Ransomware Stormous przyznaje się do ataku na Katholiek Amersfoort

2 czerwca 2026 r. grupa ransomware Stormous przyznała się do cyberataku na Katholiek Amersfoort, organizację kościelną z siedzibą w Holandii, działającą pod domeną katholiekamersfoort.nl. Zgodnie z oświadczeniem grupy, atak doprowadził do eksfiltracji ponad 10 GB wrażliwych danych, w tym danych osobowych członków, darczyńców i prawdopodobnie pracowników.

To naruszenie przypomina, że żadna organizacja nie jest wolna od ataków ransomware, niezależnie od swojego statusu non-profit czy religijnego. Kościoły, organizacje charytatywne i społecznościowe często przechowują znaczne ilości danych osobowych, w tym dane kontaktowe, historię darowizn i rejestry członkowskie, działając przy tym przy ograniczonych budżetach informatycznych i skromnych zasobach cyberbezpieczeństwa. Ta kombinacja czyni je atrakcyjnymi celami.

Dlaczego organizacje non-profit i religijne są podatne na ataki

Stormous nie jest nowym aktorem zagrożeń. Grupa jest aktywna od kilku lat i często atakuje organizacje z różnych sektorów i regionów geograficznych. Ich gotowość do zaatakowania sieci kościelnej w Holandii ilustruje szerszy trend: grupy ransomware coraz częściej celują w każdą organizację przechowującą dane, które można wykorzystać do wymuszenia, niezależnie od tego, czy cel dysponuje znacznymi zasobami finansowymi.

W przypadku organizacji religijnych i społecznościowych ryzyko potęguje kilka czynników. Wiele z nich opiera się na wolontariuszach, a nie na dedykowanym personelu IT. Ograniczenia budżetowe oznaczają, że oprogramowanie zabezpieczające, harmonogramy łatek i szyfrowane systemy kopii zapasowych są często niedofinansowane lub nie istnieją. Dane członków, w tym imiona i nazwiska, adresy, numery telefonów i informacje o wkładach finansowych, często przechowywane są w przestarzałych bazach danych lub systemach zarządzania treścią, które od lat nie otrzymują aktualizacji zabezpieczeń.

To nie jest odosobniony schemat. Atak ransomware na szpital, który ujawnił dane 337 917 pacjentów w Cookeville Regional Medical Center, kierował się podobną logiką: napastnicy zaatakowali instytucję przechowującą wrażliwe dane osobowe, ale niekoniecznie wyposażoną w zabezpieczenia klasy korporacyjnej. Podobnie, masowe naruszenia, takie jak atak ShinyHunters na Canvas, który naraził na ryzyko 275 milionów rekordów studentów, pokazują, że to wolumen danych, a nie prestiż sektora, decyduje o wyborze celów.

Jakie dane prawdopodobnie zostały ujawnione

Chociaż pełny zakres naruszenia w Katholiek Amersfoort nie został oficjalnie potwierdzony przez organizację, twierdzenie Stormous o ponad 10 GB wykradzionych danych jest znaczące. Sieci kościelne tego typu zazwyczaj przechowują:

  • Imiona i nazwiska oraz dane kontaktowe członków i darczyńców
  • Rejestry darowizn i wkładów finansowych, które mogą zawierać dane kont bankowych lub informacje o metodach płatności
  • Korespondencję wewnętrzną i dokumenty administracyjne
  • Dane osobowe pracowników lub wolontariuszy, potencjalnie obejmujące dokumenty tożsamości

Każda z tych kategorii danych może zostać wykorzystana w kampaniach phishingowych, do oszustw tożsamościowych lub sprzedana na rynkach dark web. Osoby, które miały kontakt z Katholiek Amersfoort – jako członkowie, darczyńcy lub uczestnicy wydarzeń – powinny traktować swoje dane osobowe jako potencjalnie skompromitowane.

Co to oznacza dla Ciebie

Jeśli jesteś członkiem, darczyńcą lub osobą kontaktową Katholiek Amersfoort, lub jakiejkolwiek organizacji religijnej lub społecznej, która doświadczyła naruszenia, istnieją konkretne kroki, które możesz podjąć, aby ograniczyć swoją ekspozycję.

Monitoruj swoje dane w bazach naruszeń. Usługi indeksujące dane z wycieków mogą powiadomić Cię, jeśli Twój adres e-mail lub hasło pojawi się w znanym zrzucie danych. Regularnie sprawdzaj swoje adresy e-mail w tych serwisach, zwłaszcza po informacjach o naruszeniu w organizacji, z którą masz do czynienia.

Zmień hasła powiązane z dotkniętą organizacją. Jeśli używasz tej samej kombinacji adresu e-mail i hasła do portalu członkowskiego oraz do innych usług, takich jak poczta e-mail, bankowość czy media społecznościowe, natychmiast zmień te dane uwierzytelniające. Używaj unikalnego, silnego hasła do każdego konta i przechowuj je w renomowanym menedżerze haseł.

Uważaj na ukierunkowane próby phishingu. Atakujący, którzy zdobędą listy członków, często wykorzystują te dane do tworzenia przekonujących e-maili phishingowych. Bądź sceptyczny wobec każdej wiadomości, która powołuje się na Twoje członkostwo w kościele, prosi o płatność lub wymaga weryfikacji danych konta za pośrednictwem linku.

Używaj szyfrowanej komunikacji do wrażliwych interakcji. Przekazując wrażliwe dane osobowe lub finansowe dowolnej organizacji, upewnij się, że połączenie jest szyfrowane. VPN może pomóc w zabezpieczeniu ruchu w sieciach publicznych lub współdzielonych, zmniejszając ryzyko przechwycenia danych podczas transmisji.

Pytaj organizacje, jak chronią Twoje dane. Organizacje non-profit i religijne podlegają przepisom o ochronie danych w UE, w tym Ogólnemu rozporządzeniu o ochronie danych (RODO). Jeśli jesteś mieszkańcem Holandii lub innego kraju UE, masz prawo zapytać organizacje, jakie dane o Tobie przechowują, i zażądać ich usunięcia w określonych okolicznościach. Holenderski organ ochrony danych (Autoriteit Persoonsgegevens) opublikował wytyczne dotyczące naruszeń danych spowodowanych przez ransomware i może być źródłem pomocy, jeśli uważasz, że Twoje prawa zostały naruszone.

Z perspektywy organizacyjnej, naruszenie w Katholiek Amersfoort podkreśla znaczenie szyfrowanych kopii zapasowych poza siedzibą, segmentacji sieci uniemożliwiającej poprzeczne przemieszczanie się atakujących oraz regularnych audytów bezpieczeństwa nawet w małych organizacjach non-profit. Zasady zero zaufania, w których żaden użytkownik ani system nie jest domyślnie zaufany nawet wewnątrz sieci, mogą znacznie ograniczyć szkody, jakie atakujący może wyrządzić po uzyskaniu początkowego dostępu.

Atak ransomware Stormous na sieć holenderskiego kościoła może nie trafić na te same nagłówki, co naruszenia w dużych korporacjach, ale dane osobowe członków społeczności są równie wrażliwe, a szkody równie realne. Bycie na bieżąco, monitorowanie własnej ekspozycji danych i wywieranie presji na organizacje, którym powierzasz swoje informacje, aby inwestowały w podstawową higienę bezpieczeństwa, to najskuteczniejsze narzędzia dostępne zwykłym ludziom w tym środowisku.