Wat is er gebeurd?

Op 12 maart 2026 ontdekte de IT-dienstverlener van Gemeente Epe ongeautoriseerde toegang tot de ICT-omgeving. Uit forensisch onderzoek bleek dat de aanvallers twee dagen eerder waren binnengekomen via ClickFix.

Bij ClickFix wordt een gebruiker misleid om zelf schadelijke code uit te voeren. In dit geval bezocht een medewerker een website en werd daar verleid om een kwaadaardig programma te starten. Vanaf dat moment hadden de aanvallers toegang tot de computer van die medewerker.

Daarna bewogen zij verder door het netwerk. Ze wisten hogere rechten te krijgen, kregen toegang tot een noodaccount met ruime bevoegdheden en kopieerden vervolgens grote hoeveelheden data naar externe cloudopslag. De gegevens stonden op een interne bestandsserver die al op de planning stond om te worden uitgefaseerd.

De gestolen data bevatte onder meer een export uit de Basisregistratie Personen met namen, adressen, geboortedata en BSN’s. Ook ging het om medewerkersgegevens, financiële gegevens, contractinformatie, aanvragen voor gemeentelijke voorzieningen en meldingen van overlast of verstoring van de openbare orde.

Hoe zijn de hackers binnengekomen?

De aanval begon niet met een klassiek softwarelek, maar met social engineering. Een medewerker werd misleid om zelf de aanval te starten. Het account was beveiligd met multifactor-authenticatie, maar dat hielp hier niet. MFA beschermt goed tegen gestolen wachtwoorden, maar niet tegen schadelijke code die vanaf een legitieme werkplek wordt uitgevoerd.

Eenmaal binnen zochten de aanvallers naar andere ingelogde gebruikers. Daarbij kwamen zij uit bij Kerberos-tickets: tijdelijke toegangsbewijzen binnen het netwerk. Het lukte om het wachtwoord van een ingelogde beheerder te kraken en daarmee toegang te krijgen tot het beheerdersniveau.

Daarna kregen de aanvallers ook toegang tot een break-glass account. Dat is een noodaccount met zeer ruime rechten, bedoeld voor situaties waarin normale toegang niet meer mogelijk is. Met die rechten gebruikten de aanvallers AzCopy, een legitiem Microsoft-hulpprogramma, om data te kopiëren naar Azure Blob Storage.

Tijdlijn van de aanval

10 maart 2026: aanvallers komen binnen via ClickFix.

12 maart 2026: de inbraak wordt ontdekt. De ICT-omgeving wordt geïsoleerd.

13 maart 2026: Gemeente Epe bevestigt dat bestanden zijn gestolen. Het datalek wordt gemeld bij de Autoriteit Persoonsgegevens.

14–16 maart 2026: inwoners en media worden geïnformeerd.

April 2026: duidelijk wordt welke gegevens zijn buitgemaakt.

Vanaf 23 april 2026: betrokkenen worden verder geïnformeerd. Mensen van wie een geldig identiteitsbewijs is gestolen, krijgen persoonlijk bericht.

Waarom werkte deze aanval?

Ondanks aanwezige beveiligingsmaatregelen slaagden de aanvallers erin om diep in het netwerk door te dringen. Dat kwam doordat de aanval zich richtte op de combinatie van mens, werkplek, beheerdersrechten en oude dataopslag.

De belangrijkste tekortkomingen die zichtbaar worden in deze casus:

ClickFix omzeilde MFA
Het account van de medewerker was beveiligd met MFA, maar de aanval draaide niet om het stelen van een wachtwoord. De gebruiker werd misleid om zelf schadelijke code uit te voeren. Daardoor werd MFA feitelijk buitenspel gezet.

Beheerderswachtwoord kon worden gekraakt
Na de eerste toegang konden de aanvallers zoeken naar ingelogde gebruikers en toegangstickets. Het lukte om een beheerderswachtwoord te kraken, waardoor zij veel meer rechten kregen dan via de eerste werkplek.

Break-glass account had te veel impact
Het noodaccount gaf ruime toegang tot het systeem. Zulke accounts zijn nodig, maar moeten extreem streng worden beveiligd, beperkt en gemonitord. Als een aanvaller zo’n account overneemt, wordt de schade direct veel groter.

Laterale beweging was mogelijk
Vanuit één werkplek konden de aanvallers verder richting gevoelige delen van het netwerk bewegen. Dat onderstreept het belang van strakke netwerksegmentatie tussen werkplekken, servers en kritieke data.

Te veel gevoelige data stond nog op een fileserver
De gestolen data stond op een interne bestandsserver die al zou worden uitgefaseerd. Oude fileservers bevatten vaak grote hoeveelheden historische, ongestructureerde data. Daardoor wordt de impact van een hack veel groter dan nodig.

Wat kunnen organisaties hiervan leren?

De belangrijkste les is dat MFA alleen niet genoeg is. Organisaties moeten ook voorkomen dat medewerkers zomaar scripts of schadelijke code kunnen uitvoeren. Denk aan het beperken van PowerShell, het blokkeren van verdachte processen en het versterken van endpointmonitoring.

Daarnaast moeten beheerdersrechten en noodaccounts veel strenger worden ingericht. Break-glass accounts moeten uniek zijn, alleen in noodsituaties worden gebruikt en continu worden gemonitord. Iedere inzet moet direct een alarm veroorzaken.

Ook netwerksegmentatie is essentieel. Een aanvaller die één werkplek raakt, mag niet automatisch richting servers of gevoelige databronnen kunnen bewegen. Beperk laterale beweging voordat een incident uitgroeit tot een datalek.

Tot slot moeten organisaties hun datahuishouding opschonen. Oude exports, kopieën van identiteitsbewijzen en gevoelige bestanden horen niet jarenlang op fileshares te blijven staan. Wat je niet bewaart, kan ook niet worden gestolen.

Tot slot

De hack bij Gemeente Epe laat zien hoe snel één misleidende klik kan uitgroeien tot een groot datalek. Niet omdat er één maatregel ontbrak, maar omdat meerdere zwakheden elkaar versterkten: social engineering, beheerdersrechten, een krachtig noodaccount en veel gevoelige data op een oude server.

De vraag is daarom niet alleen: kunnen we aanvallers buitenhouden?

Maar vooral: wat kan een aanvaller doen als hij tóch binnenkomt?