De week in Breach-nieuws 21 oktober 2026

ConnectWise heeft de toegang van klanten tot zijn Cloud Backup-dienst, voorheen bekend als SkyKick Cloud Backup, geblokkeerd nadat hackers toegang hadden gekregen tot applicatie-inloggegevens en Microsoft 365-tenants hadden gecompromitteerd.

Het bedrijf meldde dat het onlangs ongeoorloofde toegang tot applicatie-identiteiten binnen de ConnectWise Cloud Backup-omgeving had vastgesteld en de toegang tot de applicatie voor zijn partners en klanten had geblokkeerd. Op vrijdag 16 oktober kwamen de eerste meldingen van kwaadwillige activiteiten binnen, waarbij beheerders ongeoorloofde toegang tot klantgegevens in Microsoft 365-tenants constateerden. Ook Microsoft bevestigde deze activiteiten en meldde op 15 oktober ongeoorloofde authenticatiepogingen vanaf een bepaald IP-adres.

Naar aanleiding van het incident heeft ConnectWise laten weten dat de geplande back-ups niet worden uitgevoerd en dat er nog steeds geen toegang is tot de getroffen back-uparchieven en herstelfuncties. Het bedrijf heeft bovendien de diensten ‘SaaS Security’ en ‘Cloud Management’ tijdelijk buiten gebruik gesteld, in afwachting van de afronding van het onderzoek naar het incident.

De GhostAction-campagne voor het stelen van inloggegevens is onlangs in kracht toegenomen en richt zich op meer dan 30.000 GitHub-repositories van in totaal 3.000 gebruikers en organisaties.

GhostAction is een aanvalcampagne via de toeleveringsketen die gericht is op de infrastructuur van ontwikkelaars op GitHub. De campagne werd voor het eerst ontdekt in september 2025 en houdt in dat cybercriminelen legitieme ontwikkelaarsaccounts compromitteren om kwaadaardige automatiseringsworkflows van GitHub Actions in software-repositories te injecteren. Tussen 31 augustus en 30 september 2026 trof de campagne 772 openbare GitHub-repositories, waarbij 2.577 geheimen het doelwit waren. Vervolgens nam de campagne sterk toe, met een grote piek tussen 8 en 9 oktober die meer dan 30.000 repositories van 3.000 gebruikers en organisaties trof.

Het aantal campagnes dat gericht is op repositories op GitHub, eigendom van Microsoft, neemt toe.Een recente geautomatiseerde kwaadaardige campagne, genaamd Megalodon, trof meer dan 5.000 GitHub-repositories. Deze campagnes zijn erop gericht om geheimen op het gebied van continue integratie en continue implementatie (CI/CD), cloud-inloggegevens, token voor pakketregisters van platforms zoals npm, PyPI en Docker Hub, en API-sleutels van AI-aanbieders te stelen.

Een hacker heeft toegang gekregen tot de gegevens van miljoenen leerlingen in Californië na een datalek bij een externe non-profit-contractant van het Californische ministerie van Onderwijs.

Op 16 oktober maakte het Ministerie van Onderwijs van Californië bekend dat een hacker toegang had gekregen tot gegevens van leerlingen door misbruik te maken van de systemen van Educational Testing Service (ETS), een non-profitorganisatie die samenwerkt met de staat. ETS is begonnen met het informeren van leerlingen en hun families over het datalek, dat eind vorige maand werd ontdekt maar al sinds mei aan de gang was. Een onbevoegde partij heeft tussen 22 mei en 18 september 2026 misbruik gemaakt van gestolen inloggegevens om toegang te krijgen tot de site en bestanden te kopiëren. De bestanden bevatten persoonlijke gegevens van studenten, waaronder namen, geboortedata, adressen en informatie over een eventuele handicap.

De hacker heeft toegang gekregen tot gegevens van leerlingen die in de drie voorgaande schooljaren waren ingeschreven. Volgens het ministerie waren er alleen al in het schooljaar 2025–2026 meer dan 5,7 miljoen leerlingen ingeschreven in Californië.

Na een reeks ernstige cyberaanvallen op koelsystemen in Frankrijk, kreeg de Nederlands-Belgische supermarktgigant Ahold Delhaize te maken met een grootschalig cyberbeveiligingsincident, waardoor het bedrijf gedwongen was zijn wereldwijde IT-netwerken enkele dagen offline te halen.

Ahold Delhaize is een van de grootste levensmiddelenretailers in de Verenigde Staten en exploiteert merken als Stop & Shop, Giant Food, Hannaford en Food Lion. Het cyberbeveiligingsincident was voor het bedrijf aanleiding om de voor klanten bestemde e-commercesystemen, mobiele apps en bezorglogistiek stil te leggen, wat leidde tot verstoringen van de bedrijfsvoering in zowel de VS als Europa.

Het onderzoek loopt nog en het bedrijf heeft geen verdere details over het incident bekendgemaakt.

Door een beveiligingslek bij OpenCode Console zijn mogelijk API-sleutels van OpenAI, Anthropic en Google blootgesteld die door gebruikers van de dienst waren opgeslagen.

Op 16 oktober heeft een indringer toegang gekregen tot een verouderd systeem bij OpenCode, waardoor mogelijk sleutels van externe AI-aanbieders die waren opgeslagen in de OpenCode Console zijn blootgesteld. De Console is de optionele gehoste dienst van OpenCode, waar werkruimten hun eigen OpenAI-, Anthropic- of Google API-sleutels opslaan. De dienst gebruikt deze sleutels om de betreffende aanbieders aan te roepen, waardoor teamleden AI-modellen kunnen gebruiken zonder de sleutels zelf te zien. Het incident trof 1,4% van de Console-gebruikers, die allemaal een externe AI-provider hadden gekoppeld. OpenCode heeft deze gebruikers een e-mail gestuurd met de instructie om hun bestaande sleutels bij de betreffende providers in te trekken en te vervangen.

Het bedrijf verklaarde dat het beveiligingslek verband hield met een grootschalige ‘distillation’-aanval en dat het samenwerkt met Anthropic, OpenAI en Google om het probleem op te lossen.