Blackbaud, een van de grootste leverancier van CRM-software ter wereld, heeft zijn handen vol. Het bedrijf wordt in 23 zogeheten class-action lawsuits aangeklaagd voor de ransomware-aanval die tussen februari en mei van dit jaar plaatsvond. Tevens ontving ze 160 vorderingen van advocaten die betrekking hebben op de cyberaanvallen. De gedupeerden claimen dat ze schade hebben ondervonden van de aanvallen.
Dat maakt Blackbaud bekend bij de presentatie van de kwartaalcijfers over het derde kwartaal, zo meldt BleepingComputer.
Blackbaud slachtoffer van ransomware-aanvallen
Blackbaud is een bedrijf dat toepassingen voor Customer Relation Management (CRM) levert aan onderwijsinstellingen en non-profitorganisaties. Met deze software verwerken en onderhouden organisaties gegevens van alumni, donateurs en andere relaties. Met deze applicaties wordt veel gevoelige data beheerd, waaronder persoons-, contact- en betaalgegevens. Blackbaud bespaart kosten noch moeite om deze data te beschermen.
Ondanks alle beveiligingsmaatregelen ging het in februari en mei mis. Blackbaud werd toen getroffen door een ransomware-aanval. Bij dit type aanval worden bestanden op slot gegooid zodat medewerkers van de organisatie ze niet langer kunnen raadplegen. Om de druk verder op te voeren dreigden de daders de gestolen data met de buitenwereld te delen. Blackbaud legde een onbekend bedrag aan losgeld op tafel om dit te voorkomen. Volgens het bedrijf zijn er geen kopieën van de gestolen data in omloop.
Daders stelen persoonsgegevens en wachtwoorden
Half juli bracht Blackbaud gedupeerde klanten op de hoogte van de aanval. Klantgegevens van diverse non-profitorganisaties, liefdadigheids- en onderwijsinstellingen in de Verenigde Staten, Canada en het Verenigd Koninkrijk kwamen hierdoor op straat te liggen. Ook in ons land vielen slachtoffers te betreuren. De hackers wisten gegevens van tienduizenden alumni en donateurs buit te maken van de Universiteit Utrecht en TU Delft. Lichtpuntje is dat de daders een oud back-upbestand met persoonsgegevens, contactgegevens en opleidings- en loopbaangegevens hadden weten te bemachtigen en geen actuele data.
Alsof dat nog niet genoeg was, zijn er ook onversleutelde gegevens buitgemaakt. Het gaat om bankrekeningnummers, burgerservicenummers, gebruikersnamen en wachtwoorden. Bij hoeveel klanten dat het geval is houdt Blackbaud in het midden. Wel zegt het bedrijf klanten, aandeelhouders en stakeholders op de hoogte te houden van de laatste ontwikkelingen.
Blackbaud bedolven onder rechtszaken
Daarmee is de zaak allerminst afgedaan. In de meest recente kwartaalcijfers schrijft Blackbaud dat ze genoemd wordt in 23 class-action lawsuits. In alle gevallen claimen de aanklagers dat ze schade hebben ondervonden door de ransomware-aanval bij Blackbaud. De CRM-leverancier schrijft in de verantwoording van de kwartaalcijfers daarover het volgende:
“De eisers in deze gevallen, die beweren dat zij verschillende klassen van individuele kiezers van onze klanten vertegenwoordigen, beweren in het algemeen dat zij schade hebben geleden door vermeende acties en/of nalatigheden van ons in verband met het veiligheidsincident en beweren dat zij een verscheidenheid aan gewoonterechten en wettelijke vorderingen hebben ingediend met het oog op geldelijke schade, dwangmiddelen, kosten en honoraria van advocaten, en andere gerelateerde zaken.”
Naast de 23 class-action lawsuits ontving Blackbaud tevens 160 vorderingen van Amerikaanse, Canadese en Britse advocaten. Een groot aantal instanties -waaronder de Federal Trade Commission (FTC), het Amerikaanse ministerie van Volksgezondheid, de Britse Information Commissioner’s Office (ICO), de Australian Information Commissioner en de privacycommissaris van Canada- hebben brieven gestuurd waarin ze om meer opheldering en inlichtingen vragen.
Cyberaanval kost Blackbaud miljoenen dollars
De ransomware-aanval heeft Blackbaud tot nu toe miljoenen gekost. Naast een onbekend bedrag aan losgeld heeft het bedrijf in het derde kwartaal 3,6 miljoen dollar uitgegeven in de nasleep van het veiligheidsincident, en nog eens 2,9 miljoen dollar aan verzekeringsgelden. In de maanden daarvoor was het bedrijf al 6,1 miljoen dollar kwijt aan de cyberaanval.
