OZ-klantgegevens gelekt na cyberaanval (update)

OZ, het Onafhankelijk Ziekenfonds, zegt dat hackers toegang hadden tot klantgegevens na een cyberaanval. De dader zegt wel dat de gegevens intussen zijn verwijderd.

Het ziekenfonds maakt zelf bekend dat het op 7 september werd ingelicht door een onbekende over een kwetsbaarheid in het systeem waardoor een hacker aan gegevens van Mijn OZ kon.

190.000 leden van de 550.000 hebben zo’n account, maar het zou enkel gaan om gegevens van wie recent (tussen de tijd dat de hacker kon inbreken en dat OZ het lek vorige week had opgelost) een transactie op de site had gedaan. Hoeveel mensen dat zijn is niet geweten, maar het gaat waarschijnlijk om veel minder dan 190.000 accounts.

Hacker vraagt vergoeding

‘We hebben de afgelopen dagen onze systemen meermaals getest en hebben ook met andere ziekenfondsen over het incident gecommuniceerd waarna zij ook hun systemen hebben getest.’ Zegt algemeen directeur Rik Selleslaghs.

Opmerkelijk: de hacker lichtte OZ zelf in met de Engelstalige boodschap dat het mogelijk was om gegevens te onderscheppen, waarna de organisatie het probleem meteen oploste. Hij of zij gaf aan dat de gegevens die werden buitgemaakt werden verwijderd, maar vroeg wel losgeld om het incident niet publiek te maken.

OZ ging daar niet op in. Het maakte daarop zelf de cyberaanval publiek, lichtte haar klanten en bevoegde instanties in en heeft intussen een pagina met meer uitleg over de aanval voorzien. Dat de hacker aangeeft dat de gegevens zijn verwijderd is hoopvol, maar OZ merkt zelf op dat het geen zekerheid heeft of de dader de waarheid spreekt. Daarom waarschuwt het ziekenfonds ook voor phishing als de gegevens alsnog misbruikt worden.

Geen medische dossiers

Het gaat om persoonsgegevens, adressen, contactgegevens, bankrekeningnummers, voorkeuren, familiegegevens, verzekeringen, volmachten, medische akkoorden, terugbetalingen, uitkeringen en ziekteperiodes. Maar Medische verslagen en dossiers, het klantendossier of wachtwoorden en logins vallen daar niet onder. Klanten moeten hun wachtwoord dus niet veranderen, maar zij kunnen dat wel als ze dat wensen.

Update 14/9/21 12 uur:

OZ verduidelijkt dat de hack is ontstaan in haar technisch logsysteem waar acties op ‘Mijn OZ’ worden bijgehouden. Door een menselijke fout is na een migratie van die systemen een van de poorten publiek toegankelijk geweest, waardoor handelingen op het platform enige tijd konden ingekeken worden door de hacker.

De organisatie heeft op basis van een eerste onderzoek geen aanwijzingen dat er nog meer data werd ingekeken, maar het werkt samen met het CERT en een privébedrijf voor verder forensisch onderzoek rond dat er precies is gebeurd.