Naast banken zijn in Oekraïne ook de postdienst Ukrposhta, televisiekanalen en transportbedrijven getroffen. Zo konden passagiers in de metro van Kiev niet betalen met bankpassen. In Nederland is de software aangetroffen bij onder meer terminalbedrijf APM, onderdeel van de Deense transportgigant Maersk, pakketbezorger TNT Express en bouwmaterialengroothandel Raab Kaercher. Het laatste bedrijf meldt dat de e-mail is uitgevallen, telefonisch contact is nog wel mogelijk.

Cyber Security Centrum
Bij het Nationaal Cyber Security Centrum (NCSC), het centrale informatieknooppunt en expertisecentrum voor cybersecurity in Nederland, is tot nu toe slechts één melding van gijzelsoftware binnengekomen. Het gaat om de besmetting bij APM. ‘Er is in Nederland geen algemene meldplicht, al is er natuurlijk wel degelijk iets gaande’, verklaart een woordvoerster van het Ministerie van Veiligheid en Justitie desgevraagd aan CustomerFirst.

‘Onze taak is vooral het zo snel mogelijk binnenhalen van relevante informatie, dit te verifiëren en verschillende sectoren proactief in te lichten.’ Op de website van het NCSC staan een aantal regels voor burgers en bedrijven om een aanval te voorkomen. ‘In het geval van besmetting raden we iedereen aan om in ieder geval aangifte te doen bij de politie.’

Datalek
In sommige gevallen bestaat er wel een meldplicht, stelt de Autoriteit Persoonsgegevens (AP). Als ransomware bestanden heeft versleuteld die persoonsgegevens of klantdata bevatten, is dit namelijk een datalek. De verantwoordelijke kan er bij ransomware niet vanuit gaan dat de inbreuk beperkt is gebleven tot het zichtbaar besmette bestand of systeem, stelt de autoriteit. De besmetting kan het hele systeem en alle gekoppelde bestanden raken, waardoor toegang kan zijn verkregen tot veel meer persoonsgegevens. Ook kan er meer met de gegevens zijn gebeurd dan op het eerste gezicht lijkt, bijvoorbeeld gekopieerd of gemanipuleerd.

Om te bepalen of een organisatie dit datalek moet melden bij de AP, gelden dezelfde criteria als voor datalekken met een andere oorzaak. Dit houdt in dat een organisatie het datalek bij de AP moet melden als het datalek leidt tot ernstige nadelige gevolgen voor de bescherming van persoonsgegevens. Of als een aanzienlijke kans bestaat dat dit gebeurt.

Malware
Tegenover CustomerFirst kan de woordvoerster van de autoriteit geen uitspraken doen over mogelijke binnengekomen meldingen. Ook wordt benadrukt dat de termijn van 72 uur waarbinnen eventuele datalekken gemeld moeten zijn, nog niet is verstreken. Wel ontvangt de AP regelmatig datalekmeldingen die een link hebben met malware.