Health Service Executive (HSE)

In het kort. In de nacht van 14 mei 2021 versleutelden criminelen met Conti-ransomware een groot deel van de computers en servers van de Ierse gezondheidsdienst HSE. De HSE zette daarna al haar IT uit en ziekenhuizen moesten op papier werken.¹ De aanvallers zaten er al acht weken: een medewerker had op 18 maart een Excel-bestand uit een phishingmail geopend, en meldingen van de virusscanner werden niet opgevolgd.¹ De HSE betaalde geen losgeld; op 20 mei gaven de aanvallers zelf een ontsleutelingstool vrij, maar het duurde tot september voordat vrijwel alles weer werkte, en er waren ook gegevens gestolen.²³

Aanvalspad grotendeels bekend: ✅ 15 bevestigd · 🔎 0 gemeld · 🧠 2 afgeleid · ❓ 1 onbekend

1. In één oogopslag

2. Wat er gebeurde

De HSE regelt de publieke zorg in Ierland. Er werken ongeveer 130.000 mensen (ook bij organisaties die de HSE betaalt), in 54 ziekenhuizen en op zo'n 4.000 locaties, met meer dan 70.000 computers en andere apparaten.⁸ Bijna alles hing aan één landelijk zorgnetwerk, het National Healthcare Network (NHN). Dat netwerk was "plat": als een aanvaller er eenmaal in zit, kan hij bijna overal komen.⁸

De aanloop. De aanvallers probeerden het eerst een paar keer. Dezelfde medewerker kreeg tussen 14 december 2020 en 9 februari 2021 vier phishingmails met dezelfde onderwerpregel, maar zijn computer raakte toen niet besmet. Op andere computers ging het wel mis: de vroegste besmetting die onderzoekers vonden, stamt van 24 november 2020. Er is geen bewijs dat die besmettingen bijdroegen aan de ransomware-aanval.⁴

Binnenkomen (16-18 maart). Op 16 maart 2021 kwam er weer een phishingmail binnen, nu met een Excel-bestand als bijlage. De medewerker opende het bestand op 18 maart. De computer raakte besmet met malware. Onderzoekers noemen die computer "patient zero".²

Twee groepen. Volgens het onderzoek werkten twee groepen na elkaar. De eerste groep (UNC2633) stuurde de phishingmails. De tweede groep (UNC2727) voerde de aanval uit en zette de Conti-ransomware in. Zo'n taakverdeling komt vaker voor bij dit soort aanvallen.⁴ De aanvallers werkten "met de hand": een mens bediende het netwerk van de HSE, stap voor stap.⁴

De eerste signalen (23-31 maart). Op 23 maart zette de aanvaller op de besmette computer een mechanisme neer waarmee hij na een herstart toch toegang hield. Op 31 maart zag de virusscanner van de HSE twee hackersprogramma's draaien: Cobalt Strike en Mimikatz. De scanner stond op "alleen waarnemen" en blokkeerde dus niets. Het leidde niet tot een onderzoek.² Tussen 1 april en 6 mei vonden de onderzoekers geen belangrijke activiteit van de aanvaller.²

De week voor de aanval (7-13 mei). Op 7 mei werd de aanvaller weer actief. Hij zette extra malware op de eerste computer, bracht het Windows-netwerk in kaart en nam de eerste servers van de HSE over. Voor het eerst gebruikte hij accounts met zeer hoge rechten.² Diezelfde dag zag de virusscanner Cobalt Strike op zes servers.⁴ Tussen 8 en 12 mei kwam de aanvaller ook bij zes zelfstandige ziekenhuizen en één ziekenhuis van de HSE zelf.² Dat lukte doordat die netwerken aan dat van de HSE vastzaten via vertrouwensrelaties: wie op het ene netwerk was ingelogd, mocht zonder nieuwe controle ook in het andere werken.⁴³ Bij twee ziekenhuizen gebruikte hij een algemeen bekend lek, dat daar waarschijnlijk nog niet was dichtgezet. De naam van dat lek is in het openbare rapport zwartgemaakt.⁴ Op 12 en 13 mei bladerde hij door mappen, opende bestanden, maakte zip- en rar-archieven en bezocht een bestandsdeelsite.⁴

Waarschuwingen zonder gevolg (10-13 mei). Op 10 mei zag een ziekenhuis (in het rapport "Hospital C") Cobalt Strike en vroeg zijn beveiligingsbedrijf of het zich zorgen moest maken. Het antwoord was dat het risico laag was, omdat de virusscanner het had weggehaald. Het ziekenhuis startte geen onderzoek.⁴ Op 12 mei merkte een ander ziekenhuis ("Hospital A") de aanval op. In het rapport van de Rekenkamer staat bij dezelfde gebeurtenis Beaumont Hospital. Het ziekenhuis liet de wachtwoorden van 4.500 accounts opnieuw instellen, haalde een beveiligingsbedrijf erbij en waarschuwde 's avonds het IT-kantoor van de HSE.²³ De HSE onderzocht de melding op 13 mei, maar concludeerde ten onrechte dat het ziekenhuis de bron was en niet andersom.⁴ Het beveiligingsbedrijf dat de virusscanner van de HSE leverde, mailde op 12 en 13 mei ook het beveiligingsteam van de HSE. Het meldde dat er sinds 7 mei op minstens 16 systemen dreigingen niet waren afgehandeld. Het team vroeg de serverbeheerders om servers te herstarten.² De afgesproken hulp van een extern incidentteam werd niet ingeschakeld.⁴

Twee organisaties die wel ingrepen. Op 13 mei kreeg het ministerie van Gezondheid een melding van zijn eigen beveiligingsbedrijf. Het ministerie belde het nationale cyberbeveiligingscentrum (NCSC), haalde een extern bedrijf erbij en installeerde snel beveiligingssoftware die verdacht gedrag kan zien en stoppen. Daardoor kwam de ransomware op 14 mei bij het grootste deel van het ministerie niet tot uitvoering. Het ziekenhuis dat op 12 mei alarm sloeg, hield de aanval ook tegen.²³ Volgens het rapport was de brede versleuteling bij de HSE waarschijnlijk voorkomen als de HSE op dezelfde manier had gereageerd.⁴

Toeslaan (14 mei). Rond 01.00 uur startten de aanvallers de Conti-ransomware op systemen van de HSE en van zes ziekenhuizen. Om 02.50 uur kreeg de servicedesk de eerste meldingen dat systemen niet werkten. Om 04.41 uur riep de HSE het crisisproces uit. Voor 10.00 uur besloot de HSE alle systemen uit te zetten en het zorgnetwerk van internet los te koppelen, om verdere schade te beperken.² Daarmee werd ook de toegang van de aanvallers afgesneden.¹

Wat het voor de zorg betekende. Artsen en verpleegkundigen verloren de toegang tot patiëntendossiers, laboratoriumsystemen en röntgenbeelden. Ze werkten op papier. Op de ochtend van de aanval meldden 31 van de 54 ziekenhuizen dat ze een deel van hun zorg moesten afzeggen.⁸ In vijf centra stopte de bestraling van kankerpatiënten.³ Het vaccinatieprogramma en de ambulancedienst bleven wel werken.⁸

Het losgeld. De aanvallers eisten bijna 20 miljoen dollar.³ De HSE en de Ierse regering zeiden dezelfde dag dat ze niet zouden betalen.¹

Herstel. Op 15 mei richtte de HSE een crisiskamer in en meldde ze de inbreuk bij de Data Protection Commission (DPC), de Ierse toezichthouder op privacy.² Op 20 mei kreeg de HSE van de rechter een verbod op het delen en publiceren van de gestolen gegevens.² Op dezelfde dag plaatsten de aanvallers een link naar een ontsleutelingstool. Het externe incidentteam van de HSE, volgens de Rekenkamer Mandiant, bevestigde op 21 mei dat de tool werkte en bouwde er een stabielere versie van.²³ In hun eigen bericht schreven de aanvallers dat ze de tool gratis gaven, maar dat ze veel gegevens zouden verkopen of publiceren als de HSE niet reageerde. Dat is een claim van de daders.⁹ Zonder de sleutel was het herstel veel langer gegaan en waren waarschijnlijk gegevens verloren: de back-ups op tape werden maar af en toe gemaakt en een deel van de online back-ups was ook versleuteld.¹⁴

Het Ierse leger hielp bij de organisatie van het herstel.² Op 14 juni was 47 procent van de servers ontsleuteld, op 20 juli 94 procent en half augustus alle servers. Op 21 september 2021 waren 1.075 van de 1.087 applicaties hersteld.²

De gegevens. De aanvallers plaatsten monsters van gestolen gegevens van de HSE en van een ziekenhuis in een chatroom, via een link in het losgeldbericht. Een deel stond ook op het darkweb.⁴ Eind december 2021 kreeg de HSE via de politie een kopie van de gestolen documenten en beoordeelde ze tienduizenden stukken om te weten wie ze moest informeren.¹⁰ In november 2022 begon de HSE mensen aan te schrijven en noemde ze een aantal van ongeveer 113.000. Ongeveer 86 procent van de gegevens ging over patiënten en 14 procent over personeel.¹¹ In 2024 meldde de HSE dat ze 90.936 mensen had aangeschreven.⁷ De HSE zegt dat ze na meer dan vier jaar geen bewijs heeft dat de gegevens zijn gebruikt voor oplichting of op andere manieren zijn gepubliceerd.¹⁰

De nasleep. In juni 2021 gaf de HSE opdracht tot een onafhankelijk onderzoek door PwC. Het rapport kwam uit op 3 december 2021.¹ De Ierse Rekenkamer rekende in 2022 voor dat de HSE in 2021 ongeveer 51 miljoen euro uitgaf aan herstel en extra beveiliging, en dat de volledige kosten nog niet vast te stellen waren.³ In 2024 schatte de HSE de kosten op 102 miljoen euro. Toen waren er ook 473 rechtszaken over privacy aangespannen, volgens mediaberichten.⁷ In december 2025 meldde de pers dat de HSE getroffenen 750 euro per persoon aanbood.¹² De Garda (de Ierse politie) nam in september 2021 domeinen in beslag die bij ransomware-aanvallen werden gebruikt; media koppelden dat aan Conti en de HSE-aanval.¹³¹⁴ De politie-onderzoeken lopen volgens de HSE nog.¹⁰

3. Het aanvalspad

Zekerheid: ✅ bevestigd door de organisatie, een overheid, de rechter of een onafhankelijk onderzoek · 🔎 gemeld door betrouwbare media of onderzoekers · 🧠 afgeleid, met de redenering in de noot · ❓ onbekend

4. Waarom het lukte

PwC vat het samen als een lage cyberbeveiliging, een zwakke IT en een aanval met bekende middelen die zonder moeite door het netwerk kon.¹ Concreet:

1. Niemand keek actief naar de meldingen. De HSE had geen eigen team dat meldingen van beveiligingssoftware dag en nacht bekeek (een SOC) en geen moderne software om aanvallen te herkennen en te stoppen. De virusscanner stond op de servers op "alleen waarnemen" en werd niet 24 uur per dag bewaakt. De leverancier keek alleen van 8 tot 18 uur, met buiten die uren alleen een oproepbare dienst.⁴³ De aanvaller maakte volgens het rapport veel herkenbaar lawaai, dat een modern systeem vrijwel zeker had opgemerkt.⁴
2. Er was geen baas voor cyberbeveiliging en geen draaiboek. De HSE had geen CISO (de directeur beveiliging), ongeveer 15 mensen in cyberfuncties voor 130.000 medewerkers en geen draaiboek voor een grote ransomware-aanval.¹⁴ Daardoor ontbraken de kennis en het proces om de signalen van 12 en 13 mei op te volgen.⁴
3. Het netwerk was plat en de rechten waren niet beheerst. Het zorgnetwerk liep vrij door elkaar en veel domeinen vertrouwden elkaar in beide richtingen. Er bestond een ingewikkelde, onoverzichtelijke set rechten voor beheerders. Daardoor kon één aanvaller bij veel organisaties tegelijk komen.¹⁴ Het bestuur had op 27 november 2020 al een presentatie gekregen met bekende zwakke plekken, waaronder te veel rechten op accounts.⁴
4. Veel systemen waren oud en niet bijgewerkt. Er draaiden tussen de 30.000 en 40.000 werkstations met Windows 7, een versie die de maker als verouderd (einde levensduur) bestempelde. Bij de computer waar de aanval begon, was de virusscanner meer dan een jaar niet bijgewerkt.¹⁴ Bij twee ziekenhuizen werd een algemeen bekend lek misbruikt, dat daar waarschijnlijk nog niet was dichtgezet.⁴
5. Het risico was bekend, maar werd niet weggenomen. Cyberrisico stond sinds 2019 als "hoog" in het risicoregister. De maatregelen die vóór de aanval klaar waren, veranderden het risico niet merkbaar. De ernst van de kwetsbaarheid werd het bestuur niet volledig voorgelegd.¹ PwC vond bij 25 van de 28 maatregelen die het meest helpen tegen aanvallen met de hand een hoog of zeer hoog risico.⁴

PwC schrijft ook dat het erger had kunnen zijn. De aanvallers gebruikten bekende technieken. Het was veel erger geweest als ze medische apparaten hadden willen raken, gegevens hadden willen vernietigen, de ransomware zich zelf had laten verspreiden of cloudsystemen hadden versleuteld. Ook de vrijgegeven sleutel beperkte de schade.¹

5. Wat het had kunnen stoppen

6. Lessen

Voor bestuur en management - ☐ Weten we hoe afhankelijk onze belangrijkste dienst is van IT, en wat we doen als alle computers drie weken uitvallen? - ☐ Is er één persoon die verantwoordelijk is voor cyberbeveiliging, met genoeg mensen en geld? - ☐ Krijgt het bestuur een eerlijk beeld van wat er niet op orde is, met een duidelijke link naar het gevolg voor onze dienstverlening? - ☐ Is vooraf besloten wat we doen bij een losgeldeis, en wie dat beslist? - ☐ Weten we welke andere organisaties aan ons netwerk hangen, en welke eisen we aan hen stellen?

Voor IT en security - ☐ Ziet iemand dag en nacht de meldingen van onze virusscanner en andere beveiligingssoftware, en handelen we elke melding over hackersgereedschap af als incident? - ☐ Staat onze beveiligingssoftware op blokkeren in plaats van alleen waarnemen, en zijn alle computers bijgewerkt? - ☐ Hebben we een externe partij met een contract klaar om meteen te helpen bij een aanval? - ☐ Zijn beheerdersrechten beperkt, met aparte accounts voor beheer, en weten we welke vertrouwensrelaties tussen netwerken bestaan? - ☐ Zijn onze back-ups buiten bereik van een aanvaller, en hebben we het terugzetten geoefend? - ☐ Hebben we een lijst van systemen en een volgorde voor herstel, ook op papier?

Voor iedere medewerker - ☐ Open geen onverwachte bijlage, ook niet als de mail bekend lijkt. Bel de afzender via een ander kanaal. - ☐ Meld een verdachte mail, ook als je al hebt geklikt. Liever te vaak dan te laat. - ☐ Weet wat je doet als alle computers uitvallen: waar liggen de papieren formulieren en wie bel je?

7. Voor securityprofessionals

Technieken (MITRE ATT&CK)

Tactieknamen volgens ATT&CK Enterprise v19.2, de actuele versie op 10 oktober 2026, waarin Defense Evasion is opgesplitst in Stealth en Defense Impairment.²¹ De Excel-bijlage, de naam van de eerste malware en de technische details van de persistentie staan niet in het openbare rapport. Bijlage E van PwC (de technische tijdlijn) is volledig zwartgemaakt.²²

• Initial Access: T1566.001 phishingmail met Excel-bijlage ✅
• Execution: T1204.002 Excel-bestand geopend ✅; T1047 WMI/WMIC en T1106 Native API en T1129 Shared Modules, door het NCSC genoemd bij de Conti-sample en het incident ✅; T1569.002 uitrol met PsExec ✅
• Persistence: mechanisme op 23 maart en extra malware op 7 mei; techniek niet openbaar ✅²
• Privilege Escalation: T1078.002 minstens 33 beheerdersaccounts overgenomen (2 enterprise admins, 26 domain admins, 2 administrator, 1 admin, 2 service desk admin) ✅⁴
• Stealth: bij de analyse van de Conti-variant noemt het NCSC T1027.002 Software Packing, T1036 Masquerading, T1564.003 Hidden Window en T1497.001 System Checks; de ransomware roept veel nepaanroepen van Windows-functies aan om emulatie en sandboxes te misleiden ✅¹⁶
• Defense Impairment: in de openbare bronnen staat geen techniek en ook geen melding dat de aanvallers de virusscanner uitzetten
• Credential Access: T1003 Mimikatz op 31 maart ✅; T1555 LaZagne volgens de sporen van het NCSC ✅
• Discovery: T1016, T1135, T1083, T1049, T1057, T1124 en T1082, zoals het NCSC ze noemt (het NCSC schrijft T1082 abusievelijk als "System Time Discovery") ✅¹⁶
• Lateral Movement: T1021.001 RDP ✅; T1210 misbruik van een lek bij twee ziekenhuizen ✅; T1570 batchbestanden kopiëren de ransomware ✅; misbruik van bidirectionele vertrouwensrelaties tussen AD-domeinen ✅ (geen eigen techniek-ID in de bronnen)³
• Collection: T1560.001 zip en rar ✅; T1114.001 Outlook-module van de malware ✅ (onze koppeling)
• Command and Control: Cobalt Strike (S0154) ✅; T1071.001 Web Protocols 🧠²³
• Exfiltration: gegevens gestolen ✅; T1567.002 🧠¹⁸
• Impact: T1486 bestanden krijgen de extensie .FEEDC ✅; T1490 schaduwkopieën gewist met WMIC ✅¹⁶

Gebruikte software: Conti (S0575) versie 3, 32 bit, Cobalt Strike (S0154), Mimikatz (S0002), LaZagne (S0349), PsExec (S0029), en een malwarefamilie met een Outlook-module waarvan de naam is zwartgemaakt.²¹⁶⁴ Groep: volgens MITRE hoort Conti bij Wizard Spider (G0102).⁵⁶ De incidentresponsepartij van de HSE (volgens de Rekenkamer Mandiant) noemt de groep voor de eerste toegang UNC2633 en de groep achter de ransomware UNC2727; volgens het rapport is UNC2727 een op geld gerichte groep die Conti inzet en gegevens steelt om af te persen.⁴³ CISA, de FBI en de NSA schrijven dat de uitvoerders van Conti waarschijnlijk een loon krijgen in plaats van een percentage van de opbrengst.²⁴

Kwetsbaarheden

PwC noemt geen CVE: de naam van het lek is zwartgemaakt. Het rapport zegt alleen dat een "algemeen bekend" lek met CVSS-score 10 van 10 is gebruikt tegen twee ziekenhuizen. Hieronder staat de meest waarschijnlijke kandidaat. Dat is een afleiding en geen bevestigd feit.⁴¹⁷

Sporen van de aanvallers

Alleen wat het NCSC op 16 mei 2021 openbaar maakte. Het NCSC noemt geen domeinen of IP-adressen voor deze aanval.¹⁶ De door CISA gepubliceerde lijsten met Conti-domeinen en Cobalt Strike-adressen zijn algemeen en niet specifiek voor de HSE; ze staan hier niet.²⁴

• Conti (SHA-256): d21c71a090cd6759efc1f258b4d087e82c281ce65a9d76f20a24857901e694fc
• Cobalt Strike (SHA-256): 234e4df3d9304136224f2a6c37cb6b5f6d8336c4e105afce857832015e97f27a, 1429190cf3b36dae7e439b4314fe160e435ea42c0f3e6f45f8a0a33e1e12258f, 8837868b6279df6a700b3931c31e4542a47f7476f50484bdf907450a8d8e9408, a390038e21cbf92c36987041511dcd8dcfe836ebbabee733349e0b17af9ad4eb, d4a1cd9de04334e989418b75f64fb2cfbacaa5b650197432ca277132677308ce
• LaZagne (SHA-256): 5a2e947aace9e081ecd2cfa7bc2e485528238555c7eeb6bcca560576d4750a50
• Bestanden: _EXE.bat en _COPY.bat (batchbestanden voor kopiëren en starten); versleutelde bestanden krijgen de extensie .FEEDC
• Mutex: YUIOGHJKCVVBNMFGHJKTYQUWIETASKDHGZBDGSKL237782321344
• Opdracht om schaduwkopieën te wissen: cmd.exe /c C:\Windows\System32\wbem\WMIC.exe shadowcopy where "ID='{...}'" delete
• De ransomware slaat bestanden over met de namen CONTI_LOG.txt en readme.txt en de extensies .FEEDC, .msi, .sys, .lnk, .dll en .exe

Detectie en respons

De signalen die er waren:²⁴

• 31 maart 2021: de virusscanner ziet Cobalt Strike en Mimikatz op de eerste computer, maar staat op waarnemen. Er komt geen incident.
• 7 mei 2021: Cobalt Strike op zes servers. Pas na mails van de leverancier op 12 en 13 mei kijkt de HSE ernaar; de afgesproken kritieke incidentdienst wordt niet gebruikt.
• 10 mei 2021: een ziekenhuis ziet verdachte activiteit op een domain controller en Cobalt Strike op twee systemen. Het bedrijf dat het ziekenhuis beveiligt, zegt dat het risico laag is. De scanner had het weggehaald; er volgt geen onderzoek.
• 12 mei 2021, 's avonds: een ander ziekenhuis waarschuwt de HSE. De HSE concludeert op 13 mei dat de dreiging van dat ziekenhuis uitgaat.
• 13 mei 2021: de leverancier meldt "unhandled threat events" sinds 7 mei op minstens 16 systemen. Er wordt om herstart van servers gevraagd.
• De server die de virusscannermeldingen verzamelde, werd zelf versleuteld en was niet te herstellen. Daardoor kon de HSE de volgorde van de meldingen later niet meer volledig nagaan. Er was geen centrale logging van systemen, netwerk en beveiligingssoftware.⁴

Wat verdedigers hierop kunnen bouwen:

• Elke melding van Cobalt Strike, Mimikatz of PsExec buiten beheer behandelen als incident. Leg vast wie dit beoordeelt, ook 's nachts, en laat de scanner blokkeren in plaats van waarnemen.⁴
• Eindpuntdetectie (EDR) op werkstations en servers. Het ministerie van Gezondheid stopte de ransomware met EDR die het op 13 mei installeerde.²³
• Zoek naar tekenen die de FBI noemt bij Conti: nieuwe accounts en niet-geïnstalleerde tools (Sysinternals), uitgeschakelde detectie, constante HTTP- en DNS-beacons en grote HTTPS-overdrachten naar cloudopslag zoals MEGA en pCloud.²⁷
• Alarm bij WMIC.exe shadowcopy ... delete, bij batchbestanden die bestanden naar veel computers kopiëren, bij PsExec met beheerdersaccounts en bij een golf bestanden met de extensie .FEEDC.¹⁶
• Beperk internettoegang van servers; PwC raadt dat aan om uitgaand verkeer te beperken.²⁰
• Vertrouwensrelaties tussen domeinen en het gebruik van beheerdersaccounts van het ene domein in het andere zichtbaar maken en alarmeren.³
• Containment volgens het NCSC: domain controllers isoleren, uitgaand verkeer naar internet blokkeren, schone netwerken (VLAN's) bouwen voor herstel, bekende kwaadaardige adressen blokkeren, beheerdersaccounts beschermen en eindpunten harden. Controleer eerst of back-ups niet besmet zijn voordat u terugzet.¹⁶
• Let ook op IcedID, BazarLoader en Trickbot als voorbode van ransomware, zoals het NCSC adviseert. Het NCSC noemt die malware niet als bevinding in dit incident.¹⁶
• Voor het herstel stelde de HSE samen met de incidentresponsepartij "go-to-green"-eisen op waaraan elk systeem moest voldoen voordat het weer op het netwerk mocht. De partij controleerde de systemen van ziekenhuizen met aanvalssporen voordat die weer toegang kregen.²³

8. Wat we niet weten

• Wat de Excel-bijlage deed en welke malware erin zat. De naam is zwartgemaakt. Of het een macro was, is niet openbaar. Het antwoord staat waarschijnlijk in het onderzoeksrapport van de incidentresponsepartij ("Intrusion Investigation Report", september 2021); een openbare versie hebben we niet gevonden.²²
• Welk lek is gebruikt bij de twee ziekenhuizen. PwC noemt de naam niet. Zerologon is een logische kandidaat, maar niet bevestigd.¹⁷
• Hoe de aanvallers de beheerdersaccounts kregen. Mimikatz en LaZagne zijn gebruikt, maar hoe elk account is buitgemaakt, staat niet in de openbare bronnen.⁴
• Hoe de gegevens naar buiten gingen. PwC vond geen sluitend bewijs van de route, hoewel de gegevens wel bij de daders terechtkwamen.⁴ De daders claimden in mei 2021 zo'n 700 gigabyte te hebben; dat is een claim en niet bevestigd.⁹
• Waarom het aantal betrokkenen verschilt. De HSE kondigde in 2022 ongeveer 113.000 betrokkenen aan en meldde later dat ze 90.936 mensen had aangeschreven. Waar het verschil vandaan komt, is niet uitgelegd.¹¹⁷
• Waarom de daders de sleutel vrijgaven. Geen betrouwbare bron geeft de reden. De daders noemden het zelf een gratis geschenk en bleven dreigen met publicatie.⁹
• De volledige kosten. De Rekenkamer kon de totale kosten niet vaststellen; personeelstijd en het werken op papier zijn niet geteld. Het cijfer van 102 miljoen euro komt uit een bericht van het vakblad Law Society Gazette en zegt niet wat het omvat.³⁷
• De gevolgen voor patiënten. PwC schrijft dat er te weinig gegevens zijn om dat aan te tonen. Een lopend onderzoek moet meer inzicht geven.⁸
• Of de DPC de aanval zelf onderzocht en heeft afgerond. We vonden geen openbaar besluit. De bron die het antwoord kan geven, is de besluitenlijst van de DPC (dataprotection.ie).
• Wie de daders zijn en of er vervolging komt. De HSE zegt dat de onderzoeken lopen. We vonden geen aanhoudingen of rechtszaken tegen personen.¹⁰
• Of de oudere besmettingen (vanaf 24 november 2020) iets met de aanval te maken hadden. PwC zegt dat daar geen bewijs voor is.⁴

9. Begrippen

Phishing: een nepmail die je laat klikken, iets laat openen of gegevens laat afgeven.

Malware: kwaadaardige software.

Ransomware: malware die bestanden versleutelt, zodat je ze pas terugkrijgt als je betaalt.

Dubbele afpersing: criminelen versleutelen de gegevens én stelen ze. Ze dreigen die te publiceren als je niet betaalt.

Ontsleutelingssleutel (decryptor): de code of het programma waarmee je versleutelde bestanden weer leesbaar maakt.

Cobalt Strike: een programma waarmee beveiligers aanvallen nabootsen. Criminelen misbruiken het om computers van een ander op afstand te besturen.

Mimikatz: een programma dat inloggegevens uit het geheugen van een computer haalt.

Beheerdersaccount (domeinbeheerder): een account dat veel mag in een netwerk, bijvoorbeeld programma's installeren en andere accounts beheren.

Active Directory: het onderdeel van Windows-netwerken dat bijhoudt wie er mag inloggen en wat iedereen mag.

Vertrouwensrelatie: een afspraak tussen twee netwerken dat iemand die in het ene is ingelogd, ook in het andere mag werken zonder nieuwe controle.

Plat netwerk: een netwerk zonder afgesloten delen. Wie erin komt, komt bijna overal.

Virusscanner op "waarnemen": de scanner ziet gevaar en schrijft het op, maar stopt het niet.

EDR: beveiligingssoftware op een computer die verdacht gedrag ziet, meldt en kan stoppen.

SOC: een team dat dag en nacht meldingen van beveiligingssoftware bekijkt en erop reageert.

CISO: de directeur die verantwoordelijk is voor informatiebeveiliging.

Lek en update: een lek is een fout in software waar een aanvaller misbruik van kan maken. Een update (patch) dicht het lek.

Exploit: een aanvalsmethode die een lek misbruikt.

Offline back-up: een reservekopie die niet via het netwerk bereikbaar is, en dus ook niet door een aanvaller kan worden versleuteld.

Incidentresponsepartij: een extern bedrijf dat helpt bij het onderzoeken en oplossen van een aanval.

MITRE ATT&CK: een openbare lijst van werkwijzen van aanvallers, met een nummer per techniek.

IOC (indicator of compromise): een spoor van een aanvaller, zoals een bestandsnaam of een controlegetal van een bestand.

Versies

• v1 (2026-10-10): eerste versie, op basis van het PwC-rapport, het NCSC-alert, de waarschuwing van de FBI, het advies van CISA, het rapport van de Ierse Rekenkamer, de HSE-pagina's en mediaberichten. ATT&CK-nummers gecontroleerd tegen ATT&CK Enterprise v19.2.

Bijlage: bronnen en noten