Hack op Utrechtse zorgwebsite treft kwetsbare inwoners
Een digitale inbraak op de website van Welzijn op Recept (WOR) heeft mogelijk privacygevoelige informatie op straat doen belanden van 25 inwoners in de stad. Het gaat om personen die kampten met klachten zoals stress, eenzaamheid of somberheid en via hun huisarts of een andere zorgprofessional werden aangemeld voor een welzijnscoach. Dat maakt het Utrechtse college van burgemeester en wethouders bekend aan de gemeenteraad.
Het beveiligingsincident kwam op woensdag 9 september aan het licht op de website worutrecht.nl. Dit platform valt onder het beheer van Sterkz.org, een organisatie die in acht wijken in Utrecht ondersteuning en zorg biedt en nauw samenwerkt met de gemeente. Via digitale aanmeldformulieren konden zorgverleners cliënten aanmelden. Standaard bleven deze formulieren maximaal dertig dagen online staan; op het moment van de ontdekking bleken er 25 actieve formulieren aanwezig te zijn.
Medische en persoonlijke details
Hoewel niet onomstotelijk te bewijzen valt of de aanvaller de documenten daadwerkelijk heeft geopend, sluit men dit scenario niet uit. Daarmee is de inbraak officieel geclassificeerd als een datalek. De mogelijke buit bestaat uit basisgegevens zoals namen, geboortejaren, woonwijken, e-mailadressen en telefoonnummers. Bovendien konden details over de achtergrond van de verwijzing worden bekeken, waarin soms specifieke medische en sociale aandachtspunten voor de behandelaar vermeld staan.
Beheerder Sterkz.org heeft direct actie ondernomen en melding gemaakt bij de Autoriteit Persoonsgegevens en de politie. Ook samenwerkingspartijen zoals DOCK, SportUtrecht en de gemeente Utrecht zijn op de hoogte gebracht. De 25 getroffen Utrechters hebben inmiddels via hun oorspronkelijke verwijzer een brief ontvangen met uitleg en adviezen.
Waarschuwing voor misbruik
Vanwege de aard van de uitgelekte gegevens waarschuwt de gemeente voor mogelijke fraudepraktijken, waaronder phishing. Criminelen zouden de buitgemaakte contactgegevens kunnen inzetten om slachtoffers via telefoon of mail te benaderen namens vertrouwde instanties zoals banken. Getroffenen wordt op het hart gedrukt om alert te zijn op verdachte berichten en niet zomaar op links te klikken of persoonlijke informatie te onthullen.
Om herhaling te voorkomen heeft Sterkz.org de werkwijze aangepast. Verwijsformulieren worden inmiddels niet meer op de website opgeslagen. Daarnaast zijn er extra technische controles gedraaid en is de digitale beveiliging aangescherpt.
Eerder werd in de regio ook al een datalek bij UMC Utrecht gemeld, waarbij gegevens van 5.000 gasten mogelijk konden worden ingezien.
Bron: DUIC