E18 Vervolg hack IJmond Werkt!.pdf

GEMEENTE VELSEN Collegebericht Weeknummer: 41 Datum vergadering Zaaknummer Portefeuillehouder(s) Bijlagen

12-10-2021 121961-2021 M. Steijn

Ambtenaar Telefoonnr. E-mailadres

E. Bijl 0255-567211 ebijl@velsen.nl

-

Onderwerp: Vervolg hack IJmond Werkt!

Geachte leden van de raad, Eerder bent u via een collegebericht op 28 september geïnformeerd over de hack bij IJmond Werkt!. Op dat moment waren wij nog in afwachting van het rapport van Fox-IT, het bedrijf dat onderzoek heeft gedaan naar de hack. Het rapport van Fox-IT is inmiddels binnen. In dit collegebericht informeren wij u over de hoofdlijnen van dit rapport. Wat blijkt er uit het rapport? Het rapport bevestigt de eerdere vermoedens dat enkele systemen van IJmond Werkt!, waaronder de fileserver, zijn getroffen door een aanval met gijzelsoftware. Het betreft specifiek de CONTIransomeware. Fox-IT geeft aan dat het moeilijk is om veel details over de hack te achterhalen, omdat veel logbestanden niet (meer) beschikbaar zijn. Logbestanden houden alle gebeurtenissen in een proces bij. Mede debet hieraan is het versleutelen van de systemen door de hackers. Nieuw is dat Fox-IT heeft achterhaald dat er eerder een inbreuk (lees: hack) op de systemen van IJmond Werkt! heeft plaatsgevonden. Er zijn eerdere sporen van een ongeoorloofde toegang op 4 april 2020 en 29 juni 2021. Het is niet duidelijk of deze incidenten met elkaar samenhangen, en of het dezelfde hackers betreft. IJmond Werkt! heeft Fox-IT gevraagd of het haalbaar is om een vervolgonderzoek naar de omvang van deze eerdere hacks te doen. Op 30 augustus 2021 lijkt de uiteindelijke aanval met gijzelsoftware te zijn gestart.

Op de systemen van IJmond Werkt! is gevonden dat er op 30 augustus 2021 toegang is geweest tot de “MEGA” cloudstorage. Dat is een online-opslagdienst zoals OneDrive en Dropbox. Hier zijn waarschijnlijk bestanden mee geüpload die zijn gepubliceerd op het darkweb. Op 5 september 2021 is versleutelingssoftware geïnstalleerd. De hackers hebben de hoogste rechten (adminrechten) in het systeem verkregen. Oorzaak van de hack en aanbevelingen Het rapport geeft geen definitieve uitsluitsel over hoe de hackers naar binnen zijn gekomen. Mogelijk komt het door een combinatie van niet sterke wachtwoorden en het ontbreken van een beveiliging met een twee-factorauthenticatie. Daarbij is naast het inloggen met een wachtwoord bijvoorbeeld ook een code op een telefoon ter bevestiging nodig. Het clientvolgsysteem, dat niet gehackt is, heeft zo’n twee-factorauthenticatie wel. De aanbeveling van Fox IT is om dit voor het nieuw op te bouwen netwerk ook door te voeren. Is er al meer bekend over de bestanden op het darkweb? Zoals aangegeven in de vorige raadsmemo heeft de hackersgroep informatie gepubliceerd op het darkweb, verdeeld over drie bestanden. De Informatiebeveiligingsdienst (IBD) van de VNG heeft aanwijzingen dat het gaat om alle informatie die de hackers buit hebben gemaakt. Het gaat niet om alle informatie die op de fileserver aanwezig was en versleuteld is door de hackers.1

1 Er is ca. 85 GB aan gecomprimeerde bestanden gepubliceerd, terwijl er op de server ca. 1000 GB aan

bestanden stonden.

GEMEENTE VELSEN Het downloaden van de bestanden over het darkweb gaat heel traag. Het is daardoor nog niet gelukt om (een deel van) de gepubliceerde bestanden te onderzoeken. Maar daarom is het ook niet waarschijnlijk dat het andere personen wel lukt om deze bestanden te downloaden. Fox-IT blijft proberen om deze bestanden te downloaden zodat de inhoud kan worden onderzocht. Het is ook heel lastig om de bestanden offline te laten halen. Dat heeft te maken met de manier waarop het darkweb is opgebouwd. Wie beschikken er over het rapport? De IBD van de VNG heeft het rapport eerst doorgenomen vanwege de vrees dat mogelijk gemeentelijke netwerken waren gecompromitteerd. Dit bleek niet het geval. Daarna is de rapportage ter beschikking gesteld aan alle CISO’s (Chief Information Security Officer) en de Functionarissen Gegevensbescherming van de deelnemende gemeenten. De rapportage is ook aan de Autoriteit Persoonsgegevens gestuurd. Het (technische) rapport van Fox IT is niet bijgevoegd bij dit raadsmemo, om te voorkomen dat derden inzicht krijgen in de netwerkstructuren van IJmond Werkt!. Wij kunnen ons voorstellen dat u vanwege uw controlerende rol wel behoefte heeft om het rapport te lezen. Wij willen raadsleden daarom de gelegenheid geven om het rapport in te zien bij IJmond Werkt!. U kunt hiervoor een email sturen naar info@ijmondwerkt.com.

Hoe is de communicatie verlopen richting (oud-)medewerkers en (oud-)deelnemers aan trajecten? In het vorige collegebericht informeerden wij u al over de brief die wij oud-medewerkers en oud deelnemers hebben gestuurd. Ook hebben wij een callcenter opgericht voor vragen over de hack, dat callcenter is tot 15 oktober operationeel. Ongeveer 20 mensen per dag bellen met vragen over de hack. Op de website van IJmond Werkt is het antwoord op de meestgestelde vragen te vinden: https://www.ijmondwerkt.com/2021/10/04/uitbreiding-veelgestelde-vragen-30-9/ Hoe pakt IJmond werkt! de heropbouw aan? Om ervoor te zorgen dat de hackers niet opnieuw toegang krijgen zodra IJmond Werkt! weer helemaal in de lucht is, wordt er een hele nieuwe ICT-omgeving ingericht. Bij het inrichten van deze omgeving worden de aanbevelingen uit het rapport van Fox-IT meegenomen om herhaling te voorkomen. Daarnaast ondersteunt één van de CISO’s van de deelnemende gemeenten bij het plan om de ICT-infrastructuur van IJmond Werkt! opnieuw op te bouwen. Ook is het mogelijk nodig om een externe veiligheidsexpert in te schakelen. Om de dienstverlening te kunnen laten doorgaan zijn er veiligheidsmaatregelen ingevoerd om te zorgen dat het systeem niet weer gehackt wordt. Wat is onze rol in het vervolg? Het rapport heeft aan aantal vragen beantwoord, maar er staat ook nog een aantal vragen open.

Zoals aangegeven vragen we Fox-IT nog om de haalbaarheid van een vervolgonderzoek naar de eerdere inbreuken. Daarnaast blijven we proberen om de op het darkweb gepubliceerde bestanden te bemachtigen. Zodra de bestanden zijn gedownload zal de inhoud worden onderzocht. Aan de hand van de gepubliceerde inhoud worden aanvullende maatregelen genomen om de impact op de (oud-)cliënten en (oud-)medewerkers van IJmond Werkt! zo klein mogelijk te maken. De deelnemende gemeenten ondersteunen IJmond Werkt! bij het nemen van deze stappen en houden vinger aan de pols, onder andere bij de evaluatie van de hack. Dat gebeurt niet meer via het tijdelijk ingestelde kernteam waarover wij u eerder informeerden maar via het dagelijks bestuur en algemeen bestuur van IJmond Werkt!.