De Russische ransomwaregroep Lockbit zegt verantwoordelijk te zijn voor de ransomware-aanval op Thermae2000. Daarbij zijn mogelijk persoonsgegevens van bezoekers van het wellnesscentrum ingezien en gestolen. De berichtgeving is niet officieel Bevestigd Door Het bedrijf.

FalconFeedsio, een Twitter-kanaal dat bijhoudt waar cyberaanvallen en datalekken zich voordoen, zegt dat LockBit zeven nieuwe slachtoffers heeft toegevoegd aan zijn dark web portaal, waaronder Thermae2000.

Hackers vallen wellnessresort aan met gijzelsoftware

Het is inmiddels enkele weken geleden dat Thermae2000 het slachtoffer werd van, naar eigen zeggen, een ‘geavanceerde ransomware-aanval’. Met Behulp Van gijzelsoftware wisten de aanvallers digitale bestanden te vergrendelen en ontvreemden. Medewerkers besloten daarop om direct de IT-systemen uit te schakelen en alle herstelbestanden te controleren op de aanwezigheid van ransomware. Toen bleek dat deze in orde waren, hebben beveiligingsexperts nieuwe computers aangeschaft en back-upbestanden daar op geplaatst. Zodoende was het wellnesscentrum snel weer operationeel.

Bij de aanval zijn mogelijk persoonlijke gegevens van bezoekers ingezien en gestolen. Drie weken na de aanval kan Thermae2000 nog steeds niet bevestigen tot welke gegevens de daders mogelijk toegang hebben gehad. Op een FAQ-pagina over het incident zegt het resort dat er in ieder geval geen medische gegevens en creditcardgegevens zijn buitgemaakt: deze worden in een andere digitale omgeving bewaard.

Vlak na de aanval vroeg Thermae2000 aan klanten om ‘extra alert’ te zijn voor mogelijke phishingberichten. Tevens adviseerde het bedrijf klanten met een account om hun wachtwoord te wijzigen. Het resort heeft het voorval gemeld bij de Autoriteit Persoonsgegevens en aangifte gedaan bij de politie.

Zo gaat LockBit te werk

Wie er achter de ransomware-aanval zit, is een vraag die nog altijd onbeantwoord is. Op X, het voormalige Twitter, lezen we dat LockBit de aanval opeist. De aan Rusland gelieerde hackers hebben op hun dark web portaal zeven nieuwe slachtoffers toegevoegd. Eén van hen is Thermae2000. Of LockBit ook daadwerkelijk de aanval heeft uitgevoerd, is niet bevestigd door het wellnesscentrum.

LockBit werkt volgens het Ransomware-as-a-Service (RaaS) model. Een groep cybercriminelen, ook wel affiliates genoemd, leasen dan als het ware gijzelsoftware die ontwikkeld is door technisch onderlegde hackers. Voor een deel van de opbrengst mogen zij dan de ransomware gebruiken om slachtoffers af te persen.

Grote voordeel van dit verdienmodel is dat cybercriminelen direct aan de slag kunnen en niet eerst hoeven te leren om dergelijke gijzelsoftware te programmeren. Het enige dat dat er eigenlijk gedaan hoeft te worden, is de ransomware verspreiden. Dat gebeurt op uiteenlopende manieren, zoals via e-mail en spamberichten, of met behulp van gestolen inloggegevens.

LockBit maakte al eerder slachtoffers in ons land, waaronder de KNVB en de Brabantse zorginstelling Joris Zorg.