De hackers van de TU Eindhoven beschikten over inloggegevens van een student en een medewerker, meldt de Volkskrant. De Brabantse universiteit heeft andere instellingen op de hoogte gebracht.

Midden in het weekend, bijna twee weken geleden, zagen cyberbeveiligers van de TU Eindhoven (TU/e) inbrekers op hun netwerk. Om er zeker van te zijn dat de criminelen geen data konden stelen, legden de IT-ers het hele netwerk plat.

De Volkskrant meldt nu op basis van anonieme bronnen dat de inbrekers zijn binnengekomen met gestolen ‘sleutels’. De hackers beschikten over de wachtwoorden van een student en van een medewerker van de universiteit.

Phishing

Het gebeurt vaker dat wachtwoorden uitlekken of gestolen worden via phishing mails. Ook op de Nijmeegse campus komen regelmatig dergelijke mails binnen, waarschuwde de universiteit afgelopen najaar nog. Om te voorkomen dat direct ingelogd kan worden met deze wachtwoorden, hebben veruit de meeste onderwijsinstellingen tweestapsbeveiliging, zegt een woordvoerder van SURF, de ICT-samenwerking van onderwijs- en onderzoeksinstellingen in Nederland, desgevraagd.

Medewerkers en studenten moeten daardoor na het inloggen een extra beveiligingscode invoeren, meestal afkomstig van een app op de smartphone. Het is de vraag of de hackers die tweede stap gekraakt hebben. Het kan ook zijn dat niet alle applicaties van de universiteit met deze extra stap beveiligd waren.

Gedeeld

Volgens de Volkskrant heeft de TU/e heeft informatie over de hack gedeeld met andere onderwijsinstellingen. Naar aanleiding daarvan maakte de Radboud Universiteit vorige week bekend dat het versneld een tweestapsinlog heeft ingevoerd op één specifieke applicatie, EduVPN. Voor veel andere applicaties van de universiteit, waaronder het medewerkersysteem BASS of Brightspace, moesten gebruikers al een extra code invoeren bij het inloggen.

EduVPN is een applicatie van SURF waarmee thuiswerkers kunnen verbinden met het netwerk van de universiteit. De instellingen bepalen zelf hoe zwaar de beveiliging op de applicatie is, legt woordvoerder Tom Hoven van SURF uit. ‘Ons advies aan instellingen is om dat risicogestuurd te doen. Universiteiten weten zelf waar bijvoorbeeld de gevoelige data zijn opgeslagen. Ze bepalen dus zelf waar ze tweestapsverificatie gebruiken.’

Deze week functioneerde het netwerk van de Eindhovense onderwijsinstelling weer naar behoren en is het onderwijs volledig hervat. De universiteit heeft FoxIT ingehuurd om de hack verder te onderzoeken. Ook de politie doet dat, meldt universiteitsblad Cursor. De universiteit wil in april de lessen die het over deze hack trekt openbaar maken.