Privédata van oud-studenten TU Delft en UU in handen van afpersers

Bij de universiteit Delft gaat het om een verouderde back-up uit 2017 waar de persoonsgegevens van alumni op stonden, zoals naam, geslacht en geboortedatum. Ook de contactgegevens, mailadres, telefoonnummer en postadres, alsook opleidings- en loopbaangegevens, stonden op de server. In Utrecht kwamen via diens oude back-up uit 2017 ook persoonsgegevens van donateurs en relaties in handen van de hackers. Bankgegevens en wachtwoorden stonden niet in deze back-ups.

Aanval deels afgeslagen

De cyberaanval op Blackbaud vond plaats tussen 7 februari en 20 mei. De onderwijsinstellingen zijn op 16 juli hierover geïnformeerd door CRM-aanbieder Blackbaud. De TU Delft meldt vandaag dat het "onlangs is geïnformeerd door Blackbaud", en geeft daarbij de datum van 16 juli. "Naar onze informatie heeft dit incident een groot aantal onderwijsinstellingen wereldwijd geraakt, de TU Delft is daar één van."

Het gehackte IT-bedrijf meldt over het 'security-incident' dat het in mei dit jaar een ransomware-aanval heeft ontdekt en tegengehouden. Het cybersecurityteam van de firma heeft samen met onafhankelijke forensische experts en de politie kunnen voorkomen dat de aanvallers volledig succes boekten. Het blokkeren van systemen en het volledig versleutelen van data is voorkomen, meldt Blackbaud. Uiteindelijk zijn de hackers verdreven uit de IT-omgeving van het bedrijf, verzekert het hackslachtoffer.

Betaald voor datavernietiging

Voordat de cybercriminelen de pas is afgesneden, zijn ze er echter in geslaagd om een deel van de bij Blackbaud gehoste gegevens te kopiëren. Deze subset van de data betreft dus ook privégegevens van oud-studenten van de TU Delft en de Universiteit Utrecht (UU). Voor deze 'buit' hebben de afpersers wel betaling ontvangen, zo geeft Blackbaud aan in zijn melding van deze hack. De TU Delft meldt hierover: "Blackbaud heeft bevestiging ontvangen dat de betreffende back-up met data is vernietigd door de hackers en meldt dat er geen aanleiding is om aan te nemen dat de data door hen zijn verspreid."

De UU sluit zich hierbij aan. "Wij hebben geen reden om aan te nemen dat dat de cyberaanval specifiek op de Universiteit Utrecht of onze contacten gericht was. Daarom schatten wij de waarschijnlijkheid van eventuele risico’s voor de privacy van betrokkenen momenteel in als laag." De UU gaat nu de samenwerking met Blackbaud evalueren en "onderzoeken of dit incident resulteert in vervolgstappen richting Blackbaud".