De gemeente Epe werd in maart 2026 getroffen door een ernstig datalek als gevolg van een professionele cyberaanval.

De gemeente Epe heeft recent haar evaluatierapport over het datalek openbaar gemaakt. Daarin geeft zij een weergave van de gebeurtenissen, deelt zij de oorzaken van het incident en geeft aan welke lessen hieruit zijn getrokken.

Op 10 maart verkregen aanvallers via een zogenoemde ClickFix-aanval toegang tot het gemeentelijke netwerk. Daarbij werd een medewerker misleid om onbewust schadelijke software uit te voeren. Hoewel het account van deze medewerker was beveiligd met multifactor-authenticatie (MFA), bood deze maatregel geen bescherming tegen een aanval waarbij de gebruiker zelf kwaadaardige code activeert.

Na de eerste toegang wist de aanvaller zijn rechten binnen het netwerk uit te breiden. Door een beheerderswachtwoord te kraken kreeg hij toegang tot een beheerdersaccount en vervolgens tot een zogenoemd break-glass-account, een noodaccount met uitgebreide bevoegdheden. Met deze rechten kon circa 871 GB aan gegevens, bestaande uit meer dan 550.000 bestanden, worden gekopieerd naar externe cloudopslag.

Persoonsgegevens

De gestolen gegevens bevonden zich op een interne bestandsserver die op de planning stond om uitgefaseerd te worden vanwege een migratie naar SharePoint en Microsoft Teams. Onder de buitgemaakte informatie bevonden zich persoonsgegevens uit de Basisregistratie Personen (BRP), personeelsgegevens, financiële gegevens van de gemeente en haar relaties, contractinformatie, dossiers over gemeentelijke voorzieningen en meldingen uit de openbare ruimte. Daarnaast werden kopieën van 1.022 identiteitsbewijzen aangetroffen, waarvan 845 nog geldig waren. Op het moment van rapportage waren er geen aanwijzingen dat de gegevens waren gepubliceerd of misbruikt. Ook was geen losgeld geëist.

Melding

Na ontdekking van de inbraak op 12 maart 2026 werden direct maatregelen genomen. De ICT-omgeving werd geïsoleerd, alle gebruikers- en beheerdersaccounts werden gereset en een gespecialiseerd forensisch onderzoeksbureau werd ingeschakeld. De gemeente meldde het incident tijdig bij de Autoriteit Persoonsgegevens, deed aangifte bij politie en Openbaar Ministerie en werkte nauw samen met de Informatiebeveiligingsdienst voor gemeenten (IBD) en het Nationaal Cyber Security Centrum (NCSC). Daarnaast werden inwoners, medewerkers, ketenpartners en de gemeenteraad geïnformeerd.

Deze versturen we 3-4x per jaar.