Column: Wanneer gezondheid het verdienmodel van hackers wordt

We leven in een tijd waarin data goud waard is. Zeker in de zorgsector: medische en persoonlijke gegevens zijn gevoelig, onmisbaar en zwaar gegeerd. De recente hack op het laboratorium Clinical Diagnostics uit Rijswijk maakt het schrijnend duidelijk: criminelen blijken bereid miljoenen te investeren om die data te bemachtigen. Ze verdienen aan angst, tijdsdruk en privacy kwetsbaarheid.

Wat gebeurde er bij Clinical Diagnostics?

In augustus 2025 werd het laboratorium slachtoffer van een grootschalige cyberaanval. De hackersgroep Nova veroverde ongeveer 300 GB aan data, waaronder van ruim 485.000 vrouwen die meededen aan het bevolkingsonderzoek naar baarmoederhalskanker, plus gegevens van circa 50.000 andere patiënten—denk aan huisartsenonderzoeken, huid-, urine-, Soa testen, zelfs van minister en Kamerlid. Een deel van deze data (ongeveer 100 MB, van meer dan 50.000 patiënten) werd al op het dark web geplaatst.

Nova eiste 11 bitcoins (circa €1,1 miljoen) als losgeld en gaf een dreigende deadline: nacht van 28–29 augustus. Clinical Diagnostics betaalde, vermoedelijk in de hoop verdere publicatie te voorkomen. Ondertussen wordt onderzocht of het bedrijf de Autoriteit Persoonsgegevens (AP) op tijd heeft geïnformeerd — bedrijven moeten dit binnen 72 uur doen. De AP startte een officieel onderzoek naar de naleving van de meldplicht.

Hoe verdienen hackers eigenlijk?

Dit incident is geen uitzondering, maar onderdeel van een beproefd verdienmodel: ransomware à la carte, oftewel ransomware met afpersing. Hieronder hoe dat in zijn werk gaat:

1. Inbraak via affiliates
   Hackergroepen zoals Nova werken met affiliates: handlangers met toegang tot systemen. Zij verspreiden de malware. Als losgeld wordt betaald, gaat meestal 90 % naar de affiliate, 10 % naar de ontwikkelaar/bazen.
2. Data als pressiemiddel
   Vroeger versleutelden hackers systemen simpelweg; dan was herstel met back-ups mogelijk. Nu wordt data gestolen, wat veel gevoeliger is. Publicatie van medische data betekent reputatieschade, klantenverlies en wettelijke boetes.
3. Losgeld in crypto
   Het losgeld wordt meestal gevraagd in bitcoins: moeilijk te traceren, snel overdraagbaar.
4. Deadline en angststrategie
   Door data stapsgewijs te publiceren en tijdsdruk te creëren (bijvoorbeeld met aftellende klok), wordt slachtoffer onder druk gezet om te betalen; niets betalen betekent publieke vernedering én mogelijk juridisch risico.

Kortom: het verdienmodel draait op angst, reputatieschade en het vermogen om kwetsbare data te exploiteren.

Is er nog iets tegen te doen?

Ja, maar het vergt inspanning op meerdere fronten:

• Preventie en weerbaarheid
  • Regelmatig en off-site backups maken, én testen.
  • Systemen segmenteren zodat hackers niet met één lek hele infrastructuur plat kunnen leggen.
  • Multi-factor authenticatie (MFA), streng wachtwoordbeleid, regelmatige patches en penetratietesten zijn essentieel.
• Crisisteams en meldplicht naleven
  Organisaties zoals Z-CERT (in de zorg) kunnen praktische hulp bieden bij incidenten.
  Tijdig melden aan de AP is niet alleen wettelijk verplicht, maar voorkomt boetes en reputatieverlies.
• Sectorbrede standaarden
  Zorginstellingen moeten voldoen aan ISO normen, NEN-standaarden of vergelijkbare beveiligingskaders. Onafhankelijke audits kunnen het verschil maken. Experts waarschuwen dat zelfs gesanctioneerde labs kwetsbaar zijn.
• Publiek-private samenwerking
  Samenwerking met politie, CERTs, kennisinstituten en brancheverenigingen versterkt de verdediging en bevordert informatie-uitwisseling over nieuwe tactieken.
• Geen losgeld betalen
  Hoewel begrijpelijk onder druk, geeft betalen alleen aanzet tot meer hacks. Bovendien garandeert het geen toekomstige rust; data kan alsnog verkocht of hergebruikt worden.

In het geval van Clinical Diagnostics lijkt betalen het minste kwaad, maar het is meer symptoombestrijding dan oplossing. Een structurele aanpak is urgent én mogelijk.

Slotgedachte

De hack op Clinical Diagnostics is geen one-off drama, maar illustratie van een systeem: data kwetsbaar, hackers systematisch, slachtoffers vaak onvoorbereid. Het verdienmodel is duurzaam zolang organisaties blijven betalen en systemen zwak blijven. Maar we kunnen wél tegenwicht bieden: door betere beveiliging, samenwerking, regelgeving én ethisch verzet tegen het betalen van losgeld.

Laten we hoop houden dat deze wake-up call niet ledig blijft.