Russische hackers zijn erin geslaagd om de gegevens van 311.000 Belgische huishoudens buit te maken via Limburg.net. Hackersgroep Medusa dreigt deze data openbaar te maken als de Belgische afvalverwerker het gevraagde losgeld van 100.000 dollar niet betaalt. Het bedrijf vraagt gedupeerden om alert te zijn voor phishing en identiteitsfraude.
Limburg.net bevestigt het datalek via een persbericht.
Hackers stelen ‘zeer verouderde data’
De afvalverwerker zegt dat het bedrijf op woensdag 13 december 2023 te maken kreeg met een cyberaanval. Hackers slaagden er toen in om in te breken op een oude dataserver en documenten te kopiëren. Daar stonden naar eigen zeggen ‘enkel openbare of zeer verouderde data’ op. De aanvallers wisten de kernsystemen niet te bereiken.
De daders wisten de hand te leggen op persoonsgegevens van 311.000 huishoudens in een groot aantal gemeenten in de Belgische provincie Limburg. Het gaat om onder meer namen, adressen en rijksregisternummers. Gegevens als e-mailadressen, telefoonnummers, identiteitskaartnummer, inloggegevens, bankrekeningnummers of bankkaartnummers zijn niet buitgemaakt bij de aanval. Verder wisten de hackers documenten te bemachtigen over de fusie van Limburg.net met drie intercommunales in 2005.
Pas op voor phishing en identiteitsfraude
Limburg.net waarschuwt dat cybercriminelen de buitgemaakte gegevens mogelijk gebruiken om meer persoonlijke informatie te vergaren, zoals wachtwoorden of bankrekeningnummers. Het feit dat er geen contactgegevens zijn gestolen, zorgt er volgens de afvalverwerker voor dat dit een stuk lastiger is. Desondanks vraagt het bedrijf aan gedupeerden om alert te zijn voor phishing en identiteitsfraude.
Tot slot zegt Limburg.net dat er een kans bestaat dat de buitgemaakte gegevens via het dark web worden verspreid. Dat is het afgesloten deel van het internet dat niet toegankelijk is via gangbare webbrowsers of zoekmachines.
‘Hacking is de nieuwe realiteit’
De Russische hackersgroep Medusa is verantwoordelijk voor het datalek. Op hun portaal op het dark web staat een aftelklok. Het hackerscollectief eist dat Limburg.net 100.000 dollar aan losgeld betaalt. Doet het bedrijf dat niet, dan dreigt de hackersgroep de gestolen gegevens openbaar te maken.
Hans Roggen, woordvoerder van het afvalverwerkingsbedrijf, zegt dat Limburg.net niet de intentie heeft om het losgeldbedrag te betalen. “We hebben nooit met hen in contact gestaan. Het gaat om afpersing. Je weet ook niet zeker of je de gegevens terugkrijgt eens je betaalt. Het gaat tenslotte om criminelen”, zo zegt de woordvoerder tegenover Belgische media.
“Hacking is spijtig genoeg de nieuwe realiteit. Onze beveiliging heeft grotendeels stand gehouden, maar we hebben intussen natuurlijk extra maatregelen genomen”, aldus Roggen. Hij bevestigt dat er aangifte is gedaan bij de politie en dat het incident is gemeld bij de Gegevensbeschermingsautoriteit (GBA) en de Vlaamse Toezichtscommissie.
Update (23 januari 2024): naast namen, adressen en rijksregisternummers hebben hackers ook documenten van notarissen en rechtbanken buitgemaakt. Daardoor is het datalek bij Limburg.net extra gevaarlijk. “Als je info hebt over iemands leefloon, e-mailadres, adres én rijksregisternummer, kan je heel gericht phishingmails sturen. Ik zou mensen aanraden om die mails extra in de gaten te houden”, zo adviseert Tim Verheyden, expert digitale media bij VRT NWS.
Een woordvoerder van Limburg.net zegt dat er correct is gecommuniceerd over het incident. Er is bewust voor gekozen om niets te zeggen over de documenten van de rechtbank en notaris: zo wilde het bedrijf voorkomen dat getroffen klanten in een negatief daglicht werden gezet. Daarom sprak het bedrijf van ‘betaal- en facturatiegegevens’.
