Gehackt lab In Rijswijk betaalt losgeld: ook data minister én een Kamerlid buitgemaakt

De hack trof vooral vrouwen die deelnamen aan het bevolkingsonderzoek naar baarmoederhalskanker. In totaal gaat het om 485.000 vrouwen, van wie namen, adressen, burgerservicenummers en medische uitslagen zijn buitgemaakt. Dat zijn gegevens van mensen die een uitstrijkje of zelftest deden, maar ook van patiënten die bij hun huisarts of in het ziekenhuis andere onderzoeken lieten doen, zoals urine-, huid-, penis-, anus- of wondvochtonderzoek.

Alsof dat nog niet erg genoeg was, ontdekte RTL Nieuws dat er in de eerste dump van 53.516 patiëntendossiers zelfs gegevens zaten van een minister én een Kamerlid. Nova zegt dat dit nog maar het topje van de ijsberg is. Volgens hen ligt er in totaal 300 gigabyte aan buitgemaakte data klaar.

Over het losgeldbedrag wordt gezwegen. Cybercriminelen zouden miljoenen hebben geëist, maar het precieze bedrag blijft binnenskamers. Een bron bij Clinical Diagnostics zegt: “Daar doen wij geen publieke uitspraken over. Alle getroffen personen worden persoonlijk per brief in de komende weken geïnformeerd.” Op de website hint het lab er wel naar dat er is betaald: “We hebben op dit moment geen indicaties dat de aanvaller zal overgaan tot het lekken van de gekopieerde gegevens.”

Cybersecurity-expert Rickey Gevers noemt de kans “extreem groot” dat de data wordt verwijderd en niet verder wordt gepubliceerd: “Deze criminelen hadden veel meer gegevens en hebben maar een klein deel gepubliceerd om de druk op te voeren, en met succes.”

Opvallend genoeg staat de eerder gelekte set van 53.516 dossiers nog steeds online. Gevers vindt dat slordig: “Alles wat de afgelopen dagen is gebeurd, had gewoon voorkomen kunnen worden door duidelijke afspraken te maken met de cybercriminelen. Het voelt amateuristisch aan; een deel van de schade is al aangericht.” Toch begrijpt hij de keuze om te betalen: “Het gaat hier daadwerkelijk om zeer gevoelige data en medische gegevens, en die zijn heel veel waard.”

Nova is nog maar sinds maart actief, maar heeft al 34 organisaties gehackt. In Italië legde de groep de gemeente Pisa plat en stal daar 100 gigabyte aan data. Toen de overheid weigerde 2 miljoen dollar te betalen, werd alles gewoon online gegooid. Waar Nova precies vandaan komt, blijft gissen, maar kenners wijzen vaak naar Rusland of andere voormalige Sovjetlanden.

Deze zaak laat pijnlijk zien hoe kwetsbaar medische data zijn, en hoe snel een organisatie voor een duivels dilemma komt te staan: betalen en hopen dat de schade stopt, of weigeren en alles op straat zien belanden.