De gemeente Hof van Twente, waar criminelen eind 2020 dankzij het wachtwoord Welkom2020 konden binnendringen en ransomware uitrollen, was al veel eerder gewaarschuwd over het wachtwoordbeleid. Signalen over problemen met de informatiebeveiliging kwamen echter niet voldoende binnen bij het management, college en de raad. De kennis over informatiebeveiliging was onvoldoende om de risico s op informatieveiligheid adequaat te duiden en erop door te vragen. Dat blijkt uit een rapport van de Rekenkamercommissie van de Hof van Twente.

Uit onderzoek naar de aanval bleek dat door een aanpassing van de gemeentelijk firewall sinds oktober 2019 de RDP-poort van een ftp-server naar het internet toe openstond. Zo kan er op afstand op de server worden ingelogd. Een gemeentemedewerker wijzigde op 15 oktober 2020 het wachtwoord van een beheerdersaccount naar het wachtwoord Welkom2020. De tweefactorauthenticatie was voor dit account uitgeschakeld. Aanvallers wisten het wachtwoord via een bruteforce-aanval te achterhalen.

De bruteforce-aanval werd niet opgemerkt. Het beheerdersaccount draaide met verregaande rechten en netwerksegmentering ontbrak. Gedurende drie weken kon de aanvaller zijn gang gaan en de ransomware-aanval voorbereiden. Deze activiteiten werden ook niet gedetecteerd. Verder bleek dat er van de back-ups geen kopie was op een externe locatie. De back-ups zijn deels vernietigd en deels versleuteld. Ook de back-ups bij de leverancier die de hosting van een deel van de systemen uitvoerde.

Wachtwoordbeleid

De accountant van de gemeente had voordat de aanval plaatsvond meerdere keren gewaarschuwd voor een mogelijke aanval en het gebruikte wachtwoordbeleid. In 2018 geeft de accountant een achttal aandachtspunten, waaronder het informatiebeveiligingsbeleid, toegangs- en autorisatiebeleid en pentesten. In 2019 constateert de accountant dat op een aantal punten vooruitgang is geboekt, maar dat er nog aandacht nodig is voor it-beheer en wachtwoordbeleid.

Deze versturen we 3-4x per jaar.