Op maandag 23 december 2019 werd de Universiteit Maastricht slachtoffer van een grote ransomware-aanval. De Windowssystemen werden hiermee platgelegd. Zowel studenten als medewerkers werden daardoor getroffen. Dat was voor de onderwijsinstelling, de politie en het OM in Limburg de start van een intensieve samenwerking. Waar laatstgenoemde partijen aan de slag gingen met een opsporingsonderzoek, nam de Universiteit een cybersecuritybedrijf in de hand om het netwerk en de systemen samen met de eigen medewerkers weer operationeel te krijgen.
Sporenonderzoek
De start van het onderzoek begon met de aangetroffen sporen. Metten Bergmeijer, teamleider van het cybercrimeteam van politie Limburg: “Iedere vorm van criminaliteit laat sporen achter, ook criminaliteit in de digitale wereld. Dankzij een goede samenwerking met de Universiteit en het door hen ingehuurde cybersecuritybedrijf hebben we gebruik kunnen maken van de door hen veilig gestelde sporen. Een dergelijke samenwerking is essentieel om een goed opsporingsonderzoek te kunnen doen”, legt Metten Bergmeijer uit. “Je kunt het vergelijken met een woninginbraak. Wij repareren als politie niet de deur die de inbrekers vernield hebben, maar zijn in ons onderzoek wel geïnteresseerd in de vingerafdrukken of andere sporen die op die deur zijn achtergelaten.” Op enig moment zag de Universiteit zich genoodzaakt 197.000 euro losgeld aan de hackers te betalen. Metten Bergmeijer: “We hebben altijd het standpunt gehad dat er niet betaald moest worden. Maar we respecteren en begrijpen in het licht van alle dilemma’s deze keuze.” Lees daarover hier meer.
Internationale samenwerking
Het onderzoek van het OM en de politie baseerde zich op digitale, financiële en tactische invalshoeken. Criminaliteit stopt niet bij de grens van een eenheid of land en zeker cybercriminaliteit niet. Dat bleek in deze zaak niet anders. Die sporen brachten het onderzoeksteam al snel over de grens. Daardoor ontstond een nauwe internationale samenwerking met diverse landen. Bij een groot aantal partijen in het buitenland werden gegevens gevorderd. Ook de betaling die de universiteit deed, liet sporen na die het onderzoeksteam weer een stap verder bracht. Via een (digitale) zoektocht die vele landen doorkruiste, is er een persoon in Oekraïne bij het onderzoeksteam in beeld gekomen. Het onderzoeksteam is in 2021 afgereisd naar Oekraïne waar de Oekraïense autoriteiten op verzoek van het onderzoeksteam een doorzoeking in een woning hebben gedaan en met betrokkenen gesproken hebben. Het onderzoek daar heeft de weg vrij gemaakt om uiteindelijk de cryptovaluta in beslag te kunnen nemen.
Wallet bevroren
In februari 2020 werd er door het onderzoeksteam een wallet bevroren waar een deel van het betaalde losgeld naartoe is gegaan. Op dat moment was de waarde van de cryptovaluta die daarin stonden ongeveer 40.000 euro. Het bevriezen van de wallet garandeert dat er met het geld niets meer kan gebeuren omdat de eigenaar van de wallet er geen toegang meer toe heeft. Om vervolgens daadwerkelijk beschikking over de wallet te krijgen, moet een juridische traject tot formele inbeslagname leiden. Daartoe moesten onder meer vorderingen en rechtshulpverzoeken bij internationale partners gedaan worden. Een weg van de lange adem, die er uiteindelijk toe geleid heeft dat in april 2022 de cryptovaluta formeel door het OM in beslag werd genomen. Door de koerswijzigingen van de cryptovaluta is de waarde gestegen tot ongeveer 500.000 euro. Méér dan de Universiteit destijds betaalde.
Schadeloos stellen UM
Georges van den Eshof (officier van justitie cybercrime): “Er moeten nog juridische stappen gezet worden, maar het OM gaat er alles aan doen om dit gehele bedrag bij de Universiteit te krijgen. Zij hebben destijds ongeveer 200.000 euro aan losgeld betaald, maar de door hen geleden schade was natuurlijk veel groter. Denk aan de aanschaf van nieuwe systemen en de werkzaamheden om het netwerk weer operationeel te krijgen. De hoofddoelstelling van de inbeslagname is de Universiteit zoveel mogelijk schadeloos te stellen. Dat was ook een van de doelen in het ons opsporingsonderzoek.” Naast dit mooie resultaat, leerden de politie en het OM ook lessen van dit onderzoek. Metten Bergmeijer: “Dit is destijds door het cybercrimeteam Limburg opgepakt. De afgelopen jaren hebben we van dit en andere onderzoeken geleerd dat incident gedreven werken minder effectief is dan werken vanuit het grotere geheel. Dat is de reden voor de oprichting van de Ransomware Taskforce.”