Cyberaanvallen kunnen je meer kosten dan alleen geld. Maar ze leren je ook een grote les. Het verhaal van Xander Koppelmans.
Het was een gewone donderdagochtend. Goes, een kleine stad in het zuidwesten van Nederland, was net aan het ontwaken voor een nieuwe zonnige werkdag. Zo ook Xander Koppelmans, eigenaar van een klein maar succesvol communicatiebedrijf PHGR, één van de vele bedrijven die werken voor de overheid en internationale opdrachtgevers. Zoals gebruikelijk had Koppelmans die dag verschillende vergaderingen bij te wonen - maar om 10.30 uur werden zijn plannen in de war geschopt. Hij zat in een vergaderzaal, toen één van zijn collega's op de glazen wand klopte: "We worden gehackt. Alle servers zijn leeg, alle bestanden zijn weg. Wat gaan we nu doen?"
Koppelmans lachte.
"Ik geloofde dat er niets aan de hand was", reflecteert Koppelmans vijf jaar later. "We hadden drie back-up servers, dus ik was ervan overtuigd dat onze projecten veilig waren. We hebben gewoon al onze apparaten losgekoppeld en zijn naar huis gegaan omdat we die dag niet meer konden werken. Ik dacht dat we maar één dag zouden verliezen met het terughalen van de bestanden. En dat zou het dan zijn." Al snel bleek dat dit niet het geval zou zijn.
De back-up servers waren ook leeg. En dat gold ook voor de werkstations, SD-kaarten en externe harde schijven. "Dat was het moment dat het menens werd. Maar toch was er één ding dat ons kon redden: data recovery", legt Koppelmans uit. Hij bestelde een hersteldienst en kreeg te horen dat hij 80% van zijn gegevens terug kon krijgen.
Hoewel hij wist dat deze schade al kostbaar zou zijn, gaf het nieuws hem hoop - totdat hij hoorde dat het om 80% van elk bestand ging. "Er waren strepen over elke foto, video en advertentie. Alle herstelde gegevens waren beschadigd. We kregen gewoon een stapel van miljoenen en miljoenen beschadigde bestanden. Toen wist ik dat dit een total loss was en dat we in de problemen zaten," zegt Koppelmans.
Zelfs als je denkt dat je veilig bent, kun je spijt krijgen
Xander Koppelmans richtte zijn bedrijf op in 1991, met slechts twee mensen in het team. "Ik wilde van mijn hobby mijn beroep maken en de dingen doen die ik leuk vind. Ik leefde mijn droom", zegt de ondernemer.
En het bedrijf groeide succesvol. "We hoefden niet eens reclame te maken voor ons werk. Het enige wat we deden was hard werken en een goede relatie met onze klanten opbouwen. Toen de aanval kwam, hadden we negentig projecten lopen, zo'n vierhonderd actieve klantenaccounts, acht werknemers en dertig freelancers."
Koppelmans was zich altijd bewust geweest van cybersecurityrisico's en had geïnvesteerd in databeveiliging zodra de eerste virussen en spams kwamen. "Ik leerde dat onze klanten niet alleen foto's van ons kochten, maar ook veiligheid. Je kunt wel de beste fotograaf hebben, maar als je er niet op kunt vertrouwen dat hij zijn werk aflevert, kun je niet met hem werken. Daarom hebben we een professionele IT-beheerder met sterke beveiligingsvaardigheden ingehuurd en verschillende in-house back-upsystemen - aangezien er alleen een trage IDSN-verbinding was, waardoor we geen back-ups op afstand konden maken - en een firewall geïnstalleerd."
Maar toch verwachtte Koppelmans niet dat iemand het bureau zou aanvallen. "Net als veel andere kleine bedrijven dachten we: waarom zou iemand dat doen? We maken foto's van baby's, gebouwen en eten. Dat is saai spul." En toch werden ze gehackt. En het kwam neer op het hebben van zwakke wachtwoorden.
"We gebruikten wachtwoorden met ongeveer tien tekens, inclusief cijfers en hoofdletters. Nu weet ik dat het een hacker ongeveer 15 minuten kost om zulke wachtwoorden te kraken," gaat Koppelmans verder.
De gevolgen zijn niet in cijfers uit te drukken
Wat er in april 2015 gebeurde, was een brute force-aanval. "Het was alsof er een molotovcocktail door ons raam werd gegooid. De hacker had miljoenen combinaties van gebruikersnamen en wachtwoordtekens geprobeerd tot hij binnen was", legt Koppelmans uit. "In de serverlogbestanden zagen we dat er ook andere hackers bij ons hadden aangeklopt, maar deze is het uiteindelijk gelukt."
De aanval veroorzaakte een directe schade van 250 duizend euro - dat was ongeveer de waarde van de vernietigde projecten. Meteen na de aanval stapte Koppelmans naar de politie. "Het eerste wat ze vroegen was of ik een beschrijving of beeldmateriaal had van de crimineel", zegt Koppelmans. Dat was het eerste teken dat het onderzoek niet succesvol zou zijn.
Twee weken later werd de zaak uiteindelijk overgedragen aan de afdeling cybercrime. "Ze zeiden dat de aanval waarschijnlijk uit het buitenland kwam en dat ze door gebrek aan bevoegdheden, financiën en capaciteiten niet in staat zouden zijn om iemand op te sporen. Er werd mij verteld dat ik niet te veel hoop moest koesteren, omdat ik waarschijnlijk de zoveelste zou zijn die in de statistieken zou worden opgenomen."
In plaats van het meteen op te geven, huurde Koppelmans een specialist in, die erachter kwam dat de aanval waarschijnlijk uit China kwam. De motivatie en het doel? Onbekend. Dit was een erg vaag resultaat - maar er zat niets anders op voor Koppelmans.
Ondanks dat een deel van de klanten begrip had voor wat er gebeurde, toch moest het bureau leveren. "De beste oplossing was om het allemaal opnieuw te doen. In de vier maanden daarna hebben we dagen en nachten besteed aan het opnieuw maken van de foto's en het opnieuw opnemen van de video's. Maar ondanks het harde werk waren er projecten die we niet konden repareren, omdat ze bijvoorbeeld een reeks foto's bevatten van een brug in aanbouw - op dat moment, en tegen die tijd was de bouw al voltooid." Dit soort klanten kregen hun geld terug. En omdat het bedrijf geen capaciteit had voor nieuwe klanten en projecten, werd de financiële schade steeds groter. Koppelmans berekent de schade vandaag de dag op zo'n 3,5 miljoen euro.
Maar terug in 2015 verloor Koppelmans meer dan alleen het geld. "Het team verloor zijn magie, zijn vertrouwen en begon angsten te krijgen. Sommige mensen vertrokken. Voor de aanval speelden we muziek, hadden we een kantoorhond en een kantoorvogel en lachten we samen. We waren een familie. Dat was allemaal weg. We begonnen ons gestrest te voelen en overweldigd door het werk. Het was niet zozeer het geld, maar deze secundaire schade, dat is wat me naar beneden haalde. Uiteindelijk kreeg ik een zware burn-out en heb ik nog eens drie maanden niet kunnen werken."
Daarna heeft Koppelmans nog twee jaar geprobeerd om het bedrijf te redden. "In februari 2017 adviseerde mijn accountant me om het faillissement aan te vragen. Ik wist dat hij gelijk had: onze slagkracht om winst te maken was weg."
Opnieuw de droom achterna
Hoewel het redelijk was om te doen, was het sluiten van het bedrijf niet makkelijk. "Stel je voor dat je 26 jaar je droom hebt geleefd, en ineens is die droom voorbij. Dat kun je niet bevatten. Ik was altijd goed met mensen en deed mijn best, maar in één keer was het nutteloos en verspild... voor niets. Ik faalde door iets waar ik me niet eens bewust van was. Mijn geest was op dat moment gevuld met de meest duistere gedachten," herinnert Koppelmans zich. Uiteindelijk waren het de klanten die hem er doorheen trokken. "Ze zeiden dat ik niet op moest geven en beloofden mijn diensten af te nemen als ik mijn werk goed zou blijven doen.
Datzelfde jaar startte Xander Koppelmans een nieuw communicatiebureau en haalde hij iets positiefs uit de tragedie. Hij leerde veel en veranderde in veel opzichten. Hij gebruikt nu wachtwoorden van minimaal 30 tekens en een wachtwoordmanager, klikt niet meer op verdachte online advertenties, update de systemen regelmatig, heeft een glasvezelverbinding en gebruikt zowel offline als cloud back-ups. "Ik heb alles zo geregeld dat als er een aanval komt, de data het overleeft."
Maar bovenal is hij vanaf nul begonnen en is hij teruggegaan naar de wortels van zijn werk. "Voor de aanval hield ik me bezig met veel papierwerk, ik had niet veel tijd voor het creatieve deel van mijn werk. Ik heb mijn voorkeuren herschikt, zodat ik me beter kan concentreren op wat ik eigenlijk leuk vind en ook meer tijd met mijn kinderen kan doorbrengen. Ik kan kiezen wat ik wil doen. Vanuit dit perspectief is de kwaliteit van mijn leven zoveel beter", legt de zakenman uit.
Op de vraag hoe hij vrede heeft met het feit dat de cybercrimineel waarschijnlijk nooit gepakt zal worden, antwoordt Xander Koppelmans: "Als je er dag en nacht aan denkt, krijg je er hoofdpijn van. Ik heb het laten rusten. We moeten allemaal weten dat cybercriminaliteit een gigantische industrie is. Er is maar één manier om te voorkomen dat hackers je bedrijf vernietigen. Goed voorbereid zijn, als ze je treffen."
