Help, ik ben gehackt: wat moet ik doen? Enkele lessen uit de cyberaanval van Stad Antwerpen

Cyberaanvallen vormen een reële bedreiging voor zowel overheidsinstellingen als organisaties. Maar hoe weet je of je slachtoffer bent geworden van zo’n aanval? Welke soorten bestaan er, en vooral: welke stappen moet je precies nemen? Hieronder beantwoorden we al je vragen, met Stad Antwerpen als praktijkvoorbeeld.  

Wat is een cyberaanval en welke soorten bestaan er?  

Een cyberaanval is een gerichte poging om digitale systemen, netwerken of apparaten te infiltreren, beschadigen of exploiteren. Het doel? Gegevens stelen, lekken of manipuleren. Hackers worden steeds creatiever, waardoor er intussen al heel wat verschillende soorten cyberaanvallen bestaan. Hieronder sommen we de meest voorkomende voor je op.  

• Malware is kwaadaardige software die zich verspreidt en schade aanricht aan systemen, gegevens steelt of de controle over apparaten overneemt. Voorbeelden van malware zijn virussen, Trojaanse paarden en ransomware. 

• Phishing is een vorm van social engineering waarbij fraudeurs e-mails of berichten sturen die eruitzien als afkomstig van legitieme bronnen. Zo hopen ze gebruikers te misleiden om gevoelige informatie te onthullen of op kwaadaardige links te klikken. 

• DDoS-aanvallen (Distributed Denial of Service) zijn inbreuken waarbij meerdere systemen worden gebruikt om een netwerk, website of online service te overbelasten met verkeer. Als gevolg zijn ze onbereikbaar voor legitieme gebruikers. 

• Man-in-the-middle-aanvallen (MitM) zijn bedoeld om communicatie tussen twee partijen te onderscheppen, bijvoorbeeld tussen een gebruiker en een website. Zo kunnen ze gevoelige data wijzigen of doorsturen. 

• SQL-injecties zijn aanvallen waarbij kwaadaardige SQL-code wordt geïnjecteerd in een webapplicatie. Dit stukje code stelt hen in staat om instructies te geven aan een database voor het opvragen, toevoegen, bijwerken of verwijderen van gegevens. Zo kunnen aanvallers zelfs de volledige controle over een systeem overnemen. 

• Zero-day-aanvallen zijn cyberaanvallen die gebruikmaken van beveiligingslekken in software waarvoor nog geen oplossingen beschikbaar zijn. Met ‘zero-day’ wordt bedoeld dat de aanval plaatsvindt op de dag dat het beveiligingslek wordt ontdekt, nog voordat er officiële beschermingsmaatregelen of patches beschikbaar zijn. 

Wat kun je leren van de cyberaanval op Stad Antwerpen?  

In december 2022 werd Stad Antwerpen het slachtoffer van een ransomware-aanval, een vorm van malware. Hoewel er op het eerste gezicht geen persoonsgegevens van burgers werden buitgemaakt, waren de gevolgen enorm. Vooral voor de interne werking van de stad zelf. Maandenlang was er grote hinder bij de dienstverlening, waarvan de nasleep nog steeds gaande is. De cyberaanval op Stad Antwerpen is inmiddels goed voor enkele lessen, waar elk bedrijf wat uit kan leren.  

• Zorg voor een sterk wachtwoordbeleid: een veelvoorkomende manier waarop aanvallers in systemen inbreken, is door zwakke of makkelijk te raden wachtwoorden te gebruiken. Dit probleem kan snel escaleren als hetzelfde wachtwoord voor meerdere applicaties wordt ingezet. Bij Stad Antwerpen bleek het wachtwoordbeleid dringend toe aan verbetering. Medewerkers werden bijvoorbeeld niet verzocht om op regelmatige basis hun wachtwoord bij te werken.  

• Schakel multi-factor authenticatie in: multi-factor authenticatie (MFA) is een extra beveiligingslaag bovenop de bekende inlogprocedures. Denk maar aan de code die naar een telefoon of e-mailadres wordt gestuurd. Dit maakt het voor hackers moeilijker om toegang te krijgen tot systemen, zelfs als ze een wachtwoord weten te bemachtigen. Hoewel de invoering hiervan op de agenda stond van Stad Antwerpen, werd ze ingehaald door de realiteit.  

• Houd je software en beveiligingsprotocollen up-to-date: hackers maken vaak misbruik van zwakke plekken in oude software of beveiligingsprotocollen, wat ook bij Stad Antwerpen het geval was. Om dit te voorkomen, moet je erop letten dat alle software en beveiligingsprotocollen bijgewerkt zijn, en de nieuwste patches en updates hebben. 

• Reageer onmiddellijk: om de schade zoveel mogelijk te beperken, is gerichte actie van onmetelijk belang. Wie gehackt is en niet weet wat doen, verliest nu eenmaal kostbare tijd. Toen Stad Antwerpen doorhad dat er iets niet pluis was, kwamen de aangestelde security experts meteen in actie. Zij sloten de  internettoegang af, en isoleerden en de back-ups om te voorkomen dat het virus daar terechtkwam. Ook verbindingen met andere partijen en partners werden verbroken. Zodra ze de situatie weer onder controle hadden, namen de experts de systeemaccounts opnieuw over en maakten ze het serverpark onbereikbaar. Ook de monitoring van de IT-infrastructuur van de stad werd verhoogd.  

• Maak back-ups in de cloud: een back-up in de cloud is zowel voor als na een aanval nuttig. Eenmaal de hackers de zwakke plekken in de digitale systemen van Stad Antwerpen hadden ontdekt, plaatsten ze zogenaamde “beacons”. Dit zijn kleine stukjes code die werden gebruikt om informatie te verzamelen over gebruikers en hun gedrag op websites en mobiele applicaties. Die gegevens werden gekopieerd en sporen gewist. Gelukkig ontdekte de stad net op tijd dat er iets mis was, waardoor de hackers de back-ups niet konden versleutelen of in gevaar brengen, wat normaal gesproken hun volgende stap was geweest.

Managed Detection and Response als tegengif voor cyberaanvallen  

Deze cyberaanval zal de stad waarschijnlijk ongeveer zeventig miljoen euro kosten. Dit komt deels door de uitgaven die zijn gedaan en deels door gemiste inkomsten. Eén ding is zeker: dit praktijkvoorbeeld demonstreert het belang van preventieve en reactieve maatregelen. 

Aangezien het digitale landschap verder evolueert, is het juiste samenspel van mens en technologie belangrijker dan ooit geworden. Dat vraagt om security awareness en technologische ingrepen op regelmatige basis. Maar niet iedereen beschikt over de juiste kennis, die bovendien razendsnel moet worden bijgespijkerd. Op zoek naar 24/7 cybersecurity om je IT-omgeving te beveiligen en inzicht te krijgen in risico's?

Met Managed Detection and Response biedt Wortell dé oplossing met experts die direct reageren op dreigingen, alles aan een vast maandelijks tarief. Ons team doet meer dan alleen monitoren; we reageren op en voorkomen actief dreigingen. We blokkeren bijvoorbeeld een laptop of gebruikersaccount om verspreiding te stoppen, en lossen problemen op voordat ze daadwerkelijk plaatsvinden.