Wat is er gebeurd?
In augustus 2025 werd het laboratorium Clinical Diagnostics uit Rijswijk, onderdeel van Eurofins, getroffen door een ernstige datadiefstal. Daarbij werden de medische gegevens van naar schatting 485.000 vrouwen buitgemaakt, afkomstig uit het bevolkingsonderzoek naar baarmoederhalskanker. Ook data van andere patiënten, bijvoorbeeld van huid-, urine- en penisonderzoek, zijn daarbij meegenomen.
In totaal ging het om ongeveer 300 GB aan data, waarvan gegevens van ruim 53.000 patiënten daadwerkelijk op het dark web zijn verschenen.
Hoe is het gebeurd?
Volgens berichtgeving maakten cybercriminelen van de ransomware groep Nova zich meester van de data. De aanvallers eisten losgeld en dreigden de gegevens openbaar te maken als er niet betaald werd. De organisatie bevestigde de hack, maar zwijgt formeel over de betaling. Een bron binnen het lab bevestigt dat er losgeld is betaald, mogelijk rond 1,6 miljoen euro, gebaseerd op een schatting van 2 % van het vermogen van Eurofins.
De betaling moet hebben bijgedragen tot verwijdering van verdere datadelen uit het dark web, al bleef het eerder gepubliceerde segment weer een tijd toegankelijk .
Wat was de impact?
De gevolgen van het datalek zijn ernstig. De combinatie van persoonsgegevens en medische informatie, zoals testresultaten, BSN-nummer, adres en onderzoekstype, vormt een gruwelijke goudmijn voor cybercriminelen. Er is een verhoogd risico op fraude, phishing, chantage en identiteitsmisbruik. Medische data zijn immers niet te wijzigen of “te vernieuwen” zoals wachtwoorden of creditcards, en behouden hun waarde levenslang.
Bovendien werd pas met vertraging bekend dat alle getroffen personen persoonlijk worden geïnformeerd, wat vragen oproept over transparantie en de snelheid van respons.
Hoe had dit kunnen worden voorkomen?
Cyberplan’s aanpak bij soortgelijke incidenten richt zich op proactieve en gecoördineerde respons:
- Snelle detectie en incident response: onmiddellijke isolatie van getroffen systemen en forensisch onderzoek om verspreiding te stoppen.
- Robuuste back-ups en herstelplannen: regelmatige offline en versleutelde back-ups om systemen te herstellen zonder losgeld.
- Bewustmakingstraining: medewerkers trainen om phishing en andere aanvalsvectoren te herkennen.
- Gerichte audits en pentesten: kwetsbare punten in systemen blootleggen en actief dichten.
Een dergelijk teamwerk en voorbereidheid kan een aanhoudende crisis voorkomen of aanzienlijk beperken.
