Wat kunnen organisaties leren van de ransomware-aanval op de Koninklijke Nederlandse Voetbalbond (KNVB)? Bij die aanval door de Russische hackersgroep Lockbit werden in april 2023 de salarisgegevens van profvoetballers buitgemaakt. Directeur van ict-beveiliger Eset, Dave Maasland, spreekt op 29 mei tijdens het congres Cybersec Europe over dit ‘keerpunt’ in de digitale veiligheid van de sportsector.
Op ons verzoek deelt Maasland een aantal hoofdpunten van zijn presentatie. Hij gaat het hebben over het belang van transparantie en openheid rondom grote cyberaanvallen. Volgens Maasland schoot de KNVB tekort in de communicatie naar mogelijke slachtoffers van de aanval. ‘Bij de grootste sportbond van Nederland en bij betaaldvoetbalclubs ligt de nadruk op prestaties op het veld. Tegelijkertijd verschuift de focus naar andere belangrijke aspecten, zoals maatschappelijke betrokkenheid en cyberveiligheid’, stelt Maasland. Schoot de aandacht die organisaties hadden voor de beveiliging van digitalisering en bijvoorbeeld spelersdata voorheen tekort, dat is volgens Maasland nu aan het veranderen.
Bij voetbalclubs spelen er ook gevaren rondom de vermenging van de fysieke en digitale risico’s. Bijvoorbeeld bij wedstrijden. ‘In een stadion zijn duizenden mensen bij elkaar. Als bijvoorbeeld de ict achter het toegangssysteem of de kassa’s uitvalt, kan er een groot veiligheidsrisico ontstaan’. Hij noemt tijdens zijn presentatie een voorbeeld uit de VS waar tijdens het jaarlijkse American football-spektakel Superbowl aanvallen plaatsvonden op de watervoorziening van een stadion waar op dat moment 70.000 toeschouwers zaten.
Sparta
Maasland is naast ceo van Eset Nederland ook commissaris bij de Rotterdamse profclub Sparta. In die rol heeft hij het onderwerp digitalisering in zijn portefeuille. Zo kreeg hij ook als ‘klant’ met de cybercrisis van de KNVB te maken. De criminelen kregen ook de data van spelers van die club in handen. De cybercrisis bij de KNVB is bezworen door Fox-IT. Maasland is dus niet direct betrokken bij het incident en blijft liever weg bij de technische details. Hij richt zich vooral op de beeldvorming en de schuldvraag die rondom de ransomware-aanval ontstond. In het geval van de KNVB, een bond met een grote naamsbekendheid en waar iedereen wat van vindt. Maasland stelt dat ‘achttien miljoen bondscoaches’ hun mening klaar hebben over hoe de voetbalbond met de situatie is omgegaan. ‘En hoe spring je daar als organisatie dan mee om?’
Gevolgen voor spelers
Ook wijst hij op de situatie bij de KNVB waarin feitelijk alle data in de systemen van vip’s zijn en diefstal en gijzeling van die gegevens grote gevolgen kunnen hebben voor individuele spelers. Maasland ziet in het betaald voetbal veel ciso’s worstelen met de vraag hoe ze de businesscase voor ict-beveiliging rondkrijgen. Bestuurders van clubs en de bond zijn vaak gericht op de prestaties op het veld en hebben geen idee wat een zwakke plek in hun cyberverdediging voor implicaties heeft. En zo trekt Maasland opnieuw een parallel tussen het gras en de ict-beveiliging.
Hij ziet dat de adoptie van technologie in het voetbal in een stroomversnelling is geraakt. Er worden steeds meer systemen gebruikt om data van spelers te verwerken en de prestaties van individuele spelers en het team te verbeteren. Ook in en rond stadions speelt digitalisering een steeds grotere rol. Maar die ontwikkelingen lopen niet altijd in de pas met de ict-beveiliging. ‘Als de aandacht voor cybersecurity achterloopt, kan dit uiteindelijk ook de prestaties op het veld raken’, stelt Maasland. Hij heeft zijn verhaal zo opgebouwd dat de geleerde lessen uit de KNVB-crisis ook handvatten hebben voor security-betrokkenen die in andere sectoren actief zijn.
De presentatie ‘From Scoring Goals to Securing Data: How the KNVB Cyber Crisis Became A Game Changer in Sports Security’, vindt woensdag 29 mei plaats tussen 12.25-12.45 uur op het hoofdpodium van Cybersec Europe in Brussels Expo. Meld u hier aan voor deze presentatie of één van de andere keynotes op 29 en 30 mei. De toegang is gratis.
