Eind vorig jaar zijn er tientallen accounts van studenten van de Hogeschool Rotterdam gehackt. De accounts zijn gebruikt voor het versturen van duizenden phishingmails naar random e-mailadressen. Voor de HR is het incident aanleiding om sneller dan gepland over te stappen op meervoudige verificatie voor iedereen.

De phisingmails, die gingen over het ontvangen van crypto-tegoeden, hebben voor zover bekend geen schade veroorzaakt. ‘Met een gebruikersnaam en een wachtwoord kan je toegang krijgen tot andere systemen van de hogeschool maar onderzoek heeft aangetoond dat dat niet is gebeurd’, vertelt Anjo van Kelckhoven, directeur van de dienst IDT (informatievoorziening & digitale transformatie). ‘Je zou toegang kunnen krijgen tot informatie die eigenlijk alleen voor de student zelf bedoeld is. Dat is een risico.’

Zwakke wachtwoorden

De studenten van de gehackte accounts gebruikten allemaal zwakke wachtwoorden, verklaart Van Kelckhoven de hack. ‘Ze waren hergebruikt en/of kwamen voor in databases van gelekte wachtwoorden. Je kan op de website Check je hack van de politie zelf controleren of je e-mailadres is gelekt’.

Toen de dienst IDT achter de hack kwam, zijn de betrokken studentenaccounts geblokkeerd en moesten de studenten verplicht hun wachtwoord wijzigen. Van Kelckhoven: ‘Daarna hebben we een controle uitgevoerd op alle HR-accounts. Daar bleken ruim 3.000 accounts tussen te zitten die gebruik maakten van een zwak wachtwoord. Al deze accounts hebben verplicht hun wachtwoord moeten wijzigen’. De HR heeft ook de autoriteit persoonsgegevens geïnformeerd over de hack, en er is aangifte gedaan bij de politie.

Meervoudige verificatie ook voor studenten

Bij IDT stond het al in de planning om ook voor studenten meervoudige verificatie (MFA) in te voeren, maar dit is nu in de tijd naar voren gehaald. Van Kelckhoven: ‘Op 16 februari aanstaande stappen we hogeschoolbreed over op een nieuwe inlogmethode Microsoft Entra ID voor alle medewerkers en studenten’. Medewerkers gebruikten bij het inloggen al meervoudige verificatie, studenten zijn dat straks ook verplicht. Op de pagina Het nieuwe inloggen op intranetsite Hint is er meer over te lezen.

Los van de invoering van meervoudige verificatie, adviseert de dienst IDT iedereen om unieke wachtwoorden te gebruiken. ‘Gebruik elk wachtwoord slechts één keer. Hergebruik maakt je kwetsbaar. Gebruik voor elk account dus een uniek sterk wachtwoord’, zegt Van Kelckhoven die daarbij verwijst naar de pagina Veiligheid op je apparaten op Hint.

Tekst: Jos van Nierop
Illustratie: Demian Janssen