Blackbaud heeft een schikking getroffen met de procureurs-generaal uit 49 Amerikaanse staten om een einde te maken aan een zaak die al jaren sleept. Het gaat om een bedrag van 49,5 miljoen dollar. Naast dit compensatiebedrag moet het softwarebedrijf ook diverse aanvullende beveiligingsmaatregelen doorvoeren, waaronder het trainen van haar eigen medewerkers.
Dat schrijft BleepingComputer, die het schikkingsvoorstel heeft ingezien.
Blackbaud betaalt losgeld aan hackers na ransomware-aanval
Blackbaud is een softwarebedrijf dat CRM-applicaties levert aan de onderwijssector en non-profitorganisaties. Deze partijen gebruiken de software van het Amerikaanse techbedrijf om gegevens van klanten en organisaties te verwerken. Het gaat veelal om privacygevoelige en vertrouwelijke informatie, zoals persoons-, contact- en betaalgegevens.
Tussen 7 februari en 20 mei 2020 werd Blackbaud het slachtoffer van een ransomware-aanval. Daarbij werden digitale bestanden versleuteld zodat medewerkers ze niet langer konden openen of bewerken. De daders dreigden de buitgemaakte gegevens openbaar te maken en aan de hoogste bieder te verkopen. Om dat te voorkomen betaalde Blackbaud een onbekend bedrag aan losgeld.
Blackbaud informeert ruim 13.000 klanten over datalek
Half juli, bijna twee maanden nadat het datalek aan het licht kwam, bracht Blackbaud gedupeerde klanten op de hoogte van de gebeurtenissen. Klantgegevens van zo’n 13.000 non-profitorganisaties, liefdadigheids- en onderwijsinstellingen in de Verenigde Staten, Canada en het Verenigd Koninkrijk kwamen hierdoor op straat te liggen.
In ons land wisten de hackers gegevens van tienduizenden alumni en donateurs van de Universiteit Utrecht en TU Delft buit te maken. Tot slot wisten de aanvallers onversleutelde gegevens te ontvreemden, waaronder gebruikersnamen, wachtwoorden, bankrekeningnummers en burgerservicenummers.
Blackbaud schikt datalek voor bijna 50 miljoen dollar
Het incident leidde tot tientallen rechtszaken en 160 vorderingen van Amerikaanse, Canadese en Britse advocaten. De aanklagers claimden dat ze schade hebben geleden door de ransomware-aanval bij Blackbaud. Om een einde te maken aan al deze zaken, heeft de CRM-leverancier besloten om de zaak te schikken. Daarvoor legt het bedrijf een bedrag van 49,5 miljoen dollar op tafel.
Daarnaast is Blackbaud verplicht om een reeks aanvullende maatregelen te nemen om zo herhaling te voorkomen. Zo moet het bedrijf een responseplan implementeren, beveiligingsincidenten voortaan melden aan de CEO en Raad van Bestuur en een reeks van beveiligingsmaatregelen uitvoeren om de verdediging van het bedrijfsnetwerk te verbeteren. Dan moet je denken aan netwerksegmentatie, patchbeheer, inbraakdetectie, firewalls, toegangscontroles, logging en monitoring en het uitvoeren van penetratietests.
In maart van dit jaar betaalde Blackbaud nog 3 miljoen dollar aan de Securities and Exchange Commission (SEC), omdat het bedrijf de toezichthouder niet op de hoogte had gebracht van de volledige impact van de ransomware-aanval. De aanval heeft Blackbaud alles bij elkaar meer dan 65 miljoen dollar gekost.
