Zeven Nederlandse universiteiten zijn getroffen door een cyberaanval. Het hackerscollectief ShinyHunters claimt verantwoordelijkheid voor de inbraak. De instellingen onderzoeken op dit moment welke systemen en data zijn geraakt. De aanval zet druk op de digitalisering in het onderwijs en raakt ook Europese regelgeving en de gevolgen voor instellingen en het bedrijfsleven dat hen ondersteunt.
Zeven universiteiten geraakt
ShinyHunters zegt toegang te hebben gekregen tot systemen van meerdere Nederlandse universiteiten. Wat precies is buitgemaakt, is nog niet volledig duidelijk. De betrokken instellingen voeren forensisch onderzoek uit en nemen noodmaatregelen waar nodig. Daarbij gaat het vaak om het afsluiten van toegang, wachtwoordresets en extra monitoring.
De groep staat erom bekend buitgemaakte gegevens snel onder de aandacht te brengen via online platforms. Dat vergroot de druk op organisaties om snel te reageren. Universiteiten werken in dergelijke gevallen samen met hun eigen Security Operations-teams, met SURF (de ict-samenwerkingsorganisatie voor onderwijs en onderzoek) en met het nationale Computer Security Incident Response Team. Ook kan er contact zijn met opsporingsinstanties als er aanwijzingen zijn voor strafbare feiten.
Voor studenten en medewerkers is de informatie nog onvolledig zolang het onderzoek loopt. Instellingen publiceren daarom doorgaans tussentijdse updates. Die bevatten eerst praktische stappen om risico’s te beperken, en later meer detail over de oorzaak, de getroffen data en welke maatregelen volgen. Transparantie is hierbij een eis vanuit wet- en regelgeving.
Wie zijn ShinyHunters
ShinyHunters is een internationaal hackerscollectief dat sinds enkele jaren bekendstaat om datadiefstal en publicatie van grote datasets. De groep richt zich op uiteenlopende sectoren, van technologiebedrijven tot financiële diensten en onderwijs. Hun doel is meestal financieel gewin via verkoop van data of afpersing. De zichtbaarheid van de groep vergroot de publieke druk bij incidenten.
De gebruikte tactieken verschillen per doelwit. Vaak gaat het om gestolen inloggegevens, phishing of misbruik van zwakke plekken in veelgebruikte software. Soms wordt een toeleverancier of cloudplatform geraakt, waardoor meerdere organisaties tegelijk kwetsbaar zijn. Phishing is een vorm van online oplichting waarbij een aanvaller inloggegevens probeert te stelen via misleidende berichten of websites.
Het is op het moment van schrijven niet bevestigd welke methode in dit specifieke incident is gebruikt. Dat blijkt doorgaans pas na technisch onderzoek. Wel is bekend dat onderwijs- en onderzoeksinstellingen aantrekkelijk zijn door hun open digitale cultuur en veel verbonden systemen. Dat vergroot het belang van streng toegangsbeheer en segmentatie van netwerken.
Gevolgen voor studenten en staf
Als persoonsgegevens zijn buitgemaakt, kunnen studenten en medewerkers last krijgen van spam, phishing en misbruik van identiteitsgegevens. Mogelijke categorieën zijn namen, e-mailadressen, studiegegevens of personeelsinformatie. Financiële gegevens of wachtwoorden zijn extra gevoelig en vragen direct ingrijpen. Instellingen communiceren doorgaans gericht met betrokkenen zodra de aard van het datalek duidelijk is.
Onder de Algemene verordening gegevensbescherming (AVG) geldt een meldplicht bij de Autoriteit Persoonsgegevens wanneer er sprake is van een datalek. Als het risico voor betrokkenen hoog is, moeten zij individueel worden geïnformeerd. Dataminimalisatie en versleuteling helpen het risico te beperken, ook als er toch een inbraak plaatsvindt. Het is daarom belangrijk om gevoelige gegevens versleuteld op te slaan en zo kort mogelijk te bewaren.
Betrokkenen kunnen zelf ook stappen zetten. Verander wachtwoorden die u mogelijk hergebruikt en schakel waar mogelijk multifactorauthenticatie in, een extra stap bij het inloggen. Wees extra alert op onverwachte e-mails of berichten die om persoonsgegevens vragen. Controleer bovendien of er ongewone activiteiten zichtbaar zijn in studie- of werkaccounts.
De AVG eist dat een datalek snel wordt gemeld aan de toezichthouder; bij hoog risico worden ook betrokkenen geïnformeerd (art. 33 en 34).
NIS2 stelt hogere eisen
Naast de AVG geldt in Europa de NIS2-richtlijn voor digitale weerbaarheid. Deze stelt zwaardere eisen aan risicobeheer, beveiligingsmaatregelen en incidentmelding voor middelgrote en grote organisaties. Onderzoeks- en onderwijsinstellingen vallen daar in veel gevallen onder. Dat betekent onder meer strengere governance, toezicht en rapportage.
In Nederland wordt NIS2 geïmplementeerd via nationale wetgeving, op het moment van schrijven onder toezicht van de Rijksinspectie Digitale Infrastructuur (RDI) en met betrokkenheid van het Nationaal Cyber Security Centrum (NCSC). Organisaties moeten aantoonbaar maatregelen nemen zoals toegangsbeheer, continuïteitsplannen en kwetsbaarhedenbeheer. Ook wordt verwacht dat zij snel en volledig rapporteren over ernstige incidenten. Niet-naleving kan leiden tot sancties.
Voor universiteiten en hogescholen betekent dit structureel investeren in processen en techniek. Denk aan het periodiek testen van back-ups, het oefenen van incidentrespons en het borgen van rollen en verantwoordelijkheden in de bestuurslaag. Afspraken met leveranciers worden strenger vastgelegd, inclusief eisen aan logging, patchbeleid en versleuteling. Zo wordt ketenrisico expliciet meegenomen.
Directe acties en herstel
In de eerste fase van een cyberincident staan isoleren, onderzoek en herstel centraal. Toegang wordt beperkt, verdachte accounts worden ingetrokken en configuraties worden gecontroleerd. Forensische specialisten analyseren logbestanden en netwerksporen om de route van de aanvaller te vinden. Dat helpt te bepalen of en welke gegevens zijn buitgemaakt.
Daarna volgen structurele verbeteringen. Organisaties voeren strengere controles in op externe toegang en dwingen multifactorauthenticatie af voor beheerders en gevoelige apps. Netwerksegmentatie beperkt de impact van een inbraak door systemen te scheiden. Ook wordt monitoring uitgebreid met detectieregels voor bekende hackpatronen.
Communicatie is een wezenlijk onderdeel van herstel. Interne updates houden medewerkers en studenten betrokken en alert. Publieke Q&A-pagina’s geven duidelijkheid zonder operationele details te delen. Heldere communicatie verkleint de kans op paniek en phishing die meeliften op het nieuws.
Samenwerking in Nederland en EU
De Nederlandse onderwijssector kan terugvallen op SURF voor kennisdeling, detectie en incidenthulp. Sectorbrede oefeningen en gedeelde dreigingsinformatie versnellen herkenning van aanvallen. Ook leveranciers van cruciale systemen worden aangesproken op hun beveiligingsniveau. Ketenafspraken maken het verschil wanneer een aanval meerdere instellingen raakt.
Op Europees niveau ondersteunt ENISA, het agentschap voor cyberbeveiliging, met richtlijnen en best practices. Universiteiten profiteren van netwerken waarin indicatoren van compromittering snel worden gedeeld. Dit verkleint de tijd tussen ontdekking en mitigatie. Het past in de bredere Europese digitalisering waarin weerbaarheid voorop staat.
Dit incident laat zien dat continu verbeteren nodig is. Technologie en dreigingen veranderen, en beleid moet meebewegen. Door techniek, proces en governance te combineren, voldoen instellingen aan AVG en NIS2 en verkleinen zij de impact van toekomstige aanvallen. Dat is in het belang van studenten, medewerkers en de samenleving.