De aanval was gericht op AddComm. Dat bedrijf uit Amersfoort verstuurt onder meer rekeningen van WMD aan de klanten. Volgens het drinkwaterbedrijf is het nog niet zeker dat er inderdaad gegevens zijn buitgemaakt, het onderzoek loopt nog.

Ons Huis noemt de naam van de aangevallen leverancier niet, maar zegt dat die ondersteuning bood bij het versturen van brieven. De corporatie werd op 17 mei geïnformeerd. Op die dag stelde AddComm ook anderen op de hoogte.

Cybercriminelen wisten mogelijk al begin mei binnen te dringen in de computersystemen van AddComm. Ze verzamelden persoonlijke gegevens van klanten van opdrachtgevers. Op 17 mei gingen ze een stap verder en versleutelden ze de computersystemen om losgeld te eisen. AddComm zegt dat het „beveiligingsincident” op dat moment duidelijk werd.

Eerder meldden ABN Amro, woningcorporaties Staedion, Eigen Haard en Portaal, belastinginners RBG en GBTwente, pensioenfonds PNO Media, Hoogheemraadschap Hollands Noorderkwartier en drinkwaterleverancier Waterbedrijf Groningen dat hun klanten mogelijk ook getroffen zijn door de aanval op AddComm.

De bedrijven adviseren hun klanten om voorzichtig te zijn met het openen van mails. Aanvallers kunnen de gestolen gegevens gebruiken om mensen te misleiden, zodat ze bijvoorbeeld gebruikersnamen of wachtwoorden ergens invullen.

Door een dienstverlener als AddComm aan te vallen, kunnen cybercriminelen met één aanval veel meer gegevens binnenhalen dan wanneer ze elk getroffen bedrijf afzonderlijk zouden aanvallen. Vorig jaar was er een vergelijkbare aanval bij Nebu, dat software levert aan marktonderzoekers. Cybercriminelen stalen toen de gegevens van klanten van ongeveer 190 bedrijven.