Iddink, een van de grootste verkoper van schoolboeken en digitaal lesmateriaal in Nederland, is het doelwit geworden van een ransomware-aanval. Bij de aanval is persoonlijke informatie van klanten buitgemaakt. De politie en de Autoriteit Persoonsgegevens zijn op de hoogte gebracht Van Het incident.

Dat heeft Iddink zelf bekend gemaakt.

Deze gegevens hebben de aanvallers gestolen

Op donderdag 11 april kwam de cyberaanval Aan Het Licht. De aanvallers hebben ransomware gebruikt om bedrijfsgegevens achter een digitaal slot en grendel te plaatsen. Dat betekent dat werknemers niet langer toegang hebben tot hun systemen en bestanden. Om de gijzelsoftware te verwijderen is een decryptiesleutel nodig. Deze krijgen gedupeerde organisaties als ze losgeld betalen aan de hackers die de ransomware hebben geïnstalleerd. Weigeren ze te betalen, dan dreigen de aanvallers de buitgemaakte gegevens openbaar te maken. Of te verkopen aan de hoogste bieder.

Door de cyberaanval zijn er gegevens uit het systeem van Iddink Learning Materials ontvreemd. Volgens de boekverkoper gaat het om persoonlijke informatie zoals namen, e-mailadressen en bankgegeven van scholen en studenten die boeken of lesmateriaal hebben besteld. Iddink zegt boeken en lesmateriaal aan ruim 300.000 leerlingen en 300 scholen te verkopen. Hoeveel van hen de dupe zijn van ransomware-aanval, is onbekend.

Nog geen duidelijkheid over de omvang van de aanval

Nadat het datalek aan het licht kwam, heeft Iddink onmiddellijk maatregelen genomen om de impact van de aanval te beperken. “Het bedrijf heeft direct de systemen afgesloten die mogelijk getroffen zijn, externe cyberbeveiligingsexperts ingeschakeld om hun interne taskforce verder te ondersteunen en het responsplan geactiveerd”, zo schrijft het bedrijf in een persverklaring.

Door de aanval heeft Iddink momenteel geen toegang tot haar eigen systemen. Het door klanten gekochte lesmateriaal is wel beschikbaar. Dat geldt ook voor het leerlingvolgsysteem Magister.

Het digitaal forensisch onderzoek naar de aanval is nog steeds in volle gang. Iddink kan daarom op dit moment nog niets zeggen over de omvang van het datalek. Het bedrijf heeft aangifte gedaan bij de politie. Het voorval is tevens gemeld bij de Autoriteit Persoonsgegevens. Personen en organisaties die mogelijk getroffen zijn door de aanval zijn vrijdagavond geïnformeerd over de gebeurtenissen.

De boekenleverancier zegt tegenover het Algemeen Dagblad dat ze niet van plan is om losgeld te betalen. “Ze hebben gevraagd of wij contact met ze willen opnemen. Maar dat zijn we niet van plan”, zo bevestigt een woordvoerder van het bedrijf.

Dit weten we over de aanvallers

Iddink zegt dat de aanval is gepleegd door Cactus. Cactus is een hackersgroep die sinds maart 2023 actief is en volgens beveiligingsexperts inmiddels meer dan honderd slachtoffers heeft gemaakt, waaronder het Franse elektronicabedrijf Schneider Electric. De naam ‘Cactus’ is afgeleid van de bestandsnaam van de losgeldbrief: die luidt cAcTuS.readme.txt.

Volgens cybersecuritybedrijf Kroll Cyber Intelligence gebruikt Cactus bekende tactieken, technieken, procedures en aangepaste scripts om beveiligingssoftware uit te schakelen en gijzelsoftware te verspreiden. Leden van de groep wisten initiële toegang te krijgen via kwetsbaarheden in VPN-apparaten van Fortinet.