Een maand later onthult LNER welke persoonlijke gegevens zijn onthuld bij de cyberaanval

De door de staat beheerde London North Eastern Railway (LNER) heeft een belangrijke update uitgegeven over de cyberaanval die in september plaatsvond. Het schaduwbedrijf, dat prestigediensten onderhoudt op de East Coast Main Line van Londen naar Noordoost-Engeland en Schotland, heeft de getroffen klanten persoonlijk aangeschreven. Bij de inbraak, die plaatsvond door ongeautoriseerde toegang tot bestanden die werden beheerd door een van de externe leveranciers van LNER, werd persoonlijke informatie blootgelegd, waaronder passagiersnamen en e-mailadressen.

Na een maand van onzekerheid hebben passagiers een e-mail ontvangen van LNER. Het bedrijf, dat opereert op de route van de beroemde Flying Scotsman, is nog steeds herstellende van een hack in de database van een leverancier. De gecompromitteerde gegevens hebben vragen opgeroepen over de veiligheid van het Britse spoorwegnet. De zorg is dat uiteindelijk alle passagiersvervoer onder controle van de overheid komt, en in dit geval is een door de overheid gecontroleerde exploitant getroffen.

Tickets kopen zoals normaal?

In een brief aan de getroffen passagiers geeft LNER een gedetailleerd overzicht van het incident en de stappen die zijn ondernomen. De brief herhaalt dat ondanks het feit dat persoonlijke gegevens aan hackers zijn onthuld, er geen financiële gegevens, betaalkaartinformatie of wachtwoorden zijn aangetast. “Een derde partij kreeg ongeautoriseerde toegang tot de netwerken van de leverancier en kreeg daarbij toegang tot klantgegevens. Als gevolg van ons onderzoek naar de inbreuk tot nu toe, hebben we geconcludeerd dat de gegevens enkele persoonlijke gegevens bevatten, met name naam en e-mailadres [details van ontvangers van onze e-mail].”

LNER verzekerde passagiers dat de kerndiensten, waaronder treinoperaties en kaartverkoop, onaangetast bleven. De exploitant, die uiteindelijk deel uitmaakt van het ministerie van Transport van de overheid, zei dat de kaartverkoopsystemen veilig blijven. “U kunt gewoon tickets blijven kopen bij LNER,” zeiden ze. “We blijven nauw samenwerken met onze leverancier, die onafhankelijke beveiligingsexperts heeft ingeschakeld, om verbeterde beveiligingscontroles in te voeren om het risico dat dit opnieuw gebeurt te minimaliseren.”

LNER zet bepaalde communicatiekanalen op pauze

Er is meer dan een zweem van het sluiten van de put nadat het kalf verdronken is. Geen enkele hoeveelheid veiligheidsmaatregelen zal de reputatieschade voor de LNER ongedaan maken. Toen de Britse regering de franchise in 2018 overnam, behield ze de merknaam. LNER was oorspronkelijk een uitvinding van de overheid uit 1923, toen het spoorwegnetwerk werd “gegroepeerd” in vier monopoliebedrijven.

Volgens de wet heeft LNER het incident gemeld bij het Information Commissioner’s Office – de toezichthouder die speciaal is opgericht om toezicht te houden en te reageren op dergelijke datalekken. Op de dag van de inbreuk (9 september 2025) heeft het bedrijf ook het National Cyber Security Centre (NCSC), de British Transport Police (BTP) en het Department for Transport op de hoogte gebracht. Het bedrijf zegt dat het uit voorzorg ook bepaalde communicatiekanalen tijdelijk heeft gepauzeerd. Dit suggereert echter wel dat de volledige omvang van de inbreuk op dat moment nog niet bekend was, en de brief van deze week suggereert dat er nog herstelwerk moet worden verricht.

De inbreuk onderstreept de uitdagingen die gepaard gaan met de beveiliging van externe leveranciers, terwijl de ervaring van LNER het belang van robuuste cyberbeveiligingsmaatregelen bij alle partners laat zien. Passagiers hebben er geen twijfel over laten bestaan dat er nog gevolgen te verwachten zijn. “Blijf waakzaam voor pogingen tot phishing of oplichting, inclusief onverwachte berichten waarin om persoonlijke of financiële informatie wordt gevraagd,” aldus LNER in haar brief aan klanten. Hoe gerustgesteld ze zich zullen voelen door deze actie valt nog te bezien.