Bevolkingsonderzoek hervat samenwerking gehackt Clinical Diagnostics
In dit artikel:
Bevolkingsonderzoek Nederland (BVO NL) wil de samenwerking met medisch laboratorium Clinical Diagnostics (CD) opnieuw starten nadat die zomer het slachtoffer werd van een grootschalige ransomware-aanval. Bij de hack raakten persoonsgegevens en medische gegevens van circa 850.000 vrouwen, deelnemers aan het bevolkingsonderzoek baarmoederhalskanker, én gegevens van patiënten van privéklinieken en huisartsen gestolen. De aanval wordt toegeschreven aan de groep Nova, die een double-extortionmethode hanteert (zowel data encryptie als dreiging met publicatie).
Na de aanval zette BVO NL de samenwerking met CD stop, maar het vinden van een vervangend laboratorium bleek op korte termijn niet haalbaar. Daardoor verstuurt het bevolkingsonderzoek nu ongeveer vijftig procent minder uitnodigingen; capaciteitsproblemen dwingen BVO NL ertoe de samenwerking met CD voorlopig te willen hervatten om de continuïteit van het screeningsprogramma te waarborgen.
Een onafhankelijk onderzoek naar de informatiebeveiliging bij CD concludeerde dat er op vrijwel alle onderdelen tekortkomingen waren: operationele processen, IT-systemen, datastromen en de onderliggende infrastructuur zijn beoordeeld en kwamen slecht uit de bus. Staatssecretaris Tielen (Jeugd, Preventie en Sport) zegt geschrokken te zijn van de bevindingen, maar geeft aan geen gedetailleerde onderzoeksresultaten openbaar te maken om verdere verspreiding van gevoelige bedrijfsinformatie te voorkomen. Hoe de hack precies heeft kunnen plaatsvinden is nog onduidelijk.
Clinical Diagnostics krijgt een periode van zes maanden om de vastgestelde beveiligingsproblemen op te lossen. Pas na een onafhankelijke vaststelling dat alle deelnemerdata veilig zijn, kan BVO NL besluiten de samenwerking formeel te hervatten; tot die tijd verwerkt CD geen tests voor het bevolkingsonderzoek. Tielen benadrukt dat veiligheid van data hierbij voorop staat.
De druk op CD is hoog: het laboratorium betaalde miljoenen aan losgeld, maar delen van de gestolen data zijn desondanks online verschenen. Nova blijkt sinds begin 2025 actief en gebruikt de dubbele chantagevorm om druk op slachtoffers uit te oefenen. Voor deelnemers en betrokken organisaties betekent dit niet alleen een tijdelijke vermindering van screeningsbereik, maar ook zorgen over privacy, dataveiligheid en het vertrouwen in publieke gezondheidsprogramma’s.