Pro Persona, aanbieder van specialistische geestelijke gezondheidszorg (ggz) in Gelderland, is slachtoffer van een hack. Daardoor zijn de persoonsgegevens van honderden psychiatrische patiënten in handen van cybercriminelen gevallen. In een aantal gevallen zijn ook gegevens over diagnoses gelekt.
Vier medewerkers van deze grote ggz-instelling trapten onlangs in een phishing mail, zo meldt RTL Nieuws. Die mail leek op een interne mail waarin werd gewaarschuwd voor een volle inbox. De cybercriminelen hadden vervolgens een nacht lang toegang tot de mailboxen van de medewerkers.
Een woordvoerder van Pro Persona bevestigt de hack. Volgens hem werden de mails vlak voor kerst ‘s avonds om negen uur verstuurd. In de vroege ochtend zou de firewall de inbraakpoging hebben herkend. ‘Toen is alles meteen dichtgezet. Alle links zijn meteen doorgesneden, waardoor via die mail niet naar binnengekomen kon worden’, aldus de woordvoerder tegenover De Gelderlander. De schade is naar eigen zeggen ‘zeer beperkt gebleven’. Overigens heeft Pro Persona de lek aangemeld bij de Autoriteit Persoonsgegevens. De cliënten zijn op de hoogte gesteld.
klink toch een beetje als het vragen en krijgen van email credentials.
maar nu is de firewall dichtgezet 😛
Een phishing mail gaat om de social engineering, een vorm van hacken waar technische maatregelen weinig tegen kunnen doen. Dat hierdoor de gegevens van honderden patiënten in handen gevallen zijn van hackers is één punt van zorg maar de grootste zorg gaat volgens mij toch uit naar het risico van ransomware. Cybercriminelen zien een lucratief verdienmodel hierin omdat ze hiermee snel en makkelijk geld kunnen verdienen. Het afpersen van psychiatrische patiënten is alleen interessant als deze toevallig minister-president is, effect van chantage vervalt als je open kaart speelt.
Op 14 februari 2020 een ILOVEYOU e-mail sturen met daarin ransomware kent een grote mate van succes want als organisatie kun je heel weinig doen tegen social engineering. En als cybercriminelen maar één nacht toegang hadden tot de mailboxen van medewerkers dan heeft Pro Persona adequaat gehandeld, het SOC verdient geen hoon maar een pluim omdat ik organisaties ken waar veel minder snel gereageerd wordt op een hack.