Bijlage 1. 23-03-15 raadsinformatiebrief datadiefstal.pdf

Raadsinformatiebrief

Aan:

Behandeld door

De leden van de gemeenteraad van Amsterdam 15 maart 2023 Water Melanie van der Horst Bestuurlijke.zaken.Amsterdam@waternet.nl

Onderwerp

datadiefstal

Datum Portefeuille(s) Portefeuillehouder(s):

Geachte leden van de gemeenteraad, Op 23 februari 2023 heeft de politie bekend gemaakt dat er drie verdachten zijn aangehouden in onderzoek naar grootschalige internationale datadiefstal en datahandel. In maart 2021 startte de politie het onderzoek na aangifte van datadiefstal en chantage bij een groot Nederlands bedrijf. Uit het onderzoek bleek dat verschillende nationale en internationale bedrijven de afgelopen jaren slachtoffer zijn geworden van deze verdachten. Helaas is uit het onderzoek naar voren gekomen dat de website van de Amsterdamse Waterleidingduinen in 2021 ook slachtoffer is geworden van deze verdachten. De verdachten hebben via deze website gegevens gestolen. Het gaat om gegevens van personen die tussen 2015 en 2021 op deze website een aankoop hebben gedaan. Om deze data te kunnen stelen hebben de verdachten zeer waarschijnlijk misbruik gemaakt van een kwetsbaarheid in de website van de Amsterdamse Waterleidingduinen. Op 21 juni 2021 werd Waternet door een ethische hacker op de hoogte gebracht van het bestaan van deze kwetsbaarheid. Waternet heeft hierop direct actie ondernomen met als resultaat dat deze kwetsbaarheid op 22 juni 2021 is verholpen. De geconstateerde kwetsbaarheid had geen verband met andere aspecten van cybersecurity waar Waternet mee te maken had.

Voor zover nu bekend zijn er geen andere instellingen gelieerd aan de gemeente Amsterdam getroffen door deze datadiefstal. Om welke gegevens gaat het? Het gaat om persoonsgegevens die nodig waren voor de aankoop van toegangs- en parkeerkaarten via de website. In dit geval naam en rekeningnummer (IBAN). Wat betekent dit voor de gedupeerden? Hoewel de gestolen gegevens op zichzelf geen groot risico vormen, bestaat er een mogelijkheid dat er ook gegevens van de gedupeerden zijn gestolen bij andere bedrijven. De combinatie van deze gegevens bij elkaar zou wel een groot risico kunnen vormen.

Classificatie: Intern

Gemeente Amsterdam, raadsinformatiebrief

Datum 15 maart 2023 Pagina 2 van 2

Wat doet Waternet? Op woensdag 15 maart worden de gedupeerden geïnformeerd via een persoonlijke e-mail. De diefstal is gemeld bij de Autoriteit Persoonsgegevens en er wordt aangifte gedaan bij de politie. Waternet hecht grote waarde aan Cyber security en daarom betreurt de organisatie dat dit incident in 2021 heeft plaatsgevonden. Voor geen enkele organisatie bestaat de garantie op 100% veilig. Waternet heeft de afgelopen jaren grote stappen gezet om de cyber weerbaarheid van interne en externe omgevingen te vergroten. Zo zijn er nu processen voor het continue identificeren en mitigeren van kwetsbaarheden, waardoor we de aanvallers steeds een stap voor proberen te blijven. Dit moet vanzelfsprekend de aandacht blijven houden. Meer informatie Het officiële persbericht over de datadiefstal kunt u lezen op de website van de landelijke politie. Ik vertrouw erop u hiermee voldoende te hebben ingelicht. Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Melanie van der Horst Wethouder Water

Een routebeschrijving vindt u op amsterdam.nl