De gemeente Hof van Twente, twee jaar geleden slachtoffer van een hack die de ict-systemen lamlegde, eist vier miljoen schadevergoeding van Switch IT Solutions. De it-dienstverlener uit Enschede, onderdeel van het Zweedse Dustin, wordt verweten een wanprestatie te hebben geleverd.
De kwestie is nu onder de rechter. Die heeft beide partijen verzocht om in de komende vier weken tot een schikking te komen. De advocaat van Switch voerde aan dat de gemeente zelf ook boter op het hoofd heeft. Een ambtenaar van de gemeente veranderde vlak voor de aanval met ransomware het wachtwoord van het beheerdersaccount in 'Welkom2020'. Eerder al had de eigen systeembeheerder van de gemeente het nodig gevonden om een regel in de firewall aan te passen. De poort naar buiten kwam daardoor open te staan. Mede door deze blunders konden de hackers gemakkelijk bij de gemeente binnendringen en hun vernietigende werk verrichten.
De rechter liet tijdens de zitting duidelijk merken het wachtwoordbeleid van de gemeente af te keuren. Maar de gemeente vindt dat Switch voor de slechte beveiliging had moeten waarschuwen. Hof van Twente voelt zich gesterkt door een rapport van onderzoeker Brenno de Winter die eerder stelde dat Switch voor zover bekend nooit alarm heeft geslagen. De advocaat van de gemeente voerde aan dat Hof van Twente destijds blind vertrouwde op de it-provider. Aan de hack waren een jaar lang dagelijks vele tienduizenden pogingen tot inloggen voorafgegaan. Ook was malware geplaatst. Maar Switch reageerde hier niet op, aldus de advocaat van de gemeente.
Halve fte
De it-leverancier zegt niet te hebben geweten dat het wachtwoord was veranderd en de firewall was aangepast. Ook meent Switch dat de gemeente zelf de verantwoordelijkheid droeg voor de beheerdersrechten en de veiligheid van de systemen. Tijdens de hack was slechts een halve fte verantwoordelijk voor het systeembeheer van de gemeente. Wel had de gemeente een ambtenaar die zich ciso noemde, maar die was een vijfde van zijn tijd bezig met taken die bij die functie horen.
De gemeente waande zich in de maanden voor de ransomware-aanval veilig. Uit een pentest van Sogeti bleek immers niet dat er problemen speelden met de ftp-server. Forensisch onderzoek door NFIR evenwel legde tal van zwakten bij deze penetratietest van Sogeti bloot. Het was Sogeti niet opgevallen dat eerdergenoemde ftp-server wagenwijd openstond en dat daarop een kwetsbare versie van het remote desktop protocol draaide. Bovendien werd niet gewezen op de best practice om een netwerk te segmenteren. Daardoor konden de hackers gemakkelijk van het ene systeem naar het andere springen. Ook methodologisch rammelde een en ander.
Losgeld
De gemeente weigerde destijds de hackers een losgeld van 750.000 euro te betalen.
Volgens RTV Oost is Hof van Twente er nog steeds niet in geslaagd alle gemeentelijke systemen opnieuw op te bouwen. Inmiddels is de gemeente ruim 4,2 miljoen euro armer. Per inwoner zijn de kosten opgelopen tot 120 euro. Als Hof van Twente en Switch geen schikking weten te bereiken, behandelt de rechter de zaak op 27 december verder.
Lees ook