Versleutelde wachtwoorden UvA en HvA mogelijk in handen van hackers

De onderwijsinstellingen roepen iedereen op om hun wachtwoord te wijzigen. De hackers zouden er ondanks de versleuteling misbruik van kunnen maken, waarschuwen ze. Als eenzelfde wachtwoord wordt gebruikt voor andere accounts, zoals DigiD, e-mails of sociale media, dan wordt aangeraden om ook daarvan het wachtwoord te wijzigen.

“Er is bij de cyberaanval ruimte geweest voor de hackers om bij de versleutelde wachtwoorden te komen,” zegt een woordvoerder van beide onderwijsinstellingen. Of ze daadwerkelijk met de gegevens aan de haal gaan, is niet zeker. “Aan de sporen die ze hebben achtergelaten, kunnen we achterhalen waar ze op uit waren. Daarbij leek het niet per se om persoonlijke gegevens te gaan.”

Als de hackers de wachtwoorden hebben gestolen, waren deze wel versleuteld, verzekert de zegsvrouw. “Maar je weet niet wat ze daarmee kunnen. Om alles uit te sluiten, roepen we daarom iedereen op zijn of haar wachtwoord te wijzigen.”

Gegevens van oud-studenten en -medewerkers zijn grotendeels veilig. Accounts worden drie maanden na vertrek inactief. “Daar blijven dan ook geen gegevens meer van hangen,” aldus de woordvoerder, die de getroffen groep klein noemt. “We gaan kijken of we hen ook nog moeten benaderen.”

De hack kwam vorige week aan het licht. De universiteit en de hogeschool wilden niet zeggen of de aanvallers gijzelsoftware (ransomware) hebben geplaatst, maar zeiden wel dat de aanval is uitgevoerd door ‘professionele hackers die uit zijn op financieel gewin’.

De UvA en de HvA delen hun computersystemen. Die zijn ondanks de aanval online en kunnen worden gebruikt.

Phishers probeerden in de dagen na de cyberaanval misbruik te maken van de situatie. Studenten en medewerkers kregen nepmails met het verzoek om vanwege de hack hun account te controleren of hun wachtwoord te wijzigen. De truc werd gebruikt om gebruikersnamen en wachtwoorden in handen te krijgen.

Eind 2019 werd de Universiteit Maastricht getroffen door ransomware. De aanvallers versleutelden toen alle bestanden op 267 servers en eisten losgeld. De universiteit betaalde uiteindelijk het geëiste bedrag van 30 bitcoin. Dat was destijds zo’n 197.000 euro waard.