Gehackt, wat nu? Dit doet u als bedrijf direct

Gehackt zijn betekent dat iemand zonder toestemming toegang heeft gekregen tot uw systemen, accounts of gegevens. Voor een organisatie is dat een vervelend moment, maar zelden een moment waarop alles verloren is. Wat u in de eerste uren doet, bepaalt voor een groot deel hoe snel u weer doorwerkt.

Rust is daarbij geen karaktertrek maar een werkwijze. Overhaaste acties, zoals alles uitzetten of meteen opschonen, wissen vaak precies de sporen die u later nodig heeft.

Hieronder leest u wat u in de eerste uren doet, wie u belt, wat u meldt en hoe u herstelt. Heeft u een incident response plan, pak dat er dan nu bij.

Is uw organisatie gehackt? Zo herkent u het

Soms is het overduidelijk: een losgeldbericht op het scherm, of bestanden die niet meer opengaan. Vaker begint het klein. Een medewerker kan niet meer inloggen, klanten krijgen vreemde mails uit uw naam, of de bank belt over een betaling die niemand herkent.

Ook een bericht van buiten kan het begin zijn, bijvoorbeeld van de politie, het NCSC of een leverancier. Neem zo’n melding serieus, maar controleer zelf of hij echt is: bel terug via een nummer dat u zelf opzoekt. Twijfelt u of u gehackt bent, behandel het dan als een incident tot het tegendeel blijkt.

De eerste uren: overzicht en een logboek

Bel als eerste uw IT-beheerder of IT-dienstverlener, en licht de directie in. Bespreek samen wat aan moet blijven en wat eraf moet: de internetverbinding, de getroffen systemen en de koppelingen met andere omgevingen.

Start meteen een logboek. Schrijf op wat u ziet, wat u doet, wie wat doet en hoe laat. Het NCSC raadt dat ook aan. U heeft het nodig voor onderzoek, aangifte, verzekeraar en meldingen. Achteraf is een tijdlijn bijna niet meer te reconstrueren.

Isoleren zonder sporen te wissen

Isoleren betekent voorkomen dat de aanvaller zich verder verspreidt. Haal getroffen apparaten van het netwerk door de kabel eruit te halen en wifi uit te zetten. Zet ze liefst niet uit: sommige sporen staan alleen in het werkgeheugen en verdwijnen bij het uitschakelen. Overleg dit met wie het onderzoek doet.

Bewaar alles wat later als bewijs kan dienen. Denk aan foto’s of schermafdrukken van meldingen en losgeldberichten, verdachte mails met hun bijlagen en de logbestanden van systemen. Ook de politie vraagt om digitale sporen niet verloren te laten gaan. Begin dus niet met opnieuw installeren voordat duidelijk is wat er is veiliggesteld.

Is ransomware nog bezig met het versleutelen van bestanden, dan gaat snelheid voor. Isoleer dan direct, ook als u nog niet alles weet. Hoe malware zich door een netwerk verspreidt, leest u in wat is malware.

Werk vanaf een schoon apparaat

Ga ervan uit dat een aanvaller kan meekijken op getroffen systemen. Wijzig wachtwoorden daarom vanaf een apparaat dat zeker niet besmet is, bijvoorbeeld een laptop die niet aan het netwerk hing.

Begin bij de accounts met de meeste macht: beheerdersaccounts, e-mail, toegang op afstand en de cloudomgeving. Trek na het wijzigen ook alle actieve sessies in, zodat wie al binnen was er echt uit ligt. Zet meerfactorauthenticatie aan waar dat nog niet zo was.

Controleer daarnaast zo snel mogelijk uw back-ups en stel ze veilig, zoals het NCSC adviseert. Koppel een back-up los als die nog aan het netwerk hangt. Een schone back-up is straks uw snelste weg terug.

Wie u belt en wat u vertelt

Bent u gehackt, dan heeft u bijna altijd hulp van anderen nodig. Het rijtje is meestal hetzelfde.

• IT-beheer. Uw eigen IT-afdeling of IT-dienstverlener, voor isoleren, veiligstellen en een eerste overzicht.
• Incidentspecialisten. Voor onderzoek naar wat er is gebeurd, hoe de aanvaller binnenkwam en of hij nog binnen is.
• Uw cyberverzekeraar. Kijk in de polis of er een eigen meldlijn is en welke hulp wordt vergoed, en bel vroeg.
• Uw crisisteam. Directie, communicatie en wie over privacy gaat, zoals de functionaris gegevensbescherming (FG). Zij besluiten over melden en communiceren.
• Uw bank. Als er betalingen zijn gedaan of rekeningnummers zijn gewijzigd. Hoe sneller u belt, hoe groter de kans dat een betaling nog terug te halen is.

Zet al deze nummers vooraf op papier, want bij een hack werken uw systemen misschien niet. Het NCSC adviseert een uitgeprinte bellijst op een zichtbare plek. Maak er een noodkaart van: één A4 met de eerste stappen, de telefoonnummers en wie mag besluiten.

Communiceer intussen rustig en feitelijk. Wijs één woordvoerder aan, vertel medewerkers als eersten wat ze wel en niet moeten doen, en speculeer niet over oorzaken. Is een mailbox misbruikt, waarschuw dan ook de contacten die berichten uit uw naam kregen.

Melden: Autoriteit Persoonsgegevens, NCSC en politie

Na een hack kunnen drie soorten meldingen aan de orde zijn. Welke voor u gelden, hangt af van wat er is geraakt en onder welke wet uw organisatie valt.

Datalek. Zijn persoonsgegevens ingezien, gestolen of onbruikbaar geworden, dan is er sprake van een datalek. Moet u dat melden, dan doet u dat volgens de Autoriteit Persoonsgegevens binnen 72 uur na kennisname, via het meldformulier. Weet u nog niet alles, doe dan een voorlopige melding en vul die later aan. Een weekend of vakantie is geen geldige reden om later te melden. Bij een hoog risico informeert u ook de mensen van wie de gegevens zijn.

Significant incident. Valt uw organisatie onder de Cyberbeveiligingswet (CBW), de Nederlandse invulling van NIS2, dan geldt ook de meldplicht voor significante incidenten. Volgens het NCSC doet u binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een melding en binnen een maand daarna een eindverslag. U meldt via het centrale meldpunt op MijnNCSC. Daarmee bereikt u in één keer uw sectorale CSIRT, het incidententeam voor uw sector, en de toezichthouder. De uitwerking staat in de NIS2 meldplicht. Valt u niet onder de wet, dan kunt u voor advies bij een cyberincident ook bij het NCSC terecht.

Aangifte. Een hack is strafbaar. U doet aangifte op het politiebureau, op afspraak via 0900-8844, ook namens uw bedrijf. Neem het logboek en het bewaarde bewijs mee. Een aangifte helpt ook als u later schade wilt verhalen. Gaat het om fraude, zoals een omgeleide betaling, meld het dan ook bij de Fraudehelpdesk.

Account of mailbox gehackt

Niet elke hack raakt de hele organisatie. Vaak gaat het om één account, meestal een mailbox. Signalen zijn berichten die niemand verstuurde, gewijzigde instellingen, een ander herstel-e-mailadres of inlogpogingen vanaf vreemde locaties.

• Wijzig het wachtwoord en log overal uit. Beëindig daarna alle actieve sessies op alle apparaten en apps.
• Controleer doorstuurregels en filters. Volgens het NCSC stellen criminelen vaak een doorstuurregel in, zodat ze alle mail blijven ontvangen. Kijk ook naar gekoppelde apps en naar de ingestelde methoden voor de tweede stap.
• Herstel de MFA. Verwijder telefoonnummers of apps die u niet herkent, en zet MFA aan als die nog uit stond.
• Waarschuw uw contacten. Vraag hen berichten uit de afgelopen periode met argwaan te bekijken.
• Controleer betalingen. Een gehackte mailbox kan worden gebruikt voor factuurfraude: een echte factuur met een ander rekeningnummer.

Werkt u met Microsoft 365, dan kunt u de meeste van deze controles centraal uitvoeren. Zie Microsoft 365 beveiligen. Kwam het wachtwoord uit een lek bij een andere dienst, lees dan hoe u checkt of gegevens gelekt zijn.

Herstellen en leren van het incident

Herstel begint pas als duidelijk is hoe de aanvaller binnenkwam, anders zet u de deur opnieuw open. Installeer getroffen systemen opnieuw vanuit een schone bron en zet gegevens terug uit een back-up van vóór de inbraak. Houd de omgeving daarna extra in de gaten, want een aanvaller probeert soms terug te komen.

Welke systemen als eerste terug moeten, bepaalt u het liefst niet tijdens het incident. Dat is het werk van bedrijfscontinuïteit: weten welke processen niet lang mogen stilliggen, en hoe u ze weer opstart.

Evalueer binnen een paar weken met iedereen die erbij betrokken was. Wat ging goed, wat kostte onnodig tijd, en wat past u aan? Verwerk de lessen in uw plan en op de noodkaart, en oefen het geheel met een cybercrisisoefening.

Veelgestelde vragen als u gehackt bent

Moet ik alle computers uitzetten?

Liever niet. Haal getroffen apparaten van het netwerk, maar laat ze aanstaan: in het werkgeheugen staan sporen die verloren gaan bij uitschakelen. Twijfelt u, overleg dan eerst met wie het onderzoek doet.

Moet ik aangifte doen als mijn bedrijf is gehackt?

Dat is verstandig. Met een aangifte kan de politie onderzoek doen, en het helpt als u later schade wilt verhalen. Neem uw logboek en het bewaarde bewijs mee.

Binnen hoeveel tijd moet ik een datalek melden?

Binnen 72 uur nadat u er redelijk zeker van bent dat persoonsgegevens zijn geraakt. Weet u dan nog niet alles, doe dan een voorlopige melding en vul die later aan.

Hoe weet ik of de aanvaller echt weg is?

Zekerheid krijgt u alleen met onderzoek. Is de ingang gedicht, zijn alle wachtwoorden en sessies vernieuwd en zijn systemen schoon opgebouwd? Dan is de kans klein dat de aanvaller nog binnen is. Houd de omgeving daarna een tijd extra in de gaten.

Valt een gehackte mailbox onder de meldplicht?

Dat kan. Een mailbox bevat bijna altijd persoonsgegevens. Kon een onbevoegde die inzien, dan is er sprake van een datalek en beoordeelt u of melden nodig is. Leg het in elk geval vast in uw datalekregister.