Cyberaanvaller die bij TU/e binnendrong had al dagenlang ongemerkt toegang

Dit blijkt uit een analyse van de aanval uitgevoerd door Fox-IT. In de nacht van 11 op 12 januari werd een cyberaanval op het netwerk van de TU/e ontdekt. In reactie hierop schakelde de universiteit zijn netwerk uit. Het onderwijs van de TU/e lag hierdoor een week nagenoeg plat.

'Snel en effectief gereageerd'

In zijn rapport is Fox-IT positief over de reactie van de universiteit: "TU/e toonde een exemplaire incidentrespons en crisismanagement, waarbij snel en effectief werd gereageerd, zelfs tijdens de uitdagende uren van een weekendnacht. Deze snelle actie dient als voorbeeld voor andere organisaties."

Tegelijkertijd stipt het rapport ook pijnpunten aan. Zo had TU/e wel multifactorauthenticatie op de meeste applicaties, maar nog niet op de VPN-login. Dit stond gepland om in de eerste helft van 2025 te worden geïmplementeerd. Bovendien gebruikten de cybercriminelen gehackte accounts om binnen te dringen. Het was al bekend dat deze accounts eerder waren gehackt, dus TU/e had de accounthouders hun wachtwoorden laten wijzigen. Maar de accounthouders hergebruikten hun oude wachtwoorden, wat niet automatisch werd voorkomen. De indringers konden ook cruciale gegevens ophalen uit een domeincontroller. De universiteit heeft sindsdien al deze cybersecuritykwetsbaarheden aangepakt.

Ransomware

Fox-IT heeft niet kunnen vaststellen wie de daders waren. Op basis van de gebruikte aanvalsmethoden kan het echter met grote waarschijnlijkheid concluderen dat het om een ransomwaregroep ging, die uit was op losgeld.

“Het is mooi om bevestiging te zien dat we goed hebben gehandeld en een solide weerbaarheid hebben,” zegt TU/e vicevoorzitter Patrick Groothuis, die destijds het centrale crisisteam leidde. “Dat is het resultaat van veel investeringen, gelaagde maatregelen en de professionaliteit van medewerkers. Maar de realiteit is dat hackers toch binnen zijn gekomen, waardoor de universiteit een week stil heeft gelegen met grote gevolgen voor studenten en medewerkers. We zullen daarom de aanbevelingen uit de rapporten ter harte nemen en blijven investeren in het versterken van onze cybersecurity. Het blijft een wapenwedloop waarin je nooit stil kunt staan.”