First click here and then choose your language with the Google translate bar at the top of this page ↑

Het aantal cyberaanvallen op Nederlandse gemeenten is het afgelopen jaar fors toegenomen. De Informatiebeveiligingsdienst van de Vereniging Nederlandse Gemeenten (VNG) registreerde 300 dit jaar al cyberincidenten, een verdubbeling van het aantal meldingen ten opzichte van 2021. Verder ontving de IBD 3.000 verzoeken om hulp.

Nederlandse gemeenten steeds vaker doelwit

Nederlandse gemeenten zijn steeds vaker het doelwit van hackers. Uit cijfers van de IBD blijkt dat ze steeds vaker het doelwit zijn van ransomware-aanvallen. Daarbij weten hackers in te breken op de interne systemen van een bedrijf of organisatie en versleutelen ze zoveel mogelijk bestanden. Deze worden, bij wijze van spreken, achter slot en grendel geplaatst zodat niemand er iets mee kan. Tenzij je beschikt over de decryptie- of decoderingssleutel. Deze overhandigen de aanvallers echter pas zodra het slachtoffer losgeld betaalt.

Het overkwam de gemeente Buren. De Gelderse gemeente was het slachtoffer van een ransomware-aanval. De inbrekers wisten naar verluidt 5 TB aan gegevens over de gemeente en haar burgers buit te maken. In totaal ging het om zo’n 730.000 bestanden en ruim 1.300 kopieën van identiteitsbewijzen. De aanvallers zetten 130 GB aan data online op het darkweb. Uit onderzoek van Hunt & Hackett bleek dat de hackers via een gelekt wachtwoord van een VPN-account wisten binnen te dringen.

Hackers deinzen er niet voor terug om privacygevoelige informatie van gemeenten, medewerkers en burgers op internet te publiceren. “Deze dreiging voor gemeenten past in een landelijk beeld van toenemende scheefgroei tussen dreiging en weerbaarheid dat de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) onlangs publiceerde”, zo schrijft de Informatiebeveiligingsdienst in haar rapport.

Meer incidenten

Naast een stijging in het aantal ransomware-aanvallen, ziet de IBD nog meer gevaren voor Nederlandse gemeenten. Onderzoekers zien steeds vaker dat er ernstige fouten in software zitten. Deze kunnen misbruikt worden door hackers. In 2021 signaleerde de IBD 1.841 kwetsbaarheden. De exploit die de meeste aandacht kreeg, was Log4j. Hierdoor moesten wereldwijd tienduizenden softwarepakketten worden aangepast en bijgewerkt.

Tot slot constateert de Informatiebeveiligingsdienst dat gemeenten bij samenwerking met externe partijen niet altijd voldoende aandacht besteden aan informatiebeveiliging en privacy. “Gemeenten zijn in de afgelopen twee jaar regelmatig geconfronteerd met incidenten die ontstaan zijn bij derden, waarbij de gevolgen in de eigen gemeente merkbaar waren”, zo zegt de IBD.

“Wij zien dat gemeenten informatiebeveiliging en gegevensbescherming belangrijk vinden. Zij zetten voortdurend stappen om de informatiebeveiliging op een hoger niveau te krijgen”, zo constateert Nausikaä Efstratiades, hoofd van de IBD. Maar de dreiging neemt volgens haar zo snel toe, dat er meer nodig is om het groeiende gat te dichten. “Als gemeenten hun weerbaarheid niet verhogen zal de toenemende, steeds professionelere dreiging in combinatie met de steeds verdergaande digitalisering, leiden tot meer incidenten.”

Een verdubbeling

Tegenover de NOS vertelt Efstratiades dat er vorig jaar 150 meldingen van beveiligingsincidenten waren bij Nederlandse gemeenten. Dit jaar staat de teller al op 300. “De situatie is ernstig en vraagt om actie”, zo zegt het hoofd van de IBD.

Daarnaast kreeg de Informatiebeveiligingsdienst afgelopen jaar 3.000 hulpverzoeken van Nederlandse gemeenten. 10 procent daarvan had te maken met een beveiligingsprobleem, zoals een ransomware-aanval.

In het onderzoek komt naar voren dat gemeenten zich niet altijd bewust zijn van welk type data zij dienen te beschermen. Om die reden zou er te weinig aandacht zijn voor de beveiliging ervan. Informatiebeveiliging wordt bovendien vaak gezien als een (onnodige) kostenpost. “De kosten voor preventieve maatregelen staan in geen verhouding tot de kosten van een incident. Die lopen al gauw op tot tonnen of miljoenen euro’s”, zo schrijven de onderzoekers.

Ze wijzen er echter wel op dat beveiligings- en privacyincidenten het vertrouwen van burgers in de lokale overheid en haar bestuurders schaden.

De volledige analyse van het onderzoek kunt u hier onder bekijken of downloaden.