Cybercrime stelt het Nederlandse bedrijfsleven danig op de proef. Gemeenten, onderwijsinstellingen, ziekenhuizen en winkels worden het vaakst getroffen. Maar ook bedrijven in de bouw en techniek zijn soms ‘aan de beurt’. Op 15 juni 2023 stuurde Coen Hagendoorn Bouwgroep een bericht aan alle huurders van woningbouwcorporaties waarvan gegevens in het computersysteem stond: ‘Er heeft een cyberaanval op ons computersysteem plaatsgevonden. Wij hebben meteen het datalek gestopt om toegang tot gegevens tegen te houden. De kans is klein dat die zijn gelekt. Toch kunnen we dit niet voor 100 procent garanderen.’
Coen Hagendoorn Bouw is niet de enige. Bij bouwbedrijf Heijmans probeerden hackers 1.300 accounts te kraken (wat niet lukte). Installatiebedrijf Hoppenbrouwers Techniek was slachtoffer van een aanval met gijzelsoftware op de beheersoftware van leverancier Kaseya. De totale kosten: 400.000 euro.
Volgens Pim Takkenberg, directeur van beveiligingsbedrijf Northwave, zijn gehackte bedrijven gemiddeld drie weken uit de lucht. De kosten kunnen zitten in de inzet van externe specialisten, gederfde inkomsten doordat systemen tijdelijk niet functioneren (of klanten niet bediend kunnen worden), extra kosten voor eigen medewerkers, juridische claims en de aanschaf van nieuwe, minder kwetsbare hardware. ‘En dan tel ik het betalen van losgeld niet mee. Wat gebeurd in 50 procent van de gevallen die ons bekend zijn.’
Enquête ABN AMRO
De noodzaak van cyberweerbaarheid staat bij steeds meer ondernemers op de radar. Uit een recente enquête van ABN AMRO onder 895 organisaties blijkt dat de overgrote meerderheid van de ondervraagden kiest voor technologische maatregelen: virusscanners, het versleutelen van gegevens en het toepassen van firewalls.
Al krijgt het voorkomen van menselijke kwetsbaarheden – lees: stommiteiten – ook meer aandacht. Het percentage bedrijven dat op dit vlak actie onderneemt, steeg van 40 procent in 2022 naar 53 procent in 2024. Voorbeelden zijn trainingen om basishygiëne op het gebied van cybersecurity bij medewerkers tussen de oren te krijgen of het simuleren van phishing-aanvallen om de kennis te vergroten. ‘Zulke oefeningen moet je maandelijks laten terugkeren’, adviseert Arwi van der Sluijs, algemeen directeur van cybersecuritydienstverlener NFIR. ‘Koppel er een toets aan om de opgedane kennis te monitoren. En laat de afdeling HR de resultaten bijhouden.’
Maarten Roerink, CEO van cybersecuritydienstverlener MMOX, onderstreept het belang van een mix aan maatregelen om je cyberweerbaarheid op te krikken. ‘Als je een risico gestuurde aanpak hanteert, zijn er ingrepen nodig vanuit IT en technologie, op procesniveau en op menselijk vlak. Welke bedrijfsdata zijn bijvoorbeeld gevoelig of waardevol? En welke medewerkers hebben toegang tot die data? Juist voor hen moeten extra opleidings- en beveiligingsmaatregelen gelden, anders moet hun toegang tot een bepaald systeem worden ingetrokken.’
Zwak wachtwoord: banaan
Het cyberbewustzijn bij ondernemers groeit, net als de lijst met incidenten. DataLekt.nl rapporteerde sinds 2016 al 667 datalekken en 241 aanvallen met gijzelsoftware in Nederland. Totale schade: 108 miljoen euro. Van alle voorvallen vond 1,7 procent plaats in de bouwnijverheid. Dat valt mee in vergelijking met gemeenten (12,3 procent), IT-bedrijven (11 procent) en zorginstellingen (10,4 procent). Maar toch: ook bedrijven in de bouw en techniek lopen te vaak tegen de lamp.
Cybersecuritydienstverleners staan in de rij om assistentie te verlenen. Heel goed, maar ook kostbaar. En soms helemaal niet nodig. Immers: voor de meest basale maatregelen is vooral gezond boerenverstand nodig. Wat te denken van het gebruik van makkelijk te kraken wachtwoorden? ‘Banaan’ bijvoorbeeld, ‘w8woord’ of ‘1234567’? Kraken is een peulenschil. Daar hoef je als hacker niet eens je best voor te doen.
Onderzoeksjournalist Maria Genova schreef boeken over cybercrime en cyberweerbaarheid, zoals ‘Komt een vrouw bij de h@cker’, ‘What the h@ck’ en ‘Snel geleerd, slim online’. Zij waarschuwt al jaren voor makkelijk te kraken wachtwoorden. ‘Bij gemeente Hof van Twente werd vier jaar geleden het wachtwoord ‘welkom2020’ gekraakt. Dat kostte hen 4 miljoen euro.’ Haar oproep: maak wachtwoorden lang, minimaal dertien tekens. ‘Daar zijn de nieuwste hackprogramma’s nog niet echt tegen bestand, want dan gaat het om miljarden mogelijkheden.’ Het gebruik van simpel te onthouden zinnen is ook een optie. ‘De zin ‘Ik_hou_van_groene_worteltjes’ is in honderd jaar niet te hacken. Nou ja, nu wel.’