Mijn.host zegt dat iemand zonder toestemming opslag heeft gewist, waardoor deze week websites uitvielen. De Nederlandse hostingprovider meldt vrijdag dat ongeveer 5 procent van zijn klanten is geraakt. Na herstel uit back-ups kunnen recente wijzigingen ontbreken. Het bedrijf ziet geen aanwijzingen dat gegevens zijn ingezien of gekopieerd.
De wisopdracht liep volgens mijn.host via het beheer van de serverhardware. Diensten waren meestal zes tot dertig uur offline. De provider heeft de toegang ingetrokken, toegangsgegevens vervangen en juridische stappen aangekondigd.
Op de statuspagina stond maandag 12 oktober aanvankelijk alleen dat opslag was uitgevallen. De virtuele servers waren die avond weer beschikbaar; bij gedeelde webhosting liep het terugzetten van gegevens toen nog door. Dinsdagochtend meldde het bedrijf dat ook de laatste server online was. Ons eerdere storingsbericht beschreef die herstelfase. De verklaring van vrijdag voegt de oorzaak en het mogelijke verlies van recente gegevens toe.
Wat een back-up terugbrengt
Bij een hostingpakket verhuurt mijn.host ruimte voor een website en bijbehorende gegevens. Op de productpagina belooft de aanbieder iedere nacht automatisch een reservekopie te maken. Die wordt volgens het bedrijf op een externe server in een ander Nederlands datacenter bewaard, onder eigen beheer. Klanten kunnen vanuit het controlepaneel ook een afzonderlijk bestand of een database terugzetten. Een database is bijvoorbeeld de verzameling gegevens waarmee een webwinkel zijn bestellingen bijhoudt. De beloofde dagelijkse kopie is daardoor van belang voor zowel de site-eigenaar als mensen die er iets bestellen. Op dezelfde pagina belooft de provider minimaal 99,9 procent beschikbaarheid. Als die belofte niet wordt waargemaakt, krijgen klanten volgens de aanbieder een maand gratis hosting. Dit is de algemene toezegging bij de hostingpakketten.
Het moment waarop zo’n kopie is gemaakt bepaalt hoeveel werk kan ontbreken, legt het Nationaal Cyber Security Centrum uit. In zijn uitleg over back-ups gebruikt het centrum het voorbeeld van een incident om vier uur ’s middags, terwijl de kopie om drie uur ’s nachts is gemaakt. Tussentijdse wijzigingen kunnen dan verloren gaan. Hoe lang herstel duurt, is een afzonderlijke kwestie: dat hangt onder meer af van de hoeveelheid gegevens en de snelheid van de opslag. Een website kan dus weer bereikbaar zijn met een oudere inhoud. Vaker kopiëren verkleint het mogelijke verlies, maar vraagt ook verwerkingstijd en kan systemen vertragen.
Ook gewiste gegevens tellen mee
Voor persoonsgegevens heeft dat verlies een eigen betekenis. De Autoriteit Persoonsgegevens rekent ook het ongewenst vernietigen of verliezen van gegevens door een beveiligingsinbreuk tot een datalek. Het gaat daarbij om informatie die naar mensen te herleiden is. De toezichthouder onderscheidt toegang door onbevoegden, ongewenste wijzigingen en verlies van beschikbaarheid. Bij die laatste vorm kan een organisatie niet meer bij persoonsgegevens komen of zijn ze vernietigd. Het ontbreken van aanwijzingen voor diefstal beantwoordt daarmee slechts een deel van de privacyvraag. Deze algemene uitleg van de AP is geen oordeel van de toezichthouder over mijn.host.
Of een organisatie een datalek moet melden, hangt volgens de AP af van het risico voor de betrokken mensen. Een melding aan de toezichthouder is vereist tenzij een risico voor hun rechten en vrijheden onwaarschijnlijk is. Mensen zelf informeren is verplicht wanneer waarschijnlijk een hoog risico bestaat. Bij die beoordeling tellen onder meer het soort gegevens, hun gevoeligheid, het aantal betrokkenen en de ernst van mogelijke gevolgen mee. De AP noemt een ziekenhuis en de mailinglijst van een krant als voorbeelden van organisaties met verschillende risico’s. Gewiste medische gegevens kunnen noodzakelijke zorg in gevaar brengen. Ook de kwetsbaarheid van mensen telt mee: kinderen, ouderen en mensen met een ziekte of beperking kunnen grotere schade ondervinden. Deze voorbeelden komen uit de algemene uitleg van de AP.
Getroffen klanten kunnen volgens mijn.host ook dit weekend ondersteuning krijgen bij vragen over hun gegevens.
Verder bij de bron
Lees zelf de onderzoeken, uitleg en aankondigingen achter dit verhaal.