Datalek bij toetsenleverancier: wie ziet jouw bestanden nog?

Security.nl meldde op 19 oktober dat cybercriminelen maandenlang toegang hadden tot een systeem van Educational Testing Service (ETS) in Californië. ETS verzorgt toetsen voor de staat en wisselde leerlinggegevens uit via een beveiligde omgeving. Met gestolen inloggegevens kwamen criminelen binnen.

Volgens het artikel had de onbevoegde partij tussen 22 mei en 18 september toegang tot een omgeving voor bestandsuitwisseling. Bestanden met namen, geboortedata, adressen, leerlingnummers en toetsresultaten werden ingezien en gekopieerd. Ook informatie over beperkingen stond erin. Ontdekt werd het pas op 25 september.

Wat er precies misging

Het lek ontstond niet door een geavanceerde aanval. Er waren inloggegevens gestolen en daarmee kwam iemand binnen in een omgeving die bedoeld was voor het uitwisselen van bestanden. Daarna bleef het maanden stil. Pas na de ontdekking is het account uitgeschakeld en de omgeving offline gehaald.

Dat is de kern van dit verhaal. Niet de techniek, maar het gebrek aan zicht. Niemand merkte op dat er maandenlang bestanden werden opgehaald die daar niet hoorden. Als je niet weet wie wat ophaalt, kun je ook niet ingrijpen.

Wat dit betekent voor jouw bedrijf

De meeste MKB-bedrijven hebben geen eigen IT-afdeling. Bestanden gaan via e-mail, een gedeelde map of een linkje naar een klant. Vaak met een account dat iedereen kent en dat nooit verandert. Dat is precies het patroon dat hier fout ging.

De vraag is niet of jij net zo'n systeem hebt als ETS. De vraag is of jij zou merken dat er iets misgaat. Als een gedeeld account wordt gebruikt om bestanden met persoonsgegevens op te halen, zie je dat terug ergens? Weet je wie toegang heeft tot de map met klantgegevens?

• Welke gedeelde accounts bestaan er, en wie weet het wachtwoord?
• Waar staan bestanden met persoonsgegevens, en wie kan daar bij?
• Is er een log of overzicht van wie bestanden ophaalt?
• Wanneer is voor het laatst iemand uit een gedeelde map gehaald die er niet meer hoort?

Dit raakt ook de AVG. Je moet kunnen uitleggen waar persoonsgegevens staan en wie ze kan inzien. Een gedeeld account zonder overzicht maakt dat lastig. Dat geldt ook als je AI-tools gebruikt die bestanden inlezen of doorsturen.

Wat je deze week kunt doen

Pak één gedeelde map of één gedeeld account met klant- of persoonsgegevens. Loop de lijst met mensen door die er toegang toe heeft. Haal eruit wie er niet meer hoort. Zet daarna een vast moment in je agenda om dat elk kwartaal opnieuw te doen. Meer is het niet, en het kost je een half uur.