Schriftelijke vragen : Het bericht 'Studenten gewaarschuwd voor phishing na hack softwarebedrijf'

Vraag 1

Bent u bekend met het bericht van de NOS dat hackersgroep ShinyHunters, die eerder
verantwoordelijk was voor de hack bij Odido, nu ook gegevens van miljoenen studenten,
docenten en onderwijsmedewerkers via onderwijsplatform Canvas heeft buitgemaakt?1

Vraag 2

Hoe beoordeelt u de ernst van dit datalek, mede gelet op de gevoeligheid van de buitgemaakte
persoonsgegevens en mogelijk ook privécommunicatie van studenten, docenten en onderwijsmedewerkers?

Vraag 3

Hoeveel studenten, docenten en onderwijsmedewerkers van Nederlandse onderwijsinstellingen
zijn naar schatting getroffen en welke typen persoonsgegevens zijn daarbij buitgemaakt?

Vraag 4

Welke gevolgen kan dit datalek hebben voor studenten, docenten en onderwijsmedewerkers,
bijvoorbeeld in de vorm van phishing, identiteitsfraude of andere vormen van digitale
criminaliteit en hoe kan worden voorkomen dat zij hiervan slachtoffer worden?

Vraag 5

Heeft u contact met de onderwijskoepels over wat nodig is om de gevolgen van dit datalek
te beperken? Zo nee, bent u bereid hierover alsnog contact met hen op te nemen?

Vraag 6

Welke ondersteuning en informatie worden momenteel geboden aan getroffen studenten,
docenten en onderwijsmedewerkers om misbruik van hun persoonsgegevens te voorkomen?
Acht u deze ondersteuning voldoende en welke rol ziet u hierin voor uzelf?

Vraag 7

Is voor studenten, docenten en onderwijsmedewerkers voldoende duidelijk welke persoonsgegevens
via onderwijsplatformen zoals Canvas worden verwerkt, met welke externe partijen deze
gegevens worden gedeeld en hoe deze gegevens worden beschermd?

Vraag 8

Vindt u het wenselijk dat Nederlandse onderwijsinstellingen onderhandelen met hackersgroep
ShinyHunters naar aanleiding van het ultimatum rondom de hack op Canvas, waarbij wordt
gedreigd buitgemaakte gegevens van studenten, docenten en medewerkers openbaar te
maken, of bent u van mening dat overheids- en onderwijsinstellingen nooit zouden moeten
ingaan op dergelijke eisen van cybercriminelen?

Vraag 9

Welke lessen trekt u uit dit incident en op welke wijze wordt deze kwestie betrokken
bij de ontwikkeling van een duidelijk handelingskader voor slachtoffers van datalekken?2