Zo werd IJskoud slachtoffer van hack bij datacenter
"Eerst dacht ik dat het wel meeviel, dat het een gewoon computerprobleem was", vertelt José Komin, directeur van IJskoud. Maar toen ze de volgende dag de vijf A4’tjes correspondentie tussen de hackers en hun hostingpartij zag, realiseerde ze zich hoe serieus het was. En in wat voor nachtmerrie ze was beland.
José: "Ik besefte: we zijn gehackt. En niet zo’n beetje ook. We dachten dat onze ICT goed beveiligd was en dat onze servers veilig waren in de cloud bij onze hostingpartij. Maar dat bleek niet het geval." Alle ICT-systemen van IJskoud en die van andere klanten bij diezelfde hostingpartij zaten op slot. De eis? 1 miljoen dollar in bitcoin, te betalen door de slachtoffers gezamenlijk.
IJskoud is een bedrijf uit Amsterdam dat koeltechnische installaties installeert, onderhoudt en repareert. José: "Simpel gezegd maken we dingen koud." Dit varieert van horecabier tot aan koelingen voor probiotica, coronavaccins en CO2-silo’s voor blusgasinstallaties. Daarnaast koelt het bedrijf ook installaties bij worstenmakerijen, kantoorpanden, het openbaar vervoer en ziekenhuizen, inclusief operatiekamers en MRI-installaties.
José Komin vertelt over de hack op IJskoud
- Download in MP4 HD formaat MP4 HD | 303.6 MB
Directeur-eigenaar José Komin van koeltechnische installatiebedrijf IJskoud vertelt vanuit haar kantoor over de hack waar IJskoud slachtoffer van werd.
"We waren al best wel alert.
We hadden ook heel veel mensen die tegen ons zeiden:
“Zijn jullie gehackt?”
Jullie hebben het allemaal zo goed voor elkaar!
Ik ben José Komin, directeur-eigenaar van IJskoud.
IJskoud is een koeltechnisch installatiebedrijf.
Dat wil zeggen dat wij koel- en vriesinstallaties bouwen, installeren, repareren, monteren, maar ook onderhouden.
De impact die deze hack heeft gehad op ons bedrijf en op ons, is groot.
Je biedt je server aan aan een hostingpartij en gaat ervan uit dat je veilig bent. En je wordt in je veiligheid aangetast.
Dat doet iets met je als mens.
Op 14 juni in de ochtend wilden onze monteurs hun werkbonnen oppakken.
Nou, dat ging niet.
Wat wij dan altijd doen is Matthijs bellen. Matthijs is onze ICT-medewerker.
Hij had eigenlijk direct door dat er iets mis was. Hij heeft onze hostingpartij gebeld en toen is het balletje eigenlijk gaan rollen. Die konden wel bij de servers, maar merkten al vrij snel dat het versleuteld was. Ze hebben alles platgegooid en hebben aangegeven dat ze gingen communiceren via de website.
In de loop van de zaterdag werd duidelijk wie de hackers waren en dat dit heel serieus mis was.
We zijn alles gaan nabouwen in Excel. Pen en papier eigenlijk letterlijk. We konden eigenlijk ook niet factureren. We konden ook niet betalen, dus de impact op onze klanten was groot, maar ook de impact op onze leveranciers, én de impact op ons team.
Eigenlijk hadden we één doel en dat was dat maandag onze monteurs gewoon aan het werk konden en die afspraken met onze klanten konden nakomen.
En dat is gelukt. En de reacties van klanten waren zo... ja, zo verwarmend eigenlijk.
We doen al twintig jaar zaken met heel veel mensen dus die gingen ons ook ondersteunen.
Ik kreeg appjes en dat hielp. En het bijzondere als er zoiets gebeurt, is dat je eigenlijk heel erg scherp wordt.
Dan zie je eigenlijk wel als je een klein familiebedrijf hebt, dat de hekken zich sluiten en dat je in je eigen bubbel gaat doen wat nodig is. En dat deed werkelijk iedereen,
dus dat was ook wel weer iets heel moois.
Achteraf zeg ik dat.'
Een andere storing dan normaal
In de vroege ochtend van vrijdag 14 juni 2024 meldden 2 technici dat de apps op hun tablets, die ze gebruiken voor hun digitale werkbonnen, niet meer werkten. ICT-beheerder Matthijs Moison was die dag vrij, maar deed vanuit huis toch een aantal checks om te kijken wat er aan de hand was. José: "Het gebeurt wel vaker dat iets tijdelijk niet werkt, zoals een server die offline is of een verbindingsprobleem bij de provider. Maar nu leek het anders. De servers waren wel bereikbaar, maar werkten niet als normaal. Ook meldde ons monitoringsysteem dat er 's nachts iets vreemds was gebeurd."
Volgens de externe hostingpartij waren de servers in het datacenter gehackt. José: "Deze servers worden door onze hostingpartij beheerd. Het ging niet alleen om ons, maar ook om andere klanten van de hostingpartij. Uit onderzoek bleek dat de LockBit 3.0 groep achter de hack zit. Alle servers, back-ups en data waren versleuteld met ransomware."
Het hostingbedrijf van IJskoud laat desgevraagd weten dat er in totaal 24 klanten getroffen zijn door de aanval. Bij 10 bedrijven zou de data zijn versleuteld. Nog geen 5% van het totaal aantal klanten, volgens de woordvoerder. IJskoud zou het grootste slachtoffer zijn geweest, mede vanwege de grote hoeveelheid maatwerk op hun servers.
Leunen op het geheugen van werknemers
José: "De aanval heeft een grote impact gehad op de business. Simpel gezegd konden we niets meer, behalve bellen en mailen. Het ERP-systeem werkte niet, waardoor we geen idee meer hadden welke projecten, storingen en onderhoudswerkzaamheden er liepen bij klanten." IJskoud beheert ongeveer 10.000 installaties in onderhoud, wat een enorme belasting betekende voor het team.
Ook de fieldservice-software, voor de planning en digitale werkbonnen, deed het niet meer. Dit betekende dat alle planningen voor de komende maanden, evenals recent afgeronde projecten verdwenen waren. "Ter indicatie, we hebben het dan over een paar duizend orders. We hebben een beroep moeten doen op het geheugen van onze technici om de planning voor de komende periode te herinneren zodat we in ieder geval de klanten konden helpen met koeltechnische storingen.”
De fileservers en databases waren niet meer toegankelijk en ook het klantenportaal, dat gebruikt wordt om de status van installaties te delen met klanten en inspecties, lag plat. Volgens het hostingbedrijf was een van de problemen bij IJskoud dat alle data, waaronder backups, op fileservers stond, en niet in de cloud. Om dataverlies te beperken in de toekomst gaat het bedrijf er strenger op toezien dat alle data in de cloud staat.
Forensisch onderzoek en noodprocedures
Direct na de hack schakelde IJskoud een cybersecuritybedrijf in voor forensisch onderzoek. "Het was al snel duidelijk dat dit geen kwestie van uren, maar dagen of zelfs weken zou zijn. We hebben dezelfde dag nog onze noodprocedures opgestart en een teammeeting gehouden om alle medewerkers bij te praten. Ook hebben we klanten en leveranciers geïnformeerd en melding gemaakt van het datalek bij de politie en de Autoriteit persoonsgegevens."
Herstel na 12 dagen
Na 12 dagen waren het ERP-systeem en de fieldservice-software weer in de lucht. José: "Vanaf dat moment konden we weer facturen maken, inkoopfacturen verwerken en offertes maken. We konden ook weer aan de slag met project- en serviceorders. Maar niet alles werkte meteen."
De emotionele, financiële en zakelijke impact was enorm. José: "De krachten die spelen tijdens zo’n proces zijn onvoorstelbaar. Gelukkig konden we de kosten voor het forensisch onderzoek delen met andere bedrijven, anders hadden we failliet kunnen gaan.”
Samenwerking met hostingpartij
José blikt positief terug op de samenwerking met de hostingpartij: "Ondanks dat we geen concrete afspraken hadden over dit soort incidenten, verliep het contact goed. We werden goed op de hoogte gehouden. Het hostingbedrijf heeft daarnaast zo snel mogelijk een nieuwe omgeving opgezet om alle systemen weer te kunnen installeren."
IJskoud had geen concrete afspraken over de dienstverlening rondom incidenten gemaakt. "Uiteraard staat er wel wat over vermeld in de Service Level Agreement (SLA). Achteraf gezien zouden we de SLA veel kritischer bekijken.”
José en haar team hebben cyberveiligheid nog hoger op de agenda gezet. "We waren ons al bewust van de gevaren van cybercriminaliteit. Daarom doen we regelmatig phishing-simulaties om het gedrag van medewerkers te testen. Ook werken we op kantoor met een wachtwoordmanager, hebben we een wachtwoordbeleid (moeilijkheidsverplichting en periodieke vernieuwing) en werken we zoveel mogelijk met 2FA. Wel gaan we hier nog meer op toezien en het gebruik van de wachtwoordmanager zelfs verplicht stellen. Ook gaan we meer gebruik maken van IP- en apparaatgebonden toegangscontrole."
Tips voor andere ondernemers
Tips aan andere ondernemers heeft José volop. "Zorg dat je een goede procedure hebt klaarliggen voor als je gehackt bent of systemen niet werken. Dat helpt met het opstarten voor de tijd dat je offline bent." Daarnaast beveelt ze ondernemers aan periodiek een pentest te laten uitvoeren om de beveiliging te beoordelen. José: "Zorg verder dat je precies weet welke systemen je hebt, waar alles draait en dat je back-ups op orde zijn. Laat een onafhankelijke partij meekijken met de inrichting van je systemen, niet alleen je eigen leverancier. Vertrouwen is goed, maar controle is beter."
Blijvende impact
De hack heeft tot op de dag van vandaag een blijvende impact op IJskoud. "De eerste dagen waren druk en intens. Van ’s ochtends vroeg tot ’s avonds laat was er contact tussen de directie en systeembeheerder Matthijs om zo snel mogelijk de noodprocedures op te starten en een plan te maken. Dit kostte niet alleen tijd, maar ook geld. Enerzijds omdat we minder efficiënt konden werken bij onze klanten. Anderzijds omdat de collega’s op kantoor veel meer tijd moesten besteden aan het verwerken van alle orders."
Daarnaast zijn er veel kosten gemaakt om alle systemen weer werkend te krijgen. IJskoud heeft diverse bedrijven en consultants ingeschakeld om programma’s en systemen opnieuw te installeren. José: "Matthijs is tot op de dag van vandaag nog steeds heel veel uur per week kwijt aan het opnieuw opzetten van bepaalde zaken. Hij verdient een standbeeld voor zijn onvoorwaardelijke inzet, geduld en 24/7 beschikbaarheid. Maar ook de rest van het team stelt zich fantastisch wendbaar en flexibel op."
Tot slot is José dankbaar voor de steun van klanten, leveranciers en andere relaties. "We hebben hartverwarmende reacties ontvangen. Iedereen heeft aangegeven ons op elke mogelijke manier te blijven steunen."
De aanval heeft een grote impact gehad op de business. We konden niets meer, behalve bellen en mailen
Tips van José Komin:
- Stel een duidelijke procedure op om voorbereid te zijn op dit soort situaties.
- Laat periodiek een pentest uitvoeren om de beveiliging te evalueren.
- Breng in kaart welke systemen je gebruikt en waar ze draaien.
- Zorg ervoor dat back-ups goed geregeld en up-to-date zijn.
- Schakel een onafhankelijke partij in om de inrichting van je systemen te beoordelen.
- Maak goede afspraken met je IT-dienstverlener.
'What doesn't kill you, makes you stronger'
Om haar verhaal te delen, het hart te luchten en vooral de bewustwording onder andere ondernemers te vergroten, schreef José deze column.
Leer van andere ondernemers
Een cyberaanval is geen ver-van-mijn-bedshow meer. Steeds meer ondernemers vertellen openhartig over hun ervaringen om andere ondernemers te helpen. Helpt jouw ervaring anderen? Dan komen we graag in contact.
Edwin de Ruijter ontdekte dat de goede naam van zijn bedrijf wordt misbruikt. Oplichters gebruiken een bijna zelfde bedrijfsnaam om geld bij slachtoffers af te troggelen.
Het is vrijdagavond als directeur Henny de Haas een verontrustend telefoontje krijgt: "We zijn gehackt." Een ransomware-aanval trof techniekbedrijf Hoppenbrouwers. “Het grijpt me nog steeds aan.”
'Family office' Boven en Dean werkt met zeer persoonlijke gegevens. Op een maandag in februari 2020 gaat het mis en worden ze het slachtoffer van een ransomware-aanval.