Wat is nou de kans dat precies uw kantoor gehackt wordt? Dat overkomt anderen, u niet. Hun naam staat in de krant, die van u alleen op de gevel. Ze hebben het niet op u gemunt. Toch?
Vrijdag 16 april zal mij in ieder geval nog wel even bijblijven. Een vrij grote ICT-dienstverlener die bijna 100 notarissen bediend werd slachtoffer van een hack. Toegang tot systemen werd afgesloten, bijna 100 kantoren konden vanaf dat moment geen akten meer passeren of andere werkzaamheden uitvoeren waarbij ze hun systemen nodig hadden. Inmiddels is bekend dat de ICT-dienstverlener in kwestie het slachtoffer was geworden van ransomware. Gelukkig is er, volgens de nieuwsberichten, geen data gelekt.
Willekeurig of gericht slachtoffer?
ICT-beveiliging is iets wat voor ieder kantoor, of u nou in de cloud werkt of lokaal, altijd bovenaan het lijstje van eisen moet staan. Niet alleen bij het kiezen van een dienstverlener, maar ook terwijl u al een overeenkomst heeft met een leverancier, moet u hier altijd met elkaar over in gesprek blijven.
Een aanval als deze kan op twee manieren tot stand komen: het was een gerichte aanval op de betreffende dienstverlener, of (en dit is veel waarschijnlijker) het was een toevalstreffer.
Cybercriminelen pakken meestal gewoon iedereen die ze pakken kunnen. Hun systemen zoeken het hele internet af naar openstaande poortjes, lekken of andere ingangen ongeacht in welke computer deze zitten. Het gaat geautomatiseerd en compleet willekeurig. Het plaatsen van de hack kost de criminelen geen moeite. Het maakt dan ook niet uit of het slachtoffer wel of niet interessant is. Het is net een straatoverval: ziet u er kwetsbaar uit, dan proberen ze het gewoon en kijken ze daarna wel wat er in uw portemonnee zit.
De meeste hacks komen bovendien vaak pas weken nadat ze zijn geplaatst aan het licht. Dit komt omdat vaak het oudste beschikbare herstelpunt er dan eentje is waarin de hack al was uitgevoerd. De bij de hack meestal geïnstalleerde ransomware zit dan dus ook al in de back-up. Herstellen heeft dan geen zin meer, omdat u de ransomware dan ook weer mee terugzet.
Wake up call
Laat dit een volgende wake up call zijn voor de hele juridische sector. De gedachte “ze hebben het niet op mij gemunt” is precies waar criminelen van uitgaan. Wees kritisch op uw dienstverlener (dus ook op ons) als het gaat om beveiliging. Ga aan de slag met de ICT basishygiëne (encryptie, twee factor authenticatie, endpoint protection, updates installeren, EDR, et cetera), en onderwijs uw medewerkers over de risico’s. Ik hoef geen enkele notaris voor te rekenen wat een dag geen aktes kunnen passeren kost, voor zowel zichzelf als voor de cliënt.
