Hack bij softwarebedrijf Vanden Broele treft meer dan honderd lokale besturen

Een hacker brak in op eSignFlow, de handtekeningmodule van softwarebedrijf Vanden Broele. Meer dan honderd Belgische lokale besturen gebruiken die dienst om documenten digitaal te laten ondertekenen. Een ambtenaar of schepen moet dan niet voor elke handtekening fysiek langskomen bij een collega of leidinggevende. Vooral metadata zoals namen van ondertekenaars en documenttitels raakte gelekt, niet de handtekeningen zelf. Vanden Broele levert naast eSignFlow nog andere software aan lokale besturen. Het bedrijf is daardoor voor veel steden en gemeenten een vaste partner in hun dagelijkse digitale administratie.

Vanden Broele merkte vrijdagochtend verdachte activiteit op de eigen servers op. Het legde eSignFlow rond de middag stil, uit voorzorg voor verdere schade. De dienst lag daardoor zo’n anderhalve dag plat, voor alle klanten die in die periode documenten wilden ondertekenen. Zaterdagavond ging de dienst weer online. Volgens RTBF vond de inbraak zelf echter al eerder plaats, op 22 en 23 oktober. Het incident werd pas maandag gemeld aan de bevoegde instanties.

Het bedrijf verving na de aanval alle toegangssleutels en koppelingen met de systemen van zijn klanten. Het blokkeerde ook de IP-adressen van de aanvaller(s), om een nieuwe poging te voorkomen. Het deed aangifte bij de politie. Ook het Centrum voor Cybersecurity België, de federale dienst tegen cyberaanvallen, en de Gegevensbeschermingsautoriteit, de Belgische privacytoezichthouder, kregen een melding. Zo’n melding is in België verplicht zodra persoonsgegevens mogelijk in verkeerde handen zijn gekomen, ook wanneer het om een beperkte groep gegevens gaat zoals namen en documenttitels.

Volgens CEO Bram Van Impe van Vanden Broele werd geen enkele handtekening vervalst in naam van iemand anders. Hij zegt daar absoluut zeker van te zijn, ook al lagen namen van ondertekenaars en documenttitels wel open. Daarmee maakt hij, als CEO van het getroffen bedrijf, een onderscheid tussen wat de hacker volgens hem kon lezen en wat de hacker volgens hem kon vervalsen. Voor lokale besturen die met eSignFlow werken, is dat onderscheid best belangrijk. Het raakt namelijk de vraag of een ondertekend document zelf nog te vertrouwen is, los van de vraag welke gegevens erover gelekt zijn.

Meer dan honderd lokale besturen in België maken gebruik van de getroffen software. VRT spreekt van meer dan 120 besturen die de dienst gebruiken. Hoeveel van die besturen effectief gegevens zagen uitlekken, wordt nog onderzocht. Niet elk bestuur dat eSignFlow gebruikt, had namelijk documenten in de getroffen periode klaarstaan. Dat onderzoek loopt bij Vanden Broele zelf, het bedrijf achter de getroffen dienst.

Gemeenten als Peer, Genk en Leopoldsburg waarschuwen hun inwoners intussen voor phishingpogingen en frauduleuze betalingsverzoeken. Het gaat onder meer om onterechte vragen om te betalen voor GAS-boetes, nadat bleek dat hun externe softwareleverancier gehackt werd. Die gemeentelijke administratieve sancties kunnen worden opgelegd voor kleine overlast, zoals sluikstorten of nachtlawaai. Ze gaan normaal over een boetebedrag dat per brief wordt aangekondigd, niet over een link waarop meteen en met haast betaald moet worden. Stad Peer en VRT benadrukken daarbij dat het incident zich niet voordeed in de eigen computersystemen van de getroffen steden en gemeenten, maar bij de externe softwareleverancier.