Een niet nader genoemd IT-bedrijf moet 2/3 van de schade vergoeden, die een klant opliep na een aanval met ransomware. Dit blijkt uit een vonnis van eind 2018 dat pas deze week bekend werd gemaakt. De klant draait zelf voor 1/3 van de schade op, om dat bewust voor zwakkere beveiliging is gekozen.

De klant is het Hilversumse administratiekantoor O’Cliance. Dit liet in 2009 een IT-systeem installeren en betaalde vervolgens maandelijks 380 euro voor beheer en onderhoud. In 2010 adviseerde het IT-bedrijf om externe back-up-schijven te gebruiken, voor ‘als er een keer brand uitbreekt’. Dit vond de klant echter veel gedoe. Er werden nu back-ups gemaakt op een op het netwerk aangesloten drive.

Aanval
Op 12 februari 2017 werd O’Cliance slachtoffer van een aanval met ransomware. De hele server en de back-ups werden versleuteld en daarmee onbruikbaar. De aanvallers eisten drie bitcoins met een totale waarde van bijna 3000 euro. Om de schade te beperken betaalde het administratiekantoor het losgeld, waarna het IT-bedrijf de automatisering kon herstellen. Daarvoor werd 6854 euro in rekening gebracht. O’Cliance besloot de factuur niet te betalen.

Onderzoek
O’Cliance schakelde beveiligingsbedrijf True-xs in om onderzoek te laten verrichten. Dit constateerde dat de cybercriminelen konden inloggen met het backoffice-account en dat zij zo de ransomware konden installeren en uitvoeren. True-xs ontdekte verschillende kwetsbaarheden in het netwerk. Zo kon men met een zwak wachtwoord makkelijk van buitenaf toegang krijgen. Eenvoudige beveiligingsmaatregelen, zoals goede wachtwoorden, een VPN en een externe back-up, ontbraken. Het onderzoek kostte 4437 euro.

Schadevergoeding
Het administratiekantoor daagde het IT-bedrijf voor de rechter omdat het tekort zou zijn geschoten in de nakoming van verplichtingen, in strijd met haar zorgplicht zou hebben gehandeld en zich niet als een behoorlijk handelend vakbekwaam IT-deskundige zou hebben gedragen. Er werd een schadevergoeding van 42227 euro gevorderd, met daar bovenop 7200 euro buitengerechtelijke kosten. Andersom vorderde het IT-bedrijf de 6854 euro herstelkosten.

Verantwoordelijkheid
Omdat O’Cliance voor een ’totaalpakket’ betaalde, vond de rechter dat het bedrijf er vanuit mocht gaan dat ook de beveiliging in orde zou zijn. Het IT-bedrijf voerde als verweer aan dat diverse extra beveiligingsmaatregelen waren voorgesteld, maar dat het administratiekantoor die te duur of te omslachtig vond. Bovendien moesten complexe wachtwoorden op last van de opdrachtgever worden vereenvoudigd. De rechter vond dit echter geen reden om de verantwoordelijkheid van de slechte beveiliging geheel bij de opdrachtgever te leggen. Het IT-bedrijf had de opdracht moeten weigeren wegens onuitvoerbaarheid of anders indringend en herhaaldelijk moeten wijzen op de consequenties van slechte beveiliging.

Schadeverdeling
De rechter stelde de totaal geleden schade vast op 15.407 euro, bestaande uit omzetderving, onderzoekskosten en losgeld. Het administratiekantoor wilde ook 14.417 euro loonkosten en 12.366 euro kosten voor door een ander IT-bedrijf uitgevoerde beveiligingswerkzaamheden claimen, maar die vorderingen wees de rechter af. Ook de vordering van het gedaagde IT-bedrijf voor de herstelkosten werd afgewezen. Omdat O’Cliance zelf bewust voor zwakke wachtwoorden had gekozen, moest het 1/3 deel van de schade zelf dragen.

Het volledige vonnis is hier te lezen.