Autoriteit Persoonsgegevens zelf aangevallen door social engineering-aanval

De Autoriteit Persoonsgegevens (AP) heeft vorig jaar te maken gehad met vijftig beveiligingsincidenten, waarvan 26 datalekken. Eén van de incidenten was een social engineering-aanval, waarbij een legitiem lijkend pdf-bestand naar de AP werd verzonden. Het openen van de link naar het pdf-bestand zorgde ervoor dat er een poortscan op de systemen van de AP werd uitgevoerd. De toezichthouder heeft bevestigd dat er geen verdere inbreuk op de beveiliging heeft plaatsgevonden. Dit meldt de AP zelf in haar jaarverslag. 

Maatregelen die de AP heeft genomen

De AP heeft extra aandacht besteed aan de 'security awareness' van medewerkers naar aanleiding van dit incident. Het jaarverslag over 2022 meldt dat de organisatie vorig jaar in totaal vijftig beveiligingsincidenten heeft gehad, waarvan 26 datalekken met persoonsgegevens. Het grootste deel van de datalekken betrof verkeerd geadresseerde brieven en e-mails, maar er was ook een datalek ontstaan bij de Dag van de FG-website. De leverancier van de website had third party-plug-ins op de pagina staan, die gegevens naar Google doorstuurden. Na verzoek van de AP heeft de leverancier deze plug-ins verwijderd en heeft Google bevestigd dat de persoonsgegevens bij Google Fonts en reCaptcha zijn verwijderd. De toezichthouder noemt ook enkele incidenten tijdens de verhuizing naar de locatie van de AP en verstoringen waardoor de kantoorautomatisering onbeschikbaar was.