Stad Antwerpen verstuurde 150.000 phishingmails
Medio oktober meldde Frank Lauwers via X dat het support-mailadres van de stad Antwerpen phishingmails verstuurde. Lauwers kon bevestigen dat de e-mails daadwerkelijk waren verstuurd vanaf het e-mailadres van de stad: ze waren ondertekend met het DKIM-certificaat van het stadsbestuur. Erica Caluwaerts, schepen van de stad Antwerpen, bevestigde tijdens een zitting van de gemeenteraad dat er phishingmails zijn verstuurd vanaf een gebruikersaccount in het SaaS-programma Campaign Monitor.
Caluwaerts verklaarde dat de aanvallers toegang hadden gekregen tot de campagnetool en daarin het e-mailadres ‘support@antwerpen.be’ hadden aangemaakt. Dat gebruikten ze vervolgens om de phishingmails te versturen. In totaal verstuurden de hackers 150.000 phishingmails. Volgens Caluwaerts zijn daarbij geen adresgegevens van de stad Antwerpen gebruikt; de hacker maakte gebruik van een eigen mailinglijst.
Verder is bekend dat de hacker na een half uur buitengesloten is en dat slechts één account is gecompromitteerd, niet de gehele campagne-omgeving. Bovendien heeft de hacker volgens Caluwaerts geen gegevens uit Campaign Monitor geëxporteerd. De gegevens die de stad in de tool opslaat, zijn dus niet geraakt door de aanval. Daarom heeft de stad Antwerpen geen melding gedaan bij de Belgische Gegevensbeschermingsautoriteit (GBA).
Beveiliging aangescherpt
Om toekomstige aanvallen te voorkomen, zegt de stad Antwerpen dat de beveiliging van de campagnetool is aangescherpt. Het getroffen account is uitgeschakeld en voor de overige accounts is tweefactorauthenticatie (2FA) geactiveerd. Voortaan is naast een wachtwoord ook een extra verificatiecode nodig om in te loggen bij het SaaS-programma.
Of de hackers mogelijk slachtoffers hebben gemaakt met de phishingmails, is niet bekend. De aanval richtte zich op gebruikers van de MetaMask-cryptoportemonnee. Zij zouden zogenaamd de toegang tot hun portemonnee hebben verloren en konden dit herstellen door in te loggen via de gedeelde link. In werkelijkheid kregen de hackers zo toegang tot de inloggegevens en alle crypto die aan de portemonnee verbonden was.
