033 200 30 83
Ransomware en directe druk op ouders: een zorgwekkende ontwikkeling
Een ransomware-aanval op het Onze-Lieve-Vrouwinstituut (OLV) Pulhof in Berchem (Antwerpen) kreeg eind januari/begin februari een opvallende en verontrustende wending. Nadat de school weigerde losgeld te betalen, zouden de aanvallers zich rechtstreeks tot ouders van leerlingen hebben gericht met een betalingsverzoek van 50 euro per kind, op basis van berichtgeving uit België.
Volgens berichtgeving zijn de servers van de school kort na de kerstvakantie versleuteld geraakt. De criminelen zouden eerst een veel hoger bedrag hebben geëist (genoemd worden bedragen van 100.000 euro, later verlaagd naar 15.000 euro), maar de school ging daar niet op in. Daarna zouden ouders zijn benaderd met de boodschap dat zij moesten betalen om gegevens uit de buitgemaakte dataset te laten verwijderen.
De aanvallers claimen daarbij een grote hoeveelheid gevoelige gegevens in handen te hebben. De hackergroep zegt 45 GB aan vertrouwelijke data te bezitten, met gevoelige informatie over leerlingen en personeel over meerdere jaren zoals Rijksregisternummer (BSN) en salarisinformatie. Tegelijkertijd benadrukt de school dat nog wordt onderzocht welke persoonsgegevens daadwerkelijk zijn betrokken bij de aanval.
In de nasleep diende de school een klacht in bij de politie. Vervolgens kwam de Regional Computer Crime Unit (RCCU) ter plaatse en werd een nieuwe, veilige netwerkomgeving opgezet. Ouders kregen het advies om niet te reageren op dreigmails, niet te betalen en verdachte berichten direct te melden.
Opvallend is ook dat de daders zich zouden hebben voorgedaan als de beruchte ransomwaregroep LockBit. Volgens de schooldirecteur wijzen externe specialisten er echter op dat het waarschijnlijk om een imitator gaat en niet om de “echte” groep.
Deze zaak laat zien dat ransomware-incidenten niet alleen draaien om systeemuitval, maar ook snel een privacy- en communicatievraagstuk worden. Zodra aanvallers persoonsgegevens gebruiken als drukmiddel, verschuift de impact direct naar ouders, medewerkers of andere betrokkenen.
Voor organisaties betekent dit vooral: snel duidelijkheid creëren, eenduidig communiceren over wat mensen wel/niet moeten doen, en vooraf scenario’s oefenen waarin criminelen rechtstreeks contact zoeken met betrokkenen. Juist die combinatie van cyberrespons, privacybeoordeling en crisiscommunicatie maakt in de praktijk het verschil.