Rechter: IT-bedrijf is niet verantwoordelijk voor cyberaanval Hof van Twente – Computer – Nieuws

Een rechter heeft geoordeeld dat IT-bedrijf Switch niet de vergelijking van 4 miljoen heeft te betalen die Hof van Twente geëist heeft in verband met de ransomwareaanval in 2020. De rechter vindt dat de gemeente zelf tekortgeschoten was en dat Switch niet onzorgvuldig handelde.

De rechter positie dat het Hof van Twente zelf de rdp-poort naar het internet heeft geopend, het makkelijk te raden wachtwoord ‘Welkom2020’ geïnstalleerd, en geen tweestapsverificatie had geactiveerd. Hierdoor was de gemeente zelf verantwoordelijk voor de ransomewareaanval, het oordeel van de rechter. Bovendien zijn zowel de wijzigingen aan de firewallregels als de wijziging van het wachtwoord niet aan het IT-bedrijf, Switch IT Solutions, gemeld. De gemeente wilde zelf de hoogste beheerrechten, waardoor Switch van vooraf al had onderzocht dat het ‘niet kan instaan ​​voor de gevolgen van eigen handelingen van de medewerkers van de gemeente’.

De IT-leverancier had wel gezorgd voor adequate beveiliging, stelt de rechter in, en heeft zich daarmee aan diens contractuele afspraken gehouden. In het contract stond namelijk niet expliciet dat de leverancier verplicht was om beveiligingsrisico’s te melden, maar wel om signalen van risicovolle situaties te beschrijven. “Expliciet overeengekomen is dat proactieve monitoring alleen ziet op het functioneren van de servers, de opslag en de netwerkvoorzieningen. Ongeautoriseerde inlogpogingen en/of een bruteforceaanval zullen bij functionele monitoring pas een melding geven als zij invloed hebben op de capaciteit, prestaties en beschikbaarheid van het netwerk.Dat dat hier het geval is geweest, heeft de gemeente goed gesteld, maar niet vervangen.”

In december 2020 wist een ransomwarebende via een bruteforceaanval toegang te krijgen tot de systemen van de gemeente, die werden geïnfecteerd met ransomware en daardoor onbruikbaar werden. De groep eiste vervolgens 750.000 euro losgeld. Het Hof van Twente verliest te betalen en volgens de gemeente is de volledige IT-infrastructuur kwijtgeraakt. Het Hof van Twente stelde dat er tienduizenden inlogpogingen zijn gedaan op de servers van de gemeente die niet werden toegeschreven door Switch, en eiste daarom een ​​rechtvaardiging van 4 miljoen euro.