AI en ketenrisico's veranderen het cyberdreigingslandschap voor woningcorporaties

Recente cyberincidenten bij onder meer zorginstellingen en ketenpartners laten zien dat cyberaanvallen steeds vaker grote operationele impact hebben. In de zorg werd een IT-leverancier getroffen door ransomware, met impact op zorginstellingen en daarmee patiënten. Ook de aanval op CEVA Logistics, waarbij onder meer bol.com werd geraakt, laat zien hoe incidenten bij ketenpartners direct kunnen doorwerken.  

Cyberrisico's voor woningcorporaties nemen toe 

BDO ziet in recente cyberincidenten twee relevante ontwikkelingen: door AI worden cyberaanvallen sneller, schaalbaarder, geavanceerder en overtuigender, terwijl aanvallen via leveranciers steeds vaker organisaties treffen die niet het primaire doelwit zijn. Ook woningcorporaties zijn hiervoor kwetsbaar als gevolg van de aard van de dienstverlening, de afhankelijkheid van leveranciers, de online koppelingen en de data die corporaties verwerken. Voor bestuurders, MT en RvC-leden betekent dit dat cybersecurity niet langer kan worden beschouwd als een technisch beheersingsvraagstuk, maar als een bestuurlijk risico dat direct raakt aan continuïteit, huurdersvertrouwen en reputatie. Deze ontwikkelingen komen voor woningcorporaties vooral tot uiting in drie dreigingen: geavanceerdere malware en ransomware, realistischere social engineering, en aanvallen via leveranciers en ketenpartners. 

Impact voor een woningcorporatie 

Voordat deze drie dreigingen afzonderlijk worden toegelicht, is het belangrijk om te bepalen waarom de impact voor woningcorporaties groot kan zijn. Corporaties beheren grote hoeveelheden gevoelige persoonsgegevens van huurders, waaronder contactgegevens, inkomensinformatie, bankgegevens en gegevens over de woonsituatie. Daarmee beschikken zij over data die (zeer) aantrekkelijk is voor cybercriminelen.  

De impact van een cyberincident kan aanzienlijk zijn. Wanneer systemen uitvallen of worden versleuteld, komt communicatie met huurders direct onder druk te staan. Hierdoor kunnen primaire processen zoals onderhoud en verhuur verstoord raken. Interne besluitvorming stagneert en herstel van een cyberincident vraagt vaak veel capaciteit van de organisatie. Daarnaast kan een datalek leiden tot verplichte meldingen, reputatieschade en bestuurlijke vragen over de inrichting van cybersecurity en ketenbeheersing. Voor woningcorporaties is cybersecurity daarmee niet alleen een IT-risico, maar een risico voor continuïteit, dienstverlening en huurdersvertrouwen. 

AI als versneller van malware en ransomware 

AI wordt in toenemende mate ingezet bij het ontwikkelen en toepassen van malware en ransomware. Dit maakt aanvallen geavanceerder en tegelijkertijd eenvoudiger, sneller en goedkoper uit te voeren. Daarnaast nemen aanvallen op onbekende beveiligingslekken (zogeheten zero-day kwetsbaarheden) in systemen sterk toe. Cybercriminelen maken actief gebruik van deze beveiligingslekken om binnen te dringen. AI wordt hierbij gebruikt als tool om aanvallen sneller en schaalbaarder uit te voeren: AI helpt aanvallers bijvoorbeeld bij het automatiseren van kwetsbaarheidsscans, het schrijven of aanpassen van aanvalscode. 

Social engineering wordt realistischer 

AI verlaagt ook de drempel van cybercriminaliteit: Cybercriminelen maken gebruik van AI om social engineering aanvallen sneller, gerichter en realistischer uit te voeren. Phishing- en qishingaanvallen (via QR-codes) zijn de afgelopen jaren aanzienlijk toegenomen. Deze aanvallen worden steeds overtuigender en moeilijker te onderscheiden van legitieme communicatie. AI maakt het daarnaast voor aanvallers makkelijker om geloofwaardige berichten of zelfs telefoongesprekken na te bootsen alsof deze afkomstig zijn van een bestuurder of MT-lid van de woningcorporatie. Daardoor kan een medewerker eerder worden verleid om bijvoorbeeld een betaling goed te keuren, vertrouwelijke informatie te delen of een wijziging in een systeem door te voeren. 

Ketenrisico’s nemen toe 

Bij woningcorporaties ligt de aandacht voor cybersecurity vaak nog sterk op technische maatregelen. Dat is belangrijk, maar niet voldoende. Corporaties worden steeds afhankelijker van externe partijen, zoals leveranciers van ERP-, woonruimteverdeel- en vastgoedbeheersystemen, SaaS-dienstverleners, aannemers en installateurs. Daarmee groeit ook het risico op aanvallen via de keten. Een aanvaller hoeft de corporatie dan niet rechtstreeks te raken, maar kan binnenkomen via een kwetsbaarheid bij een leverancier, softwarepakket of koppeling. Zelfs wanneer de primaire aanval op een leverancier is gericht, kunnen woningcorporaties en hun huurders het uiteindelijke slachtoffer zijn. Juist deze afhankelijkheden maken ketenweerbaarheid een bestuurlijk aandachtspunt. 

In de praktijk merken wij dat corporaties vaak goed zicht hebben op hun belangrijkste applicaties, maar minder scherp op de digitale risico’s in de keten daaromheen. Juist daar ontstaat spanning: wie heeft toegang tot welke data, welke partijen zijn kritisch voor de dienstverlening en is er een proces om de impact van een incident bij een leverancier te beheersen? 

Wat betekent dit voor uw corporatie? 

De kern van cybersecurity van alleen technische beveiliging naar bestuurlijke regie op risico’s, afhankelijkheden en weerbaarheid. De centrale vraag is niet alleen of de IT-omgeving voldoende is beveiligd, maar vooral of de corporatie voldoende inzicht heeft in haar meest kritieke processen, kwetsbare data, afhankelijkheden van leveranciers en het vermogen om bij een incident snel en gecontroleerd te handelen. Juist daar ontstaat de bestuurlijke impact: kan de corporatie blijven functioneren wanneer systemen uitvallen, is duidelijk wie verantwoordelijkheid draagt in de keten en beschikt de organisatie over voldoende stuurinformatie om risico’s aantoonbaar te prioriteren? 

Aan de slag 

Wilt u inzicht in welke cyberdreigingen voor uw corporatie het meest relevant zijn? Welke maatregelen u kunt treffen om deze risico’s te beheersen? Hoe het gesteld is met de kwaliteit van uw cybersecurity? Of wilt u uw organisatie beter voorbereiden op cyberincidenten en beschikken over de juiste ondersteuning wanneer zich een incident voordoet? 

BDO ondersteunt woningcorporaties met specialistische kennis op het gebied van cybersecurity, risicobeheersing, incident response en AI-ontwikkelingen. BDO beschikt over specialisten die de corporatiesector door en door kennen, de risico’s voor uw corporatie inzichtelijk maken en u concrete adviezen geven over (prioritering van) te nemen maatregelen, rekening houdend met de omvang van uw organisatie. Mocht zich ondanks getroffen maatregelen toch een cyberincident voordoen, dan ondersteunen wij uw organisatie bij het beperken van de impact en het herstel. Neem gerust contact met ons op om de mogelijkheden te bespreken.