorzoeken op die privacygevoelige gegevens en als we constateren dat die drie sporen zijn gelekt, raden we aan om een nieuw identiteitsbewijs aan te vragen."

Maar dan blijft er nog de rest van de gestolen 5 terabyte over.

"Daarom hebben we ook een groot team ingericht voor het checken, met interne en externe mensen. Het vormt zo ook een aanslag op onze medewerkers, in deze tijd van coalitieonderhandelingen. Het betekent dat sommige andere dingen een beetje vertraging oplopen."

Wat horen jullie van de raad?

"De raad is goed geïnformeerd, vanaf het begin, en die begrijpt dat het nodig is en dat we nog niet openbaar hierover kunnen debatteren."

Het laatste bericht op de gemeentesite over de hack is van 20 april en de laatste update daarin is van 23 april. Is dat niet een te lange stilte?

"We hebben gekozen voor een maatgerichte aanpak, waarbij we uitzoeken wie er risico loopt en die groepen informeren we. Afgelopen week hebben we de eerste groep aangeschreven. Dat waren zo’n honderd mensen."

Was het te voorkomen?

"Het echt antwoord zullen we misschien nooit weten. Maar een beter antwoord dan wat ik nu heb wel, als het eerste onderzoeksrapport komt. Deze zal naar verwachting eind mei klaar zijn. Voor zover wij nu kunnen zien kan het iedereen overkomen. Er is gewoon een hele hoop van ons gestolen en dat voelt heel naar. Iemand is bij ons binnen geweest en heeft dingen gestolen."

Wat had u anders willen doen?

"Ik zou willen dat ik eerder was uitgegaan van een worstcasescenario. Het begon op 1 april en we wisten pas later dat er gegevens waren gestolen. Weer later wisten we dat gegevens op het dark web waren beland. Met de kennis van nu zou ik zeggen: het is mogelijk dat gegevens te koop worden aangeboden op het dark web. Wat te doen?"