De digitale diensten van de stad Antwerpen liggen op hun gat na een hack. Volgens de communicatie van de Koekenstad kregen ze op de nacht van 5 op 6 december van de ransomeware-roe. Wie de zwarte Piet toegespeeld krijgt, is nog niet zeker. Wat wel duidelijk is, is dat uw data niet veilig zijn in overheidshanden. Een kleine opsomming van cyberveiligheidsincidenten voor het laatste jaar: hacks bij Defensie, de federale Kanselarij, Binnenlandse Zaken, Politiezone Zwijndrecht, de stad Antwerpen en blijkbaar ook de stad Diest. Kan de burger de overheid nog vertrouwen met zijn data? Een reactie van de stad Antwerpen en privacy-specialist Matthias Dobbelaere-Welvaert.

Bij Digipolis, het autonoom gemeentebedrijf dat de IT voor Stad Antwerpen beheert, is niemand bereikbaar voor commentaar. Wij hadden hen graag wat meer technische vragen gesteld over de hack. Alle communicatie is echter in handen van stadswordvoerder Dirk Delechambre.

Kan u ons vertellen op welke manier de hackers zich toegang hebben kunnen verschaffen tot de systemen? Gaat het over phishing of was de hack meer technisch van aard?

Delechambre: ‘Daar kan ik op dit moment geen verklaringen over afleggen. We willen de hackers niet slimmer maken dan ze al zijn en geven daarom geen details vrij.’

De hack kwam naar boven tijdens Sinterklaasnacht. Heeft u enig idee hoe lang de systemen al geïnfecteerd waren?

‘Ook hier moet ik het antwoord schuldig blijven, omwille van dezelfde reden…’

Het mag niet verbazen dat het vertrouwen van de bevolking in het goede beheer van hun data door de overheid een ernstige deuk heeft gekregen. Wat kan de stad daar aan doen?

‘Antwerpen stelt alles in het werk om de gegevens van zijn burgers zo goed mogelijk te beschermen. Wij werken hard aan onze cyberveiligheid en investeren daar zwaar in. Op dit moment stellen we ales in het werk om alle systemen terug up and running te krijgen. Voor bepaalde zaken zijn er al oplossingen, al zijn die dan niet digitaal. Zo kunnen overlijdensaktes aan het loket worden opgehaald in plaats van ze digitaal te versturen. Maar ik wind er geen doekjes om. Het zal nog weken duren voor alles terug bij het oude is.’

‘Ik stel wel vast dat we niet de enigen zijn die het slachtoffer worden van cyberaanvallen. Ik heb gehoord dat de stad Diest vandaag (gisteren, nvdr.) ook voor de bijl ging. En het zijn ook niet alleen overheden die het slachtoffer worden. Privébedrijven hebben hier ook geregeld last van en die beschikken eveneens over heel wat gevoelige data van hun klanten.’

Overheid dwingt data af

Dat laatste kan dan wel waar zijn, toch is er een fundamenteel verschil, zo verduidelijkt Matthias Dobbelaere-Welvaert. ‘Als burger kan je wel beslissen om zo weinig mogelijk data te delen met privé-bedrijven. Bij een overheid gaat het vaak over een verplichting. Je moet een identiteitskaart hebben, bepaalde officiële documenten moet je gewoon aanvragen. Het is bijzonder moeilijk om bij overheden als burger aan dataminimalisatie te doen. Maar hoe minder data je geeft aan de overheid, hoe veiliger je bent. Dat is vandaag eens te meer bewezen.’

‘Al gebied de eerlijkheid me toe te geven dat er ook problemen zijn bij privé-bedrijven. Maar de overheid is zeker geen voorloper op het gebied van cyberbeveiliging.’

Ik had een aantal pertinente vragen over de hack om in te schatten hoe het met de cyberbeveiliging zit bij Digipolis, zoals hoe en wanneer ze waren binnen geraakt. De woordvoerder van de stad Antwerpen wenste daar niet op te antwoorden om de hackers niet slimmer te maken… Alsof die het antwoord op die vragen niet al kennen…

‘(lacht) Dat denk ik ook wel. De communicatiestrategie van de stad Antwerpen is er eentje die ze beter niet herhalen bij andere incidenten. Dit is niet de juiste manier om hier mee om te gaan.’

Wat kunnen de gevolgen zijn voor de burgers wiens gegevens nu gehackt zijn?

‘Het bekendste gevolg is mogelijke identiteitsfraude. Er ligt nu zoveel gevoelige officiële informatie van burgers op straat: rijksregister- en paspoortnummers, biometrische data… Die informatie is een goudmijn, een geschenk voor criminelen. Vroeger gingen ze daarmee bankleningen aan. Dat is moeilijker geworden, maar nu richten ze zich op zaken zoals het afsluiten van energiecontracten. Met die gegevens kan je als crimineel allerhande leuke dingen doen. Minder leuk wel voor de slachtoffers. En achteraf heel moeilijk om te bewijzen dat de geleden schade te te wijzen is aan één welbepaalde hack.’

Kan u een oplossing aanreiken voor de overheid? Hoe zouden ze beter kunnen doen?

‘De GDPR verwacht twee zaken van een overheid. Ten eerste dat ze alle technische middelen inzetten om hacks te voorkomen. Dat zal wel gebeurd zijn. Maar ten tweede moeten ze ook het nodige doen om hun mensen goed op te leiden en de nodige vaardigheden – soft skills – bij te brengen om te voorkomen dat ze in de val trappen van criminelen. Heel vaak ligt één persoon die op een verkeerde link klikt aan de basis van dit soort incidenten. Ik begrijp wel dat het heel moeilijk is om je hier tegen te wapenen. Maar van een overheid mag je wel iets meer verwachten.’

Mogen we niet stilaan gaan eisen dat de overheden zich ietwat terughoudender opstellen in hun honger naar data?

‘Wij waarschuwen al jaren dat de informatiehonger van de overheid problematisch is. Het Grondwettelijk Hof vindt dat niet. Elke informatie die een overheid opvraagt is potentiële buit voor dieven. Het is natuurlijk al langer aan de gang. Dit gaat al terug tot de jaren ’80 van de vorige eeuw. Een overheid heeft maar één doel en dat is meer macht. Data is macht. Hoe meer data, hoe meer macht. En of het nu een linkse of een rechtse regering is, dat maakt geen verschil. Enkel de accenten liggen anders: veiligheid versus milieu en klimaat, bijvoorbeeld. Maar het gaat altijd om meer data, meer camera’s, meer surveillance.’

De machthebbers maken nooit de reflectie dat na hen wel eens figuren met minder goede bedoelingen aan de macht kunnen komen.

‘Kanaal Z heeft ooit die vraag voorgelegd aan Bart Somers met zijn cameranetwerk rond Mechelen. Die zei simpel dat als er ooit een autoritair regime aan de macht zou komen, die de camera’s dan wel zelf zouden installeren. Hij vindt uw argument dus niet geldig. Alleen gaat hij voorbij aan het feit dat je niet op 1-2-3 een cameranetwerk op poten zet. Zelfs bij een autoritair regime duurt dit máánden. Tijdens die maanden kan je dan verzet organiseren of vluchten. Dat kan vandaag niet meer. Ik vond dat antwoord van Somers waanzinnig. Maar het is wel duidelijk hoe de verantwoordelijke politici over de materie denken.’

Gaat dit over naïviteit? Weigeren zij in te zien wat de reikwijdte is van deze technologie?

‘Ik ben dat stadium, waarin ik dacht dat het over naïviteit ging, voorbij. De beleidsmakers weten op dit moment goed genoeg wat er kan gebeuren, wat de risico’s zijn. Ik krijg vermoedens van kwaadwilligheid. Ze redeneren dat als het verkeerd loopt, dat dan gewoon zo is. Ze lijken er van uit te gaan dat dat niet zal gebeuren tijdens hun termijn, dat het een probleem is voor wie na hen komt.’

‘Die naïviteit kon ik tien jaar geleden nog aanvaarden. Vandaag zijn er zoveel voorbeelden van waar het fout loopt dat dit niet meer op gaat. Tijdens de coronacrisis hebben we genoeg voorbeelden gezien waarbij die systemen misbruikt werden. Ik kan me niet inbeelden dat je vandaag als politicus nog naïef kan zijn over technologie. Technologie is neutraal en kan zowel voor goed als voor kwaad ingezet worden. Zij denken dat ze heel democratisch zijn en dat ze daar heel goed mee omgaan. Maar dat is niet altijd het geval.’

Dirk Delechambre

Matthias Dobbelaere-Welvaert over hack stad Antwerpen: ‘Geen geloof meer in naïviteit overheid’