Ransomware legt Letse bosbeheerder plat

Wie op 22 juni in Letland een jachtvergunning, een boskaart of gegevens over houttransport nodig had, liep tegen een zwart scherm aan. Een cyberaanval trof toen Latvijas valsts meži (LVM), het Letse staatsbosbedrijf, en legde ongeveer de helft van de IT-systemen stil. Dat gebeurde tijdens Jāņi, het Letse midzomerfeest, wanneer er nu eenmaal minder mensen naar dashboards kijken (LTV).

LVM haalde uit voorzorg publieke diensten offline: digitale kaarten, de jachtapp Mednis en gegevensuitwisseling met partners. Het bedrijf begon systemen terug te zetten vanuit back-ups en weigerde met de aanvaller mee te werken. Het Letse cyberteam CERT.LV bevestigde dat gestolen materiaal online was gezet, al onderzochten de autoriteiten nog welke gegevens daadwerkelijk waren buitgemaakt. Hun voorlopige oordeel: een financieel gedreven afpersingsactie, geen operatie die aan een staat was gelieerd (LTV). Een criminele groep met winstoogmerk legde dus diensten plat waar burgers en bedrijven dagelijks op leunen.

Oude bedrading achter nieuwe muren

Een grote publieke organisatie lijkt vaak op een gerenoveerd gebouw. De entree oogt modern: webportalen, mobiele apps, interactieve kaarten. Achter de muren zit soms nog oude bedrading. Inlogsystemen van vóór de huidige beveiligingsstandaarden. Externe verbindingen voor aannemers die al jaren niet meer zijn doorgelicht. Voor het publiek blijven zulke zwakke plekken onzichtbaar, maar aanvallers proberen juist daar binnen te komen.

Ransomwaregroepen komen doorgaans binnen via een gestolen wachtwoord of een niet-gepatcht systeem. Daarna proberen zij stilletjes een eenvoudige gebruikerslogin uit te bouwen tot volledige beheerdersrechten. In de gebouwmetafoor lopen zij kamer voor kamer door, totdat zij de hoofdsleutel hebben. Tegen de tijd dat iemand een losgeldbrief ziet, kan de indringer al weken binnen zijn geweest (CISA). Volgens LTV begon het aftasten van de beveiligingssystemen van LVM al vóór de zichtbare aanval (LTV).

Publieke organisaties zijn hiervoor extra kwetsbaar. Zij kunnen stilstand nauwelijks verdragen en moeten oude en nieuwe technologie vaak jarenlang naast elkaar laten draaien tijdens trage vervangingsrondes (CISA, CrowdStrike). Juist op de overgang tussen verouderde en moderne infrastructuur breekt beveiliging vaak.

Het patroon bij de buren

De aanval in Letland past in een breder regionaal probleem. In Litouwen onderzoeken de autoriteiten de diefstal van meer dan 600.000 uittreksels uit het vastgoedregister, inclusief persoonlijke identificatiecodes, bij staatsregisterbeheerder Registrų centras (LRT). De toegang liep via gestolen werknemersaccounts; de eerste onrechtmatige logins dateren van begin 2026. Het publiek hoorde er pas maanden later van (TV3). Ongeveer 1.000 mensen bereidden een rechtszaak tegen de staat voor (Verslo žinios).

Technisch verschillen de twee zaken, maar ze leggen hetzelfde tekort bloot: civiele digitale systemen die het gewone openbare leven dragen, zijn nog altijd onvoldoende beschermd. Duitsland liet al zien waar dat toe kan leiden. In 2021 riep het district Anhalt-Bitterfeld na een ransomwareaanval de rampenstatus uit; burgerdiensten lagen wekenlang overhoop (Landkreis Anhalt-Bitterfeld).

Nieuwe regels, echte storing

NIS2 is de EU-richtlijn die cyberweerbaarheid tot bestuursverantwoordelijkheid maakt. Aanbieders van essentiële diensten moeten binnen 24 uur na ontdekking van een incident een eerste waarschuwing sturen, binnen 72 uur een gedetailleerde melding doen en binnen een maand een eindrapport aanleveren (EUR-Lex). De top van de organisatie is persoonlijk aanspreekbaar op cyberrisico's (European Commission).

Letland zette NIS2 om in nationale wetgeving met ingang van september 2024; de minimale cybersecurity-eisen gaan in juli 2025 gelden (Business.gov.lv). Na de aanval op LVM ondertekende de Letse waarnemend premier vijf besluiten die ministeries verplichten te rapporteren over de beveiliging van staatssystemen en over de manier waarop incidentinformatie door de overheid loopt (Kulbergs). Hij koppelde de aanval aan achterstallige cybersecurityregels en erkende daarmee dat papieren normen pas iets waard zijn als organisaties ze ook operationeel kunnen uitvoeren.

De toets is nu praktisch, en die reikt verder dan de Baltische staten. Hoe lang duurt het herstel bij LVM? Krijgen burgers te horen welke persoonsgegevens zijn blootgesteld? Waren de back-ups getest voordat ze nodig waren? Kan een minister aanwijzen wie in de eigen commandoketen verantwoordelijk is voor cyberrisico per publiek systeem? Elke publieke beheerder in Europa krijgt met dezelfde vragen te maken. Door NIS2 kunnen ze die niet langer laten liggen.