Het aantal datalekken door cyberaanvallen is afgelopen jaar bijna verdubbeld ten opzichte van het jaar daarvoor. De Autoriteit Persoonsgegevens (AP) spreekt van een explosieve toename.
Dit blijkt uit de ‘Rapportage Datalekken 2021’, die door AP-voorzitter Aleid Wolfsen naar de Tweede Kamer is gestuurd. In totaal zijn afgelopen jaar bijna 25.000 datalekken gemeld bij de AP. 9% ontstond door een cyberaanval. Dat was vorig jaar nog 5%.
“Vorig jaar luidden wij de noodklok al toen het aantal datalekken door datadiefstal met 30% was toegenomen. Maar in onze meest recente meting ging het aantal van dit soort meldingen door het dak en steeg met 88%, dus bijna het dubbele”, zegt Wolfsen. “We zien daarbij dat criminelen zich steeds vaker richten op IT-leveranciers. Die leveren bijvoorbeeld op maat gemaakte software, digitale werkplekken of opslagruimte aan organisaties. Er zijn bij die leveranciers heel veel persoonsgegevens van meerdere organisaties op één plek, waardoor zij een gewild doelwit zijn.”
Herstel van bedrijfsvoering krijgt vaak prioriteit
De AP wijst op de impact die grootschalige cyberaanvallen hebben op de bedrijfsvoering. Zo kan een webwinkel door een ransomware-aanval soms wekenlang geen producten meer verkopen. Vaak herstellen getroffen organisaties eerst de systemen, en informeren later pas de mensen achter de persoonsgegevens. De toezichthouder waarschuwt dat de schade hierdoor nog groter kan worden, omdat slachtoffers zich pas later kunnen beschermen tegen de gevolgen.
Bedrijven die losgeld betalen na ransomware om data terug te krijgen, informeren slachtoffers vaak niet. Als reden geven zij vaak op dat het betalen van het losgeld voorkwam dat de persoonsgegevens verder zijn verspreid en dat de aanvallers hierover toezeggingen hebben gedaan. Wolfsen: “Het betalen van losgeld biedt geen enkele garantie dat de hackers de gegevens ook daadwerkelijk verwijderen en nooit doorverkopen. Daarom moeten organisaties datalekken door ransomware vrijwel altijd melden aan de AP en aan de slachtoffers.”
Minimaal 7 miljoen slachtoffers
De AP schat dat minimaal 7 miljoen slachtoffers zijn gemaakt door cyberaanvallen op IT-leveranciers in het afgelopen jaar. Gestolen informatie kan worden gebruikt in combinatie met eerder uitgelekte informatie, bijvoorbeeld om toegang te krijgen tot gebruikersaccounts bij banken en webshops. Wolfsen: “Dit soort gegevens kunnen criminelen ook misbruiken om heel gericht nieuwe spam- en phishingaanvallen uit te voeren. Waarna zij makkelijk spullen op iemands naam en rekening kunnen bestellen of spaarrekeningen kunnen leeghalen.”
Ook concludeert de AP dat bij cyberaanvallen nog vaak data wordt buitgemaakt die onnodig is verzameld of te lang is bewaard. “Organisaties zouden veel kritischer moeten zijn op de hoeveelheid persoonsgegevens die ze bijhouden. Wat je niet opslaat, kan ook niet worden gestolen. Veel schade kun je zo gemakkelijk voorkomen”, zegt Wolfsen.
36 onderzoeken
Het afgelopen jaar zag de AP bij 7.000 datalekmeldingen een hoog risico. Naar 36 gevallen is een onderzoek gestart. 14 hiervan zijn gericht op IT-leveranciers. “Het is met ons budget en onze bezetting onmogelijk om iedere melding met een hoog risico grondig te onderzoeken. We zijn genoodzaakt om keuzes te maken”, besluit Wolfsen.
Petra Claessen, CEO van BTG en BTG Services: “Adequate databeveiliging en het tegengaan van datalekken is van cruciaal belang. Niet alleen met het ook op compliance met wet- en regelgeving, maar ook met het oog op het vertrouwen van (potentiële) klanten. Het is dan ook zorgwekkend dat het aantal datalekken door cyberaanvallen explosief stijgen. De rapportage van de Autoriteit Persoonsgegevens laat zien dat hoewel veel bedrijven hun beveiliging actief op peil houden, er ook ruimte is voor verbetering in de wijze waarop organisaties met datalekken omgaan. Zo melden partijen datalekken in sommige gevallen niet op tijd en ligt de prioriteit soms vooral bij het herstellen van de bedrijfsvoering in plaats van informeren van betrokkenen. BTG roept dan ook op tot meer aandacht voor het tegengaan en tijdig melden van datalekken, wat het vertrouwen van klanten kan vergroten.”