NIEUWS BLOG: Cyberaanval Iddink Learning Materials

Beste bezoeker,

Wij vinden het belangrijk om al onze klanten op de hoogte te houden van de ontwikkelingen. Daarom hebben wij voor u dit blog opgezet, zodat we relevante informatie actueel houden en met u kunnen delen. Deze blog wordt gebruikt voor Nederlandse en Belgische klanten. In Nederland richt de informatie op deze blog zich met name op scholen. De scholen zijn het directe aanspreekpunt voor ouders en leerlingen. Voor België kunnen ouders en leerlingen de informatie vinden in deze blog. Mochten de vragen en antwoorden specifiek voor een van beide landen gelden, dan staat daar NL of BE voor. Indien het voor beide gelijk is, dan staat er geen aanduiding voor.

Op donderdag 11 april is Iddink Learning Materials getroffen door een cyberaanval van de criminele cybergroep Cactus. Deze aanval heeft gevolgen voor Iddink Learning Materials, een organisatie die boeken levert aan middelbare scholen en leerlingen.

Door de cyberaanval zijn bepaalde gegevens uit het systeem van Iddink Learning Materials geraakt. Het gaat om persoonlijke informatie zoals namen, e-mailadressen en bankgegevens van klanten van Iddink Learning Materials, zijnde scholen en studenten die boeken of leermaterialen hebben besteld.

Iddink Learning Materials heeft onmiddellijk de nodige stappen ondernomen om het effect van de aanval in te dammen en te beperken. Het bedrijf heeft direct de systemen afgesloten die mogelijk getroffen zijn, externe cyberbeveiligingsexperts ingeschakeld om hun interne taskforce verder te ondersteunen en het responsplan geactiveerd.

Er wordt momenteel een grondig onderzoek uitgevoerd om vast te stellen welke gegevens precies zijn geraakt om de omvang van het datalek te bepalen. De politie is geïnformeerd en onderzoekt deze cyberaanval ook. Iddink Learning Materials heeft de Autoriteit Persoonsgegevens in Nederland op de hoogte gesteld en informeert organisaties en individuen die mogelijk getroffen zijn. De melding aan de Autoriteit Persoonsgegevens geldt ook voor de Belgische klanten doordat de hoofdvestiging van Iddink Learning Materials in Nederland is.

Lees verder om ook eerdere berichten en de belangrijkste vragen en antwoorden te lezen.

——————————————————————————————————————————

Publicatiedatum 18 april 17:00

Waarom heeft Iddink Learning Materials op vrijdag en zaterdag geïnformeerd en niet op donderdag?
Een grondig onderzoek kost tijd en onze eerste aandacht ging uit naar het stoppen van de aanval. Op vrijdag was de scope duidelijker en hebben wij besloten om de klanten en media te informeren. Ook hebben we een melding bij de Autoriteit Persoonsgegevens gedaan ondanks dat we nog niet alle details hadden. Vervolgens hebben wij de contactgegevens van de scholen verzameld en onderzocht of wij van de individuele gebruikers klantgegevens konden achterhalen. Door de versleuteling van onze systemen is dat maar deels gelukt. Zaterdag hebben wij daarom, om zoveel mogelijk betrokkenen te bereiken, de media geïnformeerd zodat iedereen voorzorgsmaatregelen kan treffen.

Waarom hebben jullie mijn data nog? Ik heb dit jaar niets besteld.
Er zijn verschillende redenen waarom wij jouw data nog hebben. Dat heeft te maken met de wettelijke termijnen en afspraken die we met de scholen hebben. Informatie over betalingen en facturen moeten wij bijvoorbeeld 7 jaar bewaren en met de scholen hebben we afgesproken om data te bewaren zolang jij op school zit + 2 jaar daarna.

Zat het ECK-id van de leerlingen ook in deze omgeving?
Nee, het ECK-id van de leerlingen zat niet in deze omgeving en is dus niet onderdeel van de hack.

Welke beveiligingsmaatregelen volgen jullie bij het beveiligen van jullie omgevingen?
Voor de beveiliging van onze omgevingen houden wij standaarden in de markt aan. Daarnaast volgen wij de eisen die zijn vastgelegd in het Privacyconvenant en het certificeringsschema / ROSA schema. Wij kunnen, om veiligheidsredenen, niet op specifieke beveiligingsmaatregelen ingaan.

In welke gevallen verwerken jullie mijn IBAN?
IBAN verwerken wij als u een bestelling bij ons plaatst voor de bezorgkosten of aanvullende producten. Ook verwerken wij deze voor uitbetalingen van borg, incassoposten, aanschaf regeling schade en diefstal, facturen niet ingeleverde boeken en te late bestellingen.

——————————————————————————————————————————

Publicatiedatum 16 april 15:30

Hoe kan ik mijn password op Iddink Learning Materials aanpassen?
Dat kan momenteel helaas niet. Op dit moment zijn de systemen van Iddink Learning Materials niet beschikbaar. Dat betekent dat de bestelomgeving van Iddink Learning Materials niet werkt en dat gebruikers hun wachtwoord op iddink.nl en iddink.be niet kunnen aanpassen. Ook medewerkers van Iddink Learning Materials kunnen dit niet voor u doen. We werken er op dit moment hard aan om de dienstverlening weer op te starten en zullen scholen informeren zodra dit weer kan.

Magister, itslearning en TIG zijn ook onderdeel van Iddink Group. Zijn die ook geraakt?
Nee, Magister, itslearning en de TIG dashboards zijn niet geraakt. Deze producten draaien op andere infrastructuur. Uiteraard nemen we alle voorzorgsmaatregelen die nodig zijn voor al onze andere applicaties.

NL: Waarom informeert Iddink Learning Materials mij niet direct, ik heb toch een account bij jullie?

Verstrekking van leermiddelen in het Wet Gratis Schoolboeken (WGS)

Iddink Learning Materials levert leermiddelen aan scholen en/of diens leerlingen. In het kader van de Wet Gratis Schoolboeken (WGS) worden persoonsgegevens verwerkt met als doel om de leermiddelen uit te leveren aan de juiste leerling(en). De school is voor deze van persoonsgegevens de verwerkingsverantwoordelijke en Iddink Learning Materials heeft de rol van verwerker. Deze afspraken zijn vastgelegd in verwerkersovereenkomsten met de scholen. In de afspraken staat dat in geval van een incident, Iddink Learning Materials de scholen dient te informeren. Natuurlijk proberen we iedereen zo goed mogelijk te informeren, daarom hebben we ook een persbericht en een blog gepubliceerd, die regelmatig wordt geüpdatet.

Verstrekking van artikelen voor eigen rekening

Indien leerlingen of ouders aanvullende artikelen (bijvoorbeeld een rugzak of rekenmachine) voor eigen rekening aanschaffen, heeft Iddink Learning Materials de rol van verwerkingsverantwoordelijke – vergelijkbaar met elke andere webshop. In dat geval moeten wij u informeren. Helaas kunnen wij door de ransomware aanval op dit moment niet achterhalen welke bestellingen dit betreft. Daarnaast beschikken wij ook niet over de contactgegevens van deze personen door de ransomware aanval. Wij werken hard aan herstel van onze dienstverlening. Natuurlijk proberen we iedereen zo goed mogelijk te informeren, daarom hebben we ook een persbericht en een blog gepubliceerd, die regelmatig wordt geüpdatet.

Aangezien het om grote aantallen leerlingen en potentieel ouders gaat, kost het veel tijd om iedereen individueel te informeren. We doen er, samen met de scholen, alles aan om iedereen zo snel mogelijk te bereiken.

BE: Waarom informeert Iddink Learning Materials mij niet direct, ik heb toch een account bij jullie?
Via het persbericht hebben we u geïnformeerd over dit incident. Aangezien het om grote aantallen leerlingen en potentieel ouders gaat, kost het veel tijd om iedereen individueel te informeren. Daarom hebben we deze blog opgezet, zodat u te allen tijde de laatste informatie tot uw beschikking hebt.

Wij zijn een school en hebben een vraag aan Iddink. Hoe kunnen we jullie het beste bereiken?
NL: De meest gestelde vragen van scholen zijn beantwoord op deze nieuws-blog. Evenals op Sivon. Mochten er nog specifieke vragen zijn, dan kunt u ons een bericht sturen op scholen@iddink.nl Wij doen ons uiterste best om u zo snel mogelijk te antwoorden.

BE: De meest gestelde vragen van scholen zijn beantwoord op deze nieuws-blog. Mochten er nog specifieke vragen zijn, dan kunt u ons een bericht sturen op scholen@iddink.be Wij doen ons uiterste best om u zo snel mogelijk te antwoorden.

——————————————————————————————————————————

Publicatiedatum 14 april 18:30

Moet ik mijn wachtwoorden bij andere applicaties buiten Iddink Learning Materials wijzigen?
Op dit moment zien wij geen aanleiding dat u uw wachtwoord in andere applicaties vanwege dit incident zou moeten wijzigen. Hieronder lichten wij toe waarom dat zo is:

· Wachtwoorden van Iddink Learning Materials zijn vanaf 13 april 2021 in een ander deel van de omgeving opgeslagen en beveiligd, deze omgeving is niet geraakt door de aanval. Wachtwoorden die sinds 13 april 2021 zijn gewijzigd of sindsdien zijn aangemaakt zijn dan ook niet gelekt. Wachtwoorden van eerdere datum zijn versleuteld opgeslagen.

· Alle wachtwoorden zijn versleuteld. Er wordt alleen een cryptografische waarde opgeslagen, waarmee het wachtwoord gecontroleerd kan worden, maar niet kan worden teruggehaald.

· Wij monitoren actief het dark web om te zien of data van Iddink Learning Materials wordt aangeboden, tot op dit moment is dat niet het geval.

Wij raden gebruikers (zoals altijd) aan om voor iedere applicatie een uniek wachtwoord te gebruiken. Mocht u dat in het verleden niet hebben gedaan, dan is het verstandig om uw wachtwoorden te wijzigen zodat elke applicatie een uniek wachtwoord heeft. Wij raden ook aan om multi-factor authenticatie aan te zetten bij die applicaties die dat aanbieden. Dat is een extra maatregel die ervoor zorgt dat misbruik maken van uw gegevens moeilijker wordt.

NL: Wat kunnen de gevolgen zijn als scholen en gebruikers massaal hun wachtwoorden gaan aanpassen in de leermiddelenketen?
Als alle gebruikers in één keer hun wachtwoorden gaan wijzigen, kan dit leiden tot een continuïteitsprobleem. Daarom zijn wij in contact met Kennisnet, Stichting SEM en overige cruciale leveranciers om ervoor te zorgen dat er informatie beschikbaar is hoe wachtwoorden het beste gewijzigd kunnen worden indien dat gewenst is.

NL: Moet ik de koppelingen met Iddink Learning Materials stopzetten?
Dat is niet nodig en wij adviseren de koppeling niet stop te zetten.

De cyber aanval bij Iddink Learning Materials heeft geen invloed op de omgeving die het raadplegen van digitale leermiddelen faciliteert. De leeromgeving staat los van Iddink Learning Materials en de uitwisseling van gegevens (zoals via de UWLR) is noodzakelijk om docenten en leerlingen te faciliteren bij het geven van lessen.

Alle ingangen naar de door de hackers geraakte systemen zijn door Iddink Learning Materials dichtgezet. Er kan dus geen data uitgewisseld worden met de geraakte systemen. Er zijn ook koppelingen die aan andere delen van het ecosysteem van Iddink Learning Materials zijn gekoppeld, deze koppelingen zijn niet geraakt en hoeven niet stopgezet te worden door scholen of leveranciers.

——————————————————————————————————————————

Publicatiedatum 14 april 15:00

Ik ben een leerling/ouder van een leerling. Waarom heb ik nog niets gehoord van Iddink (en wel via het nieuws)?
NL: De school onderhoudt het directe contact met ouders en leerlingen, aangezien Iddink in sommige gevallen alleen de leverancier van het online systeem aan de school is. We hebben de scholen uiteraard geïnformeerd en voorzien van de relevante informatie. Daarnaast hebben wij actief een persbericht uitgestuurd om er zeker van te zijn dat het incident breed bekend is. Aangezien het om zo’n 300.000 leerlingen gaat, kost het tijd om iedereen te informeren. We doen er, samen met de scholen, alles aan om iedereen zo snel en goed mogelijk te informeren.

BE: Via het persbericht hebben we Belgische klanten geïnformeerd over dit incident. Aangezien het om grote aantallen leerlingen en potentieel ouders gaat, kost het veel tijd om iedereen individueel te informeren.

NL: Ik ben een leerling/ouder van een leerling. Waarom heb ik nog niets gehoord van mijn school?
Wij willen je vragen om contact op te nemen met je school als je nog niets hebt gehoord. We hebben de scholen geïnformeerd en voorzien van de relevante informatie.

Ik heb boeken besteld voor dit schooljaar. Waarom heb ik nog niets gehoord?
De school onderhoudt het directe contact met ouders en leerlingen. We hebben de scholen geïnformeerd en voorzien van de relevante informatie. Leerlingen en ouders bestellen op basis van de door de school samengestelde leermiddelenlijst. De school is verantwoordelijk voor de communicatie naar ouders en leerlingen. Aangezien het om zo’n 300.000 leerlingen gaat, kost het tijd om iedereen te informeren. We doen er, samen met de scholen, alles aan om iedereen zo snel mogelijk te bereiken.