Voormalig contractant van Brightly Software gevangenisstraf opgelegd voor afpersing van $2,5 miljoen

Toegang van een contractant veranderde in een misdrijf

Cameron Curry, een voormalig data-analist die als contractant voor Brightly Software werkte, is veroordeeld tot twee jaar gevangenisstraf voor het opzetten van een afpersingsregeling van $2,5 miljoen tegen zijn voormalige werkgever. Volgens gerechtelijke documenten had Curry tijdens zijn tijd bij het bedrijf toegang tot gevoelige salarisgegevens en gebruikte hij die gegevens na beëindiging van zijn contract als hefboom. Hij dreigde de informatie openbaar te maken tenzij het bedrijf hem een losgeld betaalde.

Brightly Software betaalde uiteindelijk $7.540 in Bitcoin voordat de politie ingreep. De FBI legde later bewijs vast dat verband hield met de regeling, wat hielp bij de veroordeling en strafoplegging van Curry. Hoewel de losgeldbetaling zelf slechts een fractie was van de $2,5 miljoen die Curry naar verluidt eiste, is de zaak een herinnering dat afpersingsregelingen van binnenuit niet hun volledige vraagprijs hoeven te bereiken om ernstige schade te veroorzaken, zowel financieel als qua reputatie.

Waarom insider-dreigingen verschillen van externe aanvallen

De meeste berichtgeving over cybercriminaliteit richt zich op externe aanvallers: hackers die netwerken binnendringen, ransomware inzetten of ongepatchte software exploiteren. Deze zaak is een nuttig tegenvoorbeeld. Curry hoefde geen firewalls te doorbreken of authenticatiesystemen te omzeilen. Als contractant had hij al legitieme toegang tot salarisgegevens als onderdeel van zijn werk. De diefstal gebeurde voordat iemand doorhad dat er iets mis was, en de afpersingspoging kwam pas aan het licht nadat zijn contract was geëindigd en de toegang had moeten worden ingetrokken.

Dit is een terugkerend patroon bij insider-incidenten: de technische toegangsdrempel is laag omdat toegang al is verleend. De echte kwetsbaarheid is organisatorisch van aard: hoe bedrijven offboarding beheren, datatoegang monitoren nadat een contract afloopt, en controleren wie gevoelige gegevens zoals salarisinformatie kan inzien. Geautomatiseerde detectietools zijn opmerkelijk snel geworden in het opsporen van externe inbraken. Microsoft Defender bijvoorbeeld stopte een ransomware-aanval bij QNET in slechts 128 seconden zodra het schadelijke activiteit detecteerde. Maar dat soort snelheid is ontworpen om ongeautoriseerde toegang te onderscheppen, niet misbruik door iemand die al een geldige inlog had.

Het grotere plaatje van datablootstelling

Afpersing van binnenuit is slechts een deel van een veel groter databeveiligingsprobleem. Het 2026 Verizon Data Breach Investigations Report constateerde dat 31% van de datalekken nu betrekking heeft op exploitatie van technische kwetsbaarheden, een cijfer dat benadrukt hoeveel aandacht organisaties besteden aan het patchen van software en het dichten van technische gaten. Insider-zaken zoals die van Curry vallen volledig buiten die categorie. Ze maken misbruik van vertrouwen en proceslacunes in plaats van code, wat betekent dat firewalls, endpointdetectie en kwetsbaarheidsscans deze specifieke regeling niet zouden hebben gestopt.

Voor bedrijven die salaris-, HR- of financiële gegevens verwerken, belicht deze zaak een specifieke en vaak ondergefinancierde risicocategorie. Contractanten en kortdurende medewerkers hebben vaak brede toegang nodig om hun werk effectief te doen, maar die toegang wordt zelden heroverwogen zodra de opdracht eindigt. De kloof tussen contractbeëindiging en intrekking van toegang is precies waar regelingen zoals deze wortel schieten.

Wat dit voor jou betekent

Als je een medewerker of contractant bent met toegang tot gevoelige gegevens, is deze zaak een duidelijk signaal dat afpersingspogingen ernstige juridische gevolgen hebben, niet alleen voor het bedrijf maar ook voor de persoon die het probeert. Een gevangenisstraf van twee jaar, gecombineerd met FBI-betrokkenheid en forensische bewijsverzameling, toont aan dat losgeldelsen in verband met gestolen salarisgegevens worden behandeld als een federaal misdrijf, niet als een privégeschil.

Als je aan de ontvangende kant zit van een bedrijf dat contractantstoegang beheert, is de les meer operationeel. Salaris- en HR-gegevens moeten worden beperkt tot de kleinste groep mensen die ze echt nodig heeft, toegang moet worden gecontroleerd en onmiddellijk worden afgesneden zodra een contract eindigt, en ongebruikelijke datadownloads of -exports moeten alarmen activeren voordat ze een groter probleem worden. Wachten tot er een dreiging arriveert, is veel te laat.

Voor personen wiens persoonlijke of salarisgegevens mogelijk betrokken zijn bij een incident zoals dit, gelden nog steeds de standaardvoorzorgsmaatregelen: let op ongebruikelijke accountactiviteit, overweeg een kredietbevriezing als je op de hoogte wordt gesteld dat je gegevens betrokken waren, en wees sceptisch over ongevraagd contact dat verwijst naar je werkgelegenheid of financiële gegevens.

Belangrijkste conclusies

Deze zaak is een herinnering dat data-afpersing niet uitsluitend een externe dreiging is. Organisaties moeten toegangsbeheer, vooral voor contractanten en vertrekkende medewerkers, net zo serieus nemen als firewalls en patching. Een paar praktische stappen die het overwegen waard zijn:

• Bekijk en trek systeemtoegang onmiddellijk in wanneer een contract of dienstverband eindigt, niet dagen of weken later.
• Beperk toegang tot salaris- en HR-gegevens tot het minimum aantal mensen dat dit echt nodig heeft, en log wie dit bekijkt of exporteert.
• Behandel elk losgeld- of afpersingsverzoek als een zaak voor de politie in plaats van een privéonderhandeling, aangezien betalen zelden garandeert dat de dreiging eindigt.

De strafoplegging van Cameron Curry sluit één hoofdstuk van dit verhaal af, maar zou elke organisatie die gevoelige medewerkersgegevens verwerkt moeten aansporen om zich af te vragen of hun eigen offboarding- en toegangscontroles een soortgelijke poging zouden onderscheppen voordat het uitmondt in een kostbaar afpersingsverzoek.