AI en ketenrisico's veranderen het cyberdreigingslandschap voor woningcorporaties

Recente cyberincidenten bij onder meer zorginstellingen en ketenpartners laten zien dat cyberaanvallen steeds vaker grote operationele impact hebben. In de zorg werd een IT-leverancier getroffen door ransomware, met impact op zorginstellingen en daarmee patiënten. Ook de aanval op CEVA Logistics, waarbij onder meer bol.com werd geraakt, laat zien hoe incidenten bij ketenpartners direct kunnen doorwerken.  

Cyberrisico's voor woningcorporaties nemen toe 
BDO ziet in recente cyberincidenten twee relevante ontwikkelingen: door AI worden cyberaanvallen sneller, schaalbaarder, geavanceerder en overtuigender, terwijl aanvallen via leveranciers steeds vaker organisaties treffen die niet het primaire doelwit zijn. Ook woningcorporaties zijn hiervoor kwetsbaar als gevolg van de aard van de dienstverlening, de afhankelijkheid van leveranciers, de online koppelingen en de data die corporaties verwerken. Voor bestuurders, MT en RvC-leden betekent dit dat cybersecurity niet langer kan worden beschouwd als een technisch beheersingsvraagstuk, maar als een bestuurlijk risico dat direct raakt aan continuïteit, huurdersvertrouwen en reputatie. Deze ontwikkelingen komen voor woningcorporaties vooral tot uiting in drie dreigingen: geavanceerdere malware en ransomware, realistischere social engineering, en aanvallen via leveranciers en ketenpartners. 

Impact voor een woningcorporatie 
Voordat deze drie dreigingen afzonderlijk worden toegelicht, is het belangrijk om te bepalen waarom de impact voor woningcorporaties groot kan zijn. Corporaties beheren grote hoeveelheden gevoelige persoonsgegevens van huurders, waaronder contactgegevens, inkomensinformatie, bankgegevens en gegevens over de woonsituatie. Daarmee beschikken zij over data die (zeer) aantrekkelijk is voor cybercriminelen.  

De impact van een cyberincident kan aanzienlijk zijn. Wanneer systemen uitvallen of worden versleuteld, komt communicatie met huurders direct onder druk te staan. Hierdoor kunnen primaire processen zoals onderhoud en verhuur verstoord raken. Interne besluitvorming stagneert en herstel van een cyberincident vraagt vaak veel capaciteit van de organisatie. Daarnaast kan een datalek leiden tot verplichte meldingen, reputatieschade en bestuurlijke vragen over de inrichting van cybersecurity en ketenbeheersing. Voor woningcorporaties is cybersecurity daarmee niet alleen een IT-risico, maar een risico voor continuïteit, dienstverlening en huurdersvertrouwen. 

AI als versneller van malware en ransomware 
AI wordt in toenemende mate ingezet bij het ontwikkelen en toepassen van malware en ransomware. Dit maakt aanvallen geavanceerder en tegelijkertijd eenvoudiger, sneller en goedkoper uit te voeren. Daarnaast nemen aanvallen op onbekende beveiligingslekken (zogeheten zero-day kwetsbaarheden) in systemen sterk toe. Cybercriminelen maken actief gebruik van deze beveiligingslekken om binnen te dringen. AI wordt hierbij gebruikt als tool om aanvallen sneller en schaalbaarder uit te voeren: AI helpt aanvallers bijvoorbeeld bij het automatiseren van kwetsbaarheidsscans, het schrijven of aanpassen van aanvalscode. 

Social engineering wordt realistischer 
AI verlaagt ook de drempel van cybercriminaliteit: Cybercriminelen maken gebruik van AI om social engineering aanvallen sneller, gerichter en realistischer uit te voeren. Phishing- en qishingaanvallen (via QR-codes) zijn de afgelopen jaren aanzienlijk toegenomen. Deze aanvallen worden steeds overtuigender en moeilijker te onderscheiden van legitieme communicatie. AI maakt het daarnaast voor aanvallers makkelijker om geloofwaardige berichten of zelfs telefoongesprekken na te bootsen alsof deze afkomstig zijn van een bestuurder of MT-lid van de woningcorporatie. Daardoor kan een medewerker eerder worden verleid om bijvoorbeeld een betaling goed te keuren, vertrouwelijke informatie te delen of een wijziging in een systeem door te voeren. 

Ketenrisico’s nemen toe 
Bij woningcorporaties ligt de aandacht voor cybersecurity vaak nog sterk op technische maatregelen. Dat is belangrijk, maar niet voldoende. Corporaties worden steeds afhankelijker van externe partijen, zoals leveranciers van ERP-, woonruimteverdeel- en vastgoedbeheersystemen, SaaS-dienstverleners, aannemers en installateurs. Daarmee groeit ook het risico op aanvallen via de keten. Een aanvaller hoeft de corporatie dan niet rechtstreeks te raken, maar kan binnenkomen via een kwetsbaarheid bij een leverancier, softwarepakket of koppeling. Zelfs wanneer de primaire aanval op een leverancier is gericht, kunnen woningcorporaties en hun huurders het uiteindelijke slachtoffer zijn. Juist deze afhankelijkheden maken ketenweerbaarheid een bestuurlijk aandachtspunt. 

In de praktijk merken wij dat corporaties vaak goed zicht hebben op hun belangrijkste applicaties, maar minder scherp op de digitale risico’s in de keten daaromheen. Juist daar ontstaat spanning: wie heeft toegang tot welke data, welke partijen zijn kritisch voor de dienstverlening en is er een proces om de impact van een incident bij een leverancier te beheersen? 

Wat betekent dit voor uw corporatie? 
De kern van cybersecurity van alleen technische beveiliging naar bestuurlijke regie op risico’s, afhankelijkheden en weerbaarheid. De centrale vraag is niet alleen of de IT-omgeving voldoende is beveiligd, maar vooral of de corporatie voldoende inzicht heeft in haar meest kritieke processen, kwetsbare data, afhankelijkheden van leveranciers en het vermogen om bij een incident snel en gecontroleerd te handelen. Juist daar ontstaat de bestuurlijke impact: kan de corporatie blijven functioneren wanneer systemen uitvallen, is duidelijk wie verantwoordelijkheid draagt in de keten en beschikt de organisatie over voldoende stuurinformatie om risico’s aantoonbaar te prioriteren? 

Aan de slag
Breng in kaart welke cyberdreigingen voor uw corporatie het meest relevant zijn en bepaal welke maatregelen u kunt treffen om deze risico’s te beheersen. Toets de kwaliteit van uw cybersecurity, bereid uw organisatie voor op cyberincidenten en zorg dat u over de juiste ondersteuning beschikt wanneer zich een incident voordoet.