Voordat de universiteit besloot te betalen, heeft de minister laten weten dat het kabinet vindt „dat er geen geld naar criminelen toe moet vloeien”. Maar „het is de eigen afweging van het college van bestuur van de Universiteit Maastricht geweest om het losgeld te betalen”, schrijft de bewindsvrouw aan de Tweede Kamer.

Het bedrag van omgerekend 197.000 euro wordt uit eigen zak betaald. De universiteit heeft Van Engelshoven verteld dat de betaling van het losgeld en „alle overige kosten die samenhangen met de ransomware-aanval” zijn bekostigd uit de verkoop van een bedrijf van de holding Universiteit Maastricht.

Uit onderzoek door cybersecuritybedrijf Fox-IT blijkt dat halverwege oktober de eerste aanvaller al toegang kreeg tot het netwerk, door een phishing e-mail. In de weken erna heeft de hacker toegang gekregen tot de rest van het netwerk. Dat leidde ertoe dat de ransomware „is uitgerold in het systeem, waarmee op 267 servers alle bestanden zijn versleuteld”, schrijft Van Engelshoven.

Eerder kondigde de minister al aan dat de onderwijsinspectie onderzoekt of de Universiteit Maastricht genoeg heeft gedaan om de cyberaanval te voorkomen. Universiteiten zijn zelf verantwoordelijk voor informatieveiligheid, benadrukt de minister. Het onderzoek van de Inspectie moet voor de zomer klaar zijn. Verder onderzoekt ook de universiteit zelf de cyberaanval en doet het Openbaar Ministerie strafrechtelijk onderzoek.