Bij een cyberaanval in het Verenigd Koninkrijk lijkt het niet alleen te gaan om het platleggen van systemen, maar vooral om ransomware data-ontvoering. Extortionisten claimen data te hebben gestolen bij het Department for Education (DfE) en dreigen die informatie te publiceren, tenzij er losgeld wordt betaald.
Het incident raakt ook andere onderdelen van de overheid. Tegelijk geeft de overheid aan dat het om beperkte klant- en contactinformatie zou gaan en dat het risico voor betrokkenen niet als hoog wordt ingeschat.
Wat is er gebeurd bij het Department for Education?
De aanval kwam volgens de beschrijving van de criminelen tot stand na het compromitteren van een omvangrijke hoeveelheid data. Daarbij gaat het om “meer dan 600.000 stukken data”, waaronder volgens de aanvallers onder meer namen, e-mailadressen en telefoonnummers.
Een woordvoerder van het Department for Education nuanceert de aantallen: het genoemde getal slaat volgens hen op datapunten en niet op het exacte aantal getroffen personen. Daarnaast stelt de woordvoerder dat twee portals van de dienst zijn geraakt: het DfE Help Desk Self-Service Portal en het Turing Scheme Portal.
Ook wordt benadrukt dat men het risico voor individuen niet als hoog beoordeelt.
Losgeld: dreiging om gestolen informatie te publiceren
De claim over de ransomware data-ontvoering wordt gedaan door extortionisten die zichzelf ExfilSquad noemen. Zij eisen losgeld in ruil voor het niet vrijgeven van de gestolen informatie.
Belangrijk is dat er geen claim is dat de aanvallers de getroffen systemen hebben versleuteld. Met andere woorden: uit de beschikbare informatie blijkt vooral een focus op het exfiltreren van data en het inzetten van publicatiedreiging als hefboom.
Welke data was mogelijk betrokken?
De woordvoerder van het DfE geeft aan dat het om informatie gaat die beperkt is tot contactdetails voor klantenservice van individuen en organisaties. Er zou geen andere data zijn benaderd.
Dit past bij de manier waarop dergelijke aanvallen vaak worden ingezet: het verzamelen van gegevens die voor het misleiden of benaderen van slachtoffers bruikbaar zijn, zonder dat de aanvallers noodzakelijkerwijs het volledige systeemverkeer moeten gijzelen.
Ook impact bij de Police National Legal Database (PNLD)
Los van het Department for Education meldt de context nog een tweede getroffen dataset: de Police National Legal Database (PNLD). Daar gaat het om 135.000 stukken data die mogelijk personen kunnen identificeren.
Het zou gaan om gegevens van politieagenten en anderen die werken binnen het strafrechtelijke systeem. Volgens de beschrijving gaat het om onder meer namen, politiekorps/forces en werk-e-mailadressen.
De dataset zou geen beschermde informatie bevatten uit onderzoeken of van getuigen. De impact lijkt daarmee opnieuw gericht op identificerende contactgegevens, niet op gevoelige proces- of getuiginformatie.
Reacties van overheidsinstanties
De Home Office (het ministerie verantwoordelijk voor o.a. immigratie en veiligheid) heeft geen commentaar gegeven op het PNLD-incident. Wel is er een reactie van het National Cyber Security Centre (NCSC), dat aangeeft politie en handhavingscollega’s te ondersteunen in reactie op het incident dat de PNLD beïnvloedt.
In bredere zin laat dit zien dat bij datalekken binnen overheidscontexten niet alleen de getroffen organisatie handelt, maar dat expertise en coördinatie vanuit nationale cyberveiligheidskanalen een rol spelen.
Betaalt de overheid losgeld?
Volgens het artikel volgt het Britse beleid dat de overheid geen losgeldbetalingen doet. Dat is een belangrijke boodschap in de strijd tegen ransomware-ecosystemen: door niet te betalen wordt de incentive voor criminelen verminderd.
Daarnaast wordt genoemd dat de regering stappen heeft gezet richting wettelijke maatregelen. Het streven is om het voor publieke entiteiten en organisaties die werken binnen kritieke nationale infrastructuur onmogelijk of verboden te maken om bij ransomware-aanvallen betalingen te doen. De status hiervan wordt omschreven als “nog niet van kracht” (er is vooruitgang geboekt met plannen).
Trendlijn: minder aanvallen op centrale overheid
Niet alleen het incident zelf is relevant, maar ook de context. In de afgelopen jaren zouden ransomware-aanvallen op centrale overheidsorganisaties afnemen, volgens gegevens van de Britse privacytoezichthouder.
Daarbij wordt aangegeven dat er in 2023 elf incidenten waren, en dat in de twee daaropvolgende jaren nog maar vier meldingen zijn gerapporteerd. Meer recente cijfers ontbreken in de informatiebron.
Hoewel dit duidt op een daling, betekent het niet dat organisaties verschoond zijn van datadiefstal of extorsie. Integendeel: de focus kan verschuiven van “encryptie” naar “exfiltratie en dreiging”.
Waarom dit type aanval extra risico geeft
Ook wanneer de overheid stelt dat de impact op individuen beperkt is, blijft ransomware data-ontvoering ernstig. Contactgegevens zoals e-mailadressen en telefoonnummers zijn namelijk waardevol voor verdere misleiding: denk aan phishingcampagnes, gerichte oplichting en het opzetten van geloofwaardige berichten richting slachtoffers.
Daarom is het bij dit soort incidenten cruciaal dat organisaties niet alleen de toegang herstellen, maar ook aandacht besteden aan communicatie en monitoring. Betrokkenen moeten weten waarop ze kunnen letten, en teams moeten extra alert zijn op frauduleuze patronen die mogelijk voortkomen uit de gelekte informatie.
Praktische aandachtspunten voor organisaties
Voor organisaties die portals, helpdesks en registratiesystemen aanbieden, is dit soort berichtgeving een signaal om processen en technische maatregelen te toetsen. Let daarbij op de volgende punten:
- Controleer portal- en klantdata: inventariseer welke contactvelden worden opgeslagen en hoe lang.
- Versterk toegang en monitoring: focus op detectie rond ongebruikelijke sessies, datatoegang en exportpatronen.
- Reageer op exfiltratie: denk niet alleen aan encryptie, maar ook aan het blokkeren van datastromen.
- Communiceer helder naar betrokkenen: zo beperk je verwarring en verlaag je de kans op succes met vervolgfraude.
Door proactief te verbeteren op deze onderdelen kunnen organisaties beter voorbereid zijn op aanvallen die niet per se beginnen met encryptie, maar met het stelen en verhandelen of dreigen met data.
Conclusie
De gemelde cyberaanval rond het Department for Education toont hoe ransomware data-ontvoering vorm kan krijgen: criminelen claimen grote hoeveelheden informatie te hebben buitgemaakt via twee portals, en koppelen die dreiging aan een losgeldeis. Tegelijk stelt de overheid dat het om beperkte contactgegevens gaat en dat het risico voor individuen niet als hoog wordt gezien.
Ook bij de Police National Legal Database zou sprake zijn van mogelijke impact, met nadruk op identificerende gegevens en zonder claim dat gevoelige onderzoeks- of getuiginformatie is meegenomen. Voor publieke organisaties blijft dit een aanleiding om zowel technische verdediging als incidentrespons verder te versterken.
Bron: https://therecord.media/united-kingdom-ransomware-education
