De Autoriteit Persoonsgegevens (AP) meet opnieuw een explosieve toename van het aantal meldingen van datalekken door cyberaanvallen. Dat blijkt uit de ‘Rapportage Datalekken 2021’ die AP-voorzitter Aleid Wolfsen deze week naar de Tweede Kamer stuurde.
Het aantal datalekken verdubbelde in 2021 bijna ten opzichte van het jaar daarvoor. In totaal kreeg de AP vorig jaar bijna 25.000 datalekmeldingen. Hiervan was 9% de oorzaak van cyberaanvallen. Vorig jaar was dat 5%. Het afgelopen jaar zag de AP bij 7.000 datalekmeldingen een hoog risico. Naar 36 hiervan is de AP een onderzoek gestart, waarvan 14 gericht op IT-leveranciers.
Datalekken
Van de 24.866 meldingen die de AP binnenkreeg in 2021 kwam 37 procent van de sectoren gezondheid en welzijn. Dat zijn in totaal 9.200 meldingen in de zorgsector. Het aantal meldingen in die sector stijgt ook. Vorig jaar waren dat bijna 7.200 meldingen.
Ook het aantal datalekken bij IT-leveranciers groeit. Op basis van de datalekmeldingen schat de AP in dat cyberaanvallen bij IT-leveranciers het afgelopen jaar minimaal 7 miljoen slachtoffers hebben gemaakt. Met grote risico’s, ook als er alleen namen en e-mailadressen zijn buitgemaakt. Gestolen persoonsgegevens kunnen in combinatie met eerder gelekte informatie gebruikt worden om toegang te krijgen tot gebruikersaccounts bij bijvoorbeeld banken of webshops.
Wolfsen: “Vorig jaar luidden wij de noodklok al toen het aantal datalekken door datadiefstal met 30% was toegenomen. Maar in onze meest recente meting ging het aantal van dit soort meldingen door het dak en steeg met 88%, dus bijna het dubbele. We zien daarbij dat criminelen zich steeds vaker richten op IT-leveranciers. Die leveren bijvoorbeeld op maat gemaakte software, digitale werkplekken of opslagruimte aan organisaties. Er zijn bij die leveranciers heel veel persoonsgegevens van meerdere organisaties op één plek, waardoor zij een gewild doelwit zijn.”
Impact cyberaanvallen
Grootschalige cyberaanvallen hebben een grote impact op de bedrijfsvoering van organisaties. Bedrijven komen vaak helemaal stil te liggen. Zo kan een ransomware-aanval op een webwinkel tot gevolg hebben dat er weken geen producten meer verkocht kunnen worden.
De AP ziet vaak dat getroffen organisaties dan eerst de systemen herstellen. En pas veel later de mensen achter de persoonsgegevens op de hoogte brengen. Waardoor de schade nóg groter kan worden, omdat de slachtoffers zichzelf dan ook pas veel later kunnen beschermen tegen de gevolgen.
Uit het rapport blijkt ook dat organisaties die losgeld betalen om hun data na een ransomware-aanval terug te krijgen, slachtoffers vaak niet informeren over het datalek. Als reden geven ze aan dat door het betalen van losgeld aan de hackers is voorkomen dat persoonsgegevens verder worden verspreid, omdat hackers daar toezeggingen over hebben gedaan.
Wolfsen: “Betalen van losgeld biedt geen enkele garantie dat de hackers de gegevens ook daadwerkelijk verwijderen en nooit doorverkopen. Daarom moeten organisaties datalekken door ransomware vrijwel altijd melden aan de AP en aan de slachtoffers. Dit soort gegevens kunnen criminelen ook misbruiken om heel gericht nieuwe spam- en phishingaanvallen uit te voeren. Waarna zij makkelijk spullen op iemands naam en rekening kunnen bestellen of spaarrekeningen kunnen leeghalen.”
Bij cyberaanvallen maken hackers bovendien vaak data buit die organisaties onnodig verzameld of te lang bewaard hebben. Wolfsen: “Organisaties zouden veel kritischer moeten zijn op de hoeveelheid persoonsgegevens die ze bijhouden. Wat je niet opslaat, kan ook niet worden gestolen. Veel schade kun je zo gemakkelijk voorkomen.”
Lees ook:
- Werklast datalekken bij gemeenten bron van frustraties
- Executives Guide: Penetration Testing and Ethical Hacking
