Pas na een maand duidelijkheid over datalek duizenden Amersfoorters

AMERSFOORT Gegevens van 100.000 Amersfoorters werden vorig jaar gestolen bij een hack. Er was een maand nodig, voordat de softwareleverancier kon bevestigen dat een hacker de data had weten te bemachtigen. Wat gebeurde er precies?

De gemeente heeft een feitenrelaas gepubliceerd, waarin de situatie wordt gereconstrueerd.
Op 17 oktober 2024 stuurt de gemeente een back-up van de database naar softwareleverancier JCC. In die database staan persoonsgegevens van bewoners die online een afspraak hebben gemaakt bij de gemeente. JCC heeft die nodig om het afsprakenportaal over te zetten naar een cloud-omgeving.

In dat portaal kan iedereen online een afspraak maken met burgerzaken voor aangiftes van een geboorte of het regelen van een identiteitsbewijs. In dat versleutelde bestand staan gegevens die teruggaan tot 2016. Onbedoeld wordt er een tweede verzameling aan data meegestuurd, met veel oudere gegevens. De gemeente was niet op de hoogte van het bestaan van die tweede dataset. Deze gegevens worden onversleuteld gedeeld. 

MAAND WACHTEN OP DUIDELIJKHEID

Een hacker bemachtigd een dag later toegang tot de digitale omgeving van JCC. Er wordt door de hacker gijzelsoftware geïnstalleerd en op 26 oktober worden de gegevens gedownload. De gemeente hoort op 31 oktober van deze hack. Op dat moment is nog niet duidelijk of er daadwerkelijk gegevens zijn buitgemaakt.

In het kort
Bij het datalek komen 100.000 gegevens op straat te liggen. Het gaat om persoonsgegevens van inwoners die tussen 2009 en 2024 online een afspraak bij de gemeente hebben gemaakt. Er zijn namen, telefoonnummers, adressen en 7000 burgerservicenummers gestolen. Veel van die gegevens had de gemeente niet meer mogen hebben volgens de privacyregels.

De communicatie tussen de gemeente en JCC verloopt moeizaam. Zolang het interne onderzoek van JCC loopt, wordt er weinig gedeeld door het bedrijf. De gemeente doet zelf onderzoek en concludeert dat het mogelijk om persoonsgegevens gaat. Uiteindelijk komt JCC op 22 november met duidelijkheid: er zijn inderdaad persoonsgegevens gelekt. 

DATA TE LANG BEWAARD

Een groot gedeelte van de data had niet meer in de systemen mogen staan. Na vijf jaar moet een gemeente alle privacygevoelige gegevens die het heeft verwijderen. Dat is niet gebeurd. Verantwoordelijk wethouder Johnas van Lammeren gaf eerder in een debat aan, dat er te weinig geld, tijd en personeel is om de oude gegevens te verwijderen. De gemeente zoekt uit hoeveel verouderde data er nu nog in haar digitale opslag aanwezig is.

Een week na de bevestiging van de diefstal van gegevens, begint de gemeente Amersfoort met het inlichten van getroffen bewoners. De gemeente laat begin december ook weten dat de kans op misbruik van de gegevens klein is. Dat baseert ze op informatie van de Informatie Beveiligingsdienst (IBD). Tijdens een crisisoverleg in november wordt over de diefstal aangegeven: ‘BSN nummer ligt emotioneel gevoelig , maar men kan er weinig mee.’ De overige gegevens ‘stonden vroeger in het telefoonboek’, is de stelling.

Maar in andere stukken van de Informatiebeveiligingsdienst (IBD) staat: ‘4,114 BSN’s gelekt, waarschijnlijk in combinatie met mailadres, telefoonnummer, adres en geboortedatum (of één of meerdere van deze gegevens) betekent hoog risico betrokkenen’. Wel geeft het IBD aan dat het veel tijd en moeite kost om iets met de gelekte informatie te doen, waardoor er niet vaak misbruik wordt gemaakt van dit soort gegevens.

De wethouder en de gemeenteraad bespreken de zaak volgende week tijdens een vergadering. 

Dit bericht werd eerder gepubliceerd op de website en in de app van Nieuwsplein33. (Een journalistieke samenwerking tussen De Stad Amersfoort, De Stadsbron en RTV Utrecht.)