De gemeente Epe is slachtoffer geworden van een cyberaanval waarbij een aanvaller het wachtwoord van een beheerder wist te kraken en daarmee toegang kreeg tot een noodaccount met uitgebreide rechten. Door deze toegang kon de aanvaller ruim 871 gigabyte aan data stelen, waaronder een export uit de Basisregistratie Personen (BRP) met persoonsgegevens van inwoners zoals naam, adres, geslacht, woonplaats, geboortedatum en BSN. Dit blijkt uit een evaluatie van het datalek die de gemeente heeft gepubliceerd.

De aanval werd op 12 maart 2026 ontdekt door de IT-dienstverlener van de gemeente. Onderzoek wees uit dat de aanvaller op 10 maart via een Clickfix-aanval toegang had gekregen tot het systeem van een gemeentemedewerker. Bij deze aanvalsmethode worden slachtoffers misleid om een malafide PowerShell-commando uit te voeren, vaak via een nagemaakte CAPTCHA-pagina. Nadat de aanvaller toegang had tot het systeem, werd gezocht naar ingelogde gebruikers met een kerberosticket. Met het gekraakte wachtwoord van een beheerder kon het toegangsticket worden ontsleuteld, waardoor de aanvaller toegang kreeg tot het beheerdersaccount en vervolgens tot een noodaccount dat normaal gesproken geen multi-factor authenticatie (MFA) heeft vanwege de rol als noodtoegang.

Met de verkregen rechten kopieerde de aanvaller met het programma AzCopy meer dan 550.000 bestanden naar een externe cloudopslag (Azure Blob Storage). Naast persoonsgegevens van inwoners werden ook gegevens van medewerkers, financiële informatie, aanvragen voor gemeentelijke voorzieningen, meldingen van overlast en kopieën van ongeveer duizend identiteitsbewijzen buitgemaakt. De gestolen data stond op een interne bestandsserver die vanwege een migratie naar SharePoint en Microsoft Teams uitgefaseerd zou worden.

De gemeente meldt dat de gestolen gegevens tot op heden niet zijn gepubliceerd op bekende leksites of marktplaatsen en dat er geen losgeld is geëist. Ook zijn er geen aanwijzingen voor misbruik van de data. In de evaluatie benadrukt de gemeente dat de aanval begon via social engineering en niet door een technisch lek, waardoor technische maatregelen alleen onvoldoende zijn. Medewerkers moeten verdachte situaties herkennen en melden. Als gevolg van de aanval wordt het bewustwordingsprogramma voor medewerkers vernieuwd. Meer details zijn te vinden in de evaluatie van het datalek.