Hackersgroep The Gentlemen beweert interne documenten, informatie over medewerkers, financiële contracten en andere gevoelige gegevens te hebben buitgemaakt. De groep dreigt die informatie op het dark web te publiceren als Thialf niet betaalt.
Thialf bevestigde vrijdag tegenover RTL Nieuws dat het slachtoffer is van een cyberaanval. Op de eigen website meldt het stadion dat uit forensisch onderzoek is gebleken dat de impact nihil is. Thialf wil verder niet uitgebreid op de aanval ingaan.
Anders dan eerder in de media werd gemeld, wil businessmanager Yvonne Kager van Thialf wel verduidelijken dat Thialf geen contact heeft gezocht met de cybercriminelen. „Uit het forensische onderzoek blijkt dat daar geen enkele aanleiding voor is.”
Kan de impact dan werkelijk minimaal zijn?
Dat kan, zegt techjournalist Daniël Verlaan van RTL Nieuws. Thialf kan met minimale impact doelen op de bedrijfsvoering. „Bijvoorbeeld omdat alle evenementen gewoon door kunnen gaan.”
Tegelijk kan er wel degelijk gevoelige informatie zijn gestolen. „Thialf hint erop van niet en The Gentlemen zegt van wel, dus dan is het maar net wie van de twee gelijk heeft.”
Volgens Verlaan zijn er grofweg twee vormen van afpersing bij een ransomware-aanval. Hackers kunnen systemen versleutelen en een bedrijf stilleggen. Ze kunnen ook gegevens stelen en dreigen die openbaar te maken.
„Vooral die tweede vorm van afpersing is best heftig”, zegt Verlaan. „Dat systemen platliggen, daar lukt het bedrijven vaak wel omheen te werken. Met het openbaar maken van data ligt dat anders.”
Wat er precies is buitgemaakt, is onbekend. In algemene zin kan het volgens Verlaan gaan om identiteitsbewijzen, salarisgegevens of concurrentiegevoelige informatie. „Eigenlijk alle data die bij mensen van Thialf op de computer kan staan.”
Dat verschilt per aanval, zegt Verlaan. ,,Net als bij een bankoverval doe je dat ook niet altijd op dezelfde manier. Het doel is om geld uit de kluis te krijgen.” Criminelen kunnen een wachtwoord stelen, iemand op een verkeerde link laten klikken of misbruik maken van software die niet op tijd is bijgewerkt.
Dat laatste gebeurt volgens Erik Miedema, directeur van de MKB Cyber Campus in Leeuwarden, nog geregeld. Softwareleveranciers brengen updates niet alleen uit voor nieuwe functies, maar ook om beveiligingslekken te dichten.
„Zodra zo’n lek bekend is, weten criminelen ook dat het bestaat. Als een organisatie de update niet installeert, blijft dat gaatje gewoon openstaan. Dan kunnen hackers daar soms heel eenvoudig door naar binnen.”
Verlaan zegt dat de kans groot is dat de hackers Thialf, ook na al het nieuws over de Olympische Spelen, niet eens kennen. „Wat cybercriminelen doen, is laaghangend fruit aanvallen. Ze kijken waar een gaatje zit dat ze kunnen misbruiken.”
Miedema vermoedt dat de criminelen al langer toegang hadden voordat zij zich bij Thialf meldden. „Daar zitten ze waarschijnlijk al maanden.”
Hij vergelijkt het met een huis. „Het is alsof ze de sleutel van de voordeur hebben, maar de rest van de deuren nog op slot zijn. Langzaam maar zeker proberen ze de andere deuren open te krijgen en te achterhalen waar belangrijke data staan.”
Wie is The Gentlemen?
The Gentlemen is een relatief nieuwe ransomwaregroep. Volgens RTL is zij sinds de zomer van 2025 actief en is Thialf het achtste Nederlandse slachtoffer.Eerder trof de groep onder meer het Instituut voor de Nederlandse Taal en een bouwbedrijf. „Die hebben niet betaald en die gegevens zijn op het dark web beland”, zegt Verlaan.
Waar de groep precies zit, is onbekend. „Maar als ik er geld op zou moeten zetten, zet ik altijd in op Rusland.”
Miedema benadrukt dat dit soort groepen steeds professioneler werken. „Dit is eigenlijk gewoon een soort bedrijf, met een eigen helpdesk. Ze hebben vaak ook gewoon een eigen kantoorpand.”
Moet een bedrijf betalen?
„De politie adviseert om niet te betalen”, zegt Miedema. „Dat moet je inderdaad niet doen, maar ik snap wel dat bedrijven in die spagaat komen.”
Volgens Miedema kost zo’n aanval een bedrijf eigenlijk altijd geld. Er zijn kosten voor onderzoek en ingehuurde deskundigen. „Het is een beetje hetzelfde alsof je bedrijf in brand staat. Je bent alleen bezig met herstel, niet met je gewone werkzaamheden.”
Voor Thialf draait de afweging volgens Verlaan vooral om twee vragen. „Wat hebben ze gestolen en is dat gevoelig genoeg?”
De KNVB koos daar na een ransomware-aanval in 2023 bijvoorbeeld wel voor. Voor de voetbalbond woog het voorkomen van de verspreiding van gestolen persoonsgegevens zwaarder dan het principe om niet aan afpersing toe te geven.
„Je houdt hun verdienmodel er ook mee in stand”, zegt Verlaan. „Overheden betalen nooit, maar bedrijven als Thialf moeten die afweging zelf maken.”
Wat kan Thialf verder nog doen?
Het gunstigste scenario is volgens Verlaan dat de criminelen vooral oude documenten of weinig gevoelige informatie over medewerkers in handen hebben. „Het is vervelend, maar misschien valt het ook wel heel erg mee.”
Miedema pleit ervoor dat bedrijven als Thialf juist meer openheid geven, als ze getroffen zijn door een cyberaanval. „Andere bedrijven en ondernemers kunnen daar dan ook weer van leren. Ik zou zeggen: wees daar open in.”
Miedema ziet dat bedrijven in de stress schieten, na zo’n aanval. „Maar je hoeft je er echt niet voor te schamen. Het kan iedereen overkomen.”
Verantwoording
Dit artikel is in de loop van donderdag aangepast nadat Thialf aanvullende informatie gaf. Het stadion bleef bij het eerdere statement dat de impact van de cyberaanval nihil was, maar vult aan dat er geen contact is gezocht met de cybercriminelen. Volgens het forensische onderzoek was daar ook geen aanleiding voor.
