Wat is een datalek?

Tegenwoordig kan bijna alles wat we doen online gedaan worden. Of het nu gaat om werken, communiceren, socializen, entertainment, financiën – alles heeft een website, een app, een browserextensie en wat al niet meer. Je hebt zelf meerdere accounts bij verschillende diensten, simpelweg omdat het onmogelijk is om zonder hen je dagelijkse activiteiten uit te voeren. Dit is onze wereld. En dat is geweldig! Maar dit betekent ook dat er meerdere bedrijven zijn die weten wie je bent en informatie over je opslaan.

Dit kan variëren van alleen je inloggegevens, tot een compleet dossier over je gezondheid in je virtuele patiëntenportaal bij de huisarts. En ook om al je financiële transacties en bankgegevens als we het hebben over online winkels of bank-apps, complete profielen over jou, je adres, je factuurgegevens, met dank aan je internet- of mobiele serviceprovider en toegang tot al je sociale communicatie op sociale media en andere platforms.

De lijst gaat eindeloos door. En soms gaan al die bedrijven niet uiterst zorgvuldig om met de kostbare informatie die je hen toevertrouwt en laten ze per ongeluk iemand anders er toegang toe krijgen, wat potentieel kan leiden tot de wereldwijde verspreiding ervan. Dit staat bekend als een datalek.

Naarmate ons dagelijks leven steeds meer gedigitaliseerd wordt, worden datalekken een van de grootste bedreigingen waarmee we online worden geconfronteerd. En het is een van die dingen waarover we heel weinig controle hebben – we moeten de bedrijven blindelings vertrouwen dat ze de nodige voorzorgsmaatregelen nemen als het gaat om onze online bescherming.

We gaan je alles uitleggen over wat datalekken zijn, hoe ze tot stand komen en of er iets is dat je kunt doen om te voorkomen dat je slachtoffer wordt van een van hen.

Wat zijn datalekken?

Wat zijn nou eigenlijk deze angstaanjagende datalekken die je hele online bestaan bedreigen?

Laten we eerst maar eens beginnen met de definitie van het begrip ‘datalekken’.

In essentie zijn datalekken de ongeautoriseerde blootstelling, overdracht of het ophalen van gegevens van binnen een organisatie naar een externe bestemming of ontvanger. Dit is een uitgebreide manier om te zeggen dat een datalek in principe bedrijven die enige informatie over je bezitten, die informatie aan externe partijen blootstellen.

Datalekken kunnen op verschillende manieren tot stand komen, vaak door een inbreuk in de beveiliging van een systeem of onbedoelde data-exposure door menselijke fouten, softwarekwetsbaarheden of ontoereikende beveiligingsbeleid. De gegevens die gelekt kunnen worden variëren van persoonlijke informatie, zoals namen, adressen en burgerservicenummers, tot gevoelige bedrijfsinformatie, waaronder financiële rapportages, klantgegevens en handelsgeheimen.

In tegenstelling tot een data-inbreuk (data breach), die meestal een doelbewuste poging van cybercriminelen inhoudt om toegang te krijgen tot en gegevens te extraheren, kunnen datalekken plaatsvinden zonder kwaadaardige intentie. Ze kunnen het gevolg zijn van simpele nalatigheden, zoals slecht geconfigureerde databases, onbeveiligde servers of het per ongeluk delen van bestanden of informatie.

De blootstelling van je persoonlijke informatie als gevolg van een datalek kan echter leiden tot behoorlijk verwoestende resultaten, waarbij cybercriminelen de gelekte gegevens kunnen gebruiken om verdere online aanvallen uit te voeren, je accounts te kapen en vrijwel alles te doen wat die gegevens mogelijk maken.

Hoe komen datalekken tot stand?

Er zijn veel verschillende manieren waarop datalekken kunnen optreden. Misschien wel te veel om te tellen. Maar dit zijn de meest voorkomende manieren waarop de meeste datalekken plaatsvinden:

Zwakke beveiligingsmaatregelen

Een van de meest voorkomende oorzaken van datalekken is onvoldoende beveiliging. Dit kan zwakke wachtwoorden, verouderde software of slecht geconfigureerde netwerken omvatten die systemen kwetsbaar maken voor aanvallen.

Elke online dienst en elk bedrijf wil geld verdienen, maar niet iedereen heeft de capaciteit voor robuuste beveiligingsmaatregelen, waardoor cybercriminelen vaak kleine tot middelgrote bedrijven als doelwit kiezen om naar kwetsbaarheden te zoeken.

Dat betekent echter niet dat grote bedrijven buiten deze dreiging vallen. Naarmate online dreigingen geavanceerder worden, moeten bedrijven zich aanpassen aan het veranderende landschap en adequate beveiligingsmaatregelen treffen om hun gebruikers te beschermen.

Menselijke fout

We kunnen het niet vaak genoeg herhalen – de gebruiker is altijd het zwakste punt van elk beveiligingssysteem, en daarom komen veel datalekken tot stand door fouten van eindgebruikers. Dit kan iets eenvoudigs zijn als het versturen van gevoelige informatie naar het verkeerde e-mailadres, het verkeerd plaatsen van fysieke documenten, of het per ongeluk online posten van privégegevens.

Maar het kan ook gaan om meer geavanceerde aanvalsvectoren, zoals het misleiden van gebruikers met spear-phishing-e-mails, hen malware laten installeren en andere methoden gebruiken om toegang te krijgen tot gevoelige informatie.

Softwarekwetsbaarheden

Hackers exploiteren vaak gebreken in software om ongeautoriseerde toegang te krijgen tot gegevens. Deze kwetsbaarheden kunnen bestaan in besturingssystemen, applicaties of databases en kunnen leiden tot aanzienlijke data-exposure als ze niet snel worden gepatcht.

Onbeveiligde databases en servers

Gegevens die op servers en databases zijn opgeslagen, kunnen worden gelekt als ze niet goed zijn beveiligd. Het gaat dan om het niet versleutelen van gegevens, het niet opzetten van firewalls, of het blootstellen van databases aan het internet zonder adequate bescherming.

Interne dreigingen

Soms kan de bron van een datalek binnen een organisatie liggen. Medewerkers of aannemers met toegang tot gevoelige informatie kunnen deze opzettelijk of onbedoeld lekken.

Verloren of gestolen apparaten

Mobiele apparaten, laptops en externe opslagapparaten met gevoelige gegevens kunnen leiden tot datalekken als ze verloren of gestolen worden en toegankelijk zijn voor onbevoegde personen.

Dienstverleners van derden

Bedrijven delen vaak gegevens met derden zoals leveranciers of partners. Als deze derden een beveiligingsinbreuk ervaren of gegevens onzorgvuldig behandelen, kan dit leiden tot een datalek.

De mogelijke impact van datalekken

Gezien datalekken een van de grootste gevaren voor je online veiligheid zijn, is het belangrijk om te begrijpen welke impact ze kunnen hebben. Het is verleidelijk om te denken: ‘Dus mijn naam is gelekt, nou en? In het ergste geval moet ik mijn wachtwoord veranderen.’ Maar in werkelijkheid kunnen datalekken verwoestende en langdurige gevolgen hebben. Voor jou persoonlijk. Dit kunnen onder meer de consequenties van een datalek zijn:

• Identiteitsdiefstal. Persoonlijke gegevens uit lekken kunnen worden gebruikt voor identiteitsdiefstal. Criminelen kunnen accounts openen, aankopen doen of zelfs leningen aanvragen onder jouw naam.
• Financieel verlies. Als je financiële gegevens worden gelekt, kun je te maken krijgen met ongeautoriseerde transacties, verlies van spaargeld of schade aan je kredietwaardigheid.
• Inbreuk op privacy. Een datalek kan je privégesprekken, foto’s of informatie die je vertrouwelijk wilde houden, blootleggen, wat leidt tot een gevoel van schending en stress.
• Verhoogd risico op oplichting en phishing. Met je contactgegevens beschikbaar voor oplichters, kun je een toename zien in phishingpogingen, scamtelefoontjes en frauduleuze e-mails.
• Gecompromitteerde online veiligheid. Gelekte inloggegevens kunnen je online accounts in gevaar brengen, van sociale media tot bankieren, wat kan leiden tot ongeautoriseerde toegang en misbruik.
• Reputatieschade. Als gevoelige of compromitterende informatie wordt gelekt, kan dit je persoonlijke en professionele reputatie beïnvloeden.
• Langdurige beveiligingsproblemen. Zodra je persoonlijke informatie is blootgesteld, verdwijnt het risico niet meteen. Je informatie kan over tijd verhandeld en hergebruikt worden door criminelen, wat leidt tot langdurige kwetsbaarheid.
• Moeilijkheden bij herstel. Het herstellen van de gevolgen van een datalek, zoals het wijzigen van wachtwoorden, het beveiligen van accounts en het monitoren van financiële transacties, kan tijdrovend en complex zijn.

Grootste wereldwijde datalekken

Als je bedenkt hoeveel grote bedrijven over je weten, kan zelfs het denken aan een datalek je misselijk maken. Maar we gaan het nog erger maken.

Hier zijn enkele van de grootste datalekken in de geschiedenis:

Yahoo (2013 en 2014)

Yahoo ervoer twee enorme datalekken, die in 2016 aan het licht kwamen. De eerste, in 2013, trof alle 3 miljard Yahoo-accounts, terwijl de tweede, in 2014, ongeveer 500 miljoen gebruikers trof. Gecompromitteerde informatie omvatte namen, e-mailadressen, telefoonnummers, geboortedata, gehashte wachtwoorden en in sommige gevallen beveiligingsvragen en -antwoorden.

Facebook (2019)

Meer dan 540 miljoen gegevens van Facebook-gebruikers werden blootgesteld op de cloudcomputingdienst van Amazon. De gegevens omvatten accountnamen, ID’s en details over reacties en opmerkingen op berichten.

Marriott International (2018)

De hotelketen kondigde een inbreuk aan die tot 500 miljoen gasten van haar Starwood-reserveringssysteem trof. De blootgestelde informatie omvatte namen, telefoonnummers, e-mailadressen, paspoortnummers en reisinformatie.

Adult Friend Finder (2016)

Meer dan 412 miljoen accounts werden blootgesteld in een inbreuk op FriendFinder Networks, waarbij sites als Adult Friend Finder, Cams.com en anderen werden getroffen. De inbreuk legde e-mailadressen, wachtwoorden en andere gevoelige gegevens bloot.

eBay (2014)

eBay leed aan een cyberaanval waarbij de persoonlijke informatie van 145 miljoen gebruikers werd blootgesteld. Het ging om namen, e-mailadressen, fysieke adressen, telefoonnummers en geboortedata.

Equifax (2017)

Het kredietrapportagebureau ervoer een enorme data-inbreuk die ongeveer 147 miljoen consumenten trof. Hackers kregen toegang tot gevoelige gegevens, waaronder burgerservicenummers, geboortedata, adressen en in sommige gevallen rijbewijsnummers.

LinkedIn (2012)

Oorspronkelijk werd gedacht dat het 6,5 miljoen gebruikers trof, maar later bleek dat 117 miljoen accounts waren gecompromitteerd. De inbreuk betrof e-mailadressen en wachtwoorden.

De grootste datalekken die jou mogelijk hebben getroffen

Nederland is misschien behoorlijk geavanceerd als het gaat om de digitale sfeer en algemene online netheid van gebruikers, maar dat betekent niet dat we hier niet vatbaar zijn voor datalekken. Sterker nog, sommige daarvan hebben jou mogelijk al getroffen, en je hebt het misschien nooit geweten.

Hier zijn enkele van de grootste datalekken die hier in Nederland hebben plaatsgevonden.

Booking.com (2019)

Bij dit incident werden persoonlijke gegevens van duizenden Booking.com-klanten blootgesteld, waaronder namen, adressen en boekingsgegevens. De inbreuk vond plaats door een phishingaanval op medewerkers, wat leidde tot ongeautoriseerde toegang tot klantgegevens. Dit trof niet alleen gebruikers in Nederland, maar had een enorme impact op alle gebruikers van Booking over de hele wereld.

Nederlands overheid COVID-19 (2021)

Je herinnert je deze misschien nog (ondanks dat we het graag willen vergeten). Er vond een datalek plaats in het Nederlandse overheidssysteem voor COVID-19-contactonderzoek, waarbij persoonlijke gegevens van duizenden mensen die op het virus waren getest, werden blootgesteld. Het betrof gevoelige informatie, waaronder BSN-nummers en contactgegevens.

Ticketcounter (2021)

Ticketcounter, een Nederlands ticketplatform, leed een aanzienlijk datalek waarbij de persoonlijke informatie van 1,5 miljoen mensen werd gelekt. Dit omvatte namen, e-mailadressen en bankrekeningnummers. De inbreuk werd mede veroorzaakt doordat een opslagserver onvoldoende was beveiligd.

UWV (2020)

Het Nederlandse Uitvoeringsinstituut Werknemersverzekeringen (UWV) ervoer een data-inbreuk waarbij de persoonlijke gegevens van duizenden mensen werden blootgesteld. Een medewerker verstuurde per ongeluk een e-mail met een bijlage met gevoelige persoonlijke gegevens van mensen die een arbeidsongeschiktheidspensioen ontvingen.

KPN (2012)

Het Nederlandse telecommunicatiebedrijf KPN leed aan een datalek waarbij hackers toegang kregen tot miljoenen klantgegevens. Deze inbreuk wekte grote zorgen over de beveiligingspraktijken van grote dienstverleners in Nederland.

Ziggo (2015)

KPN is niet het enige communicatiebedrijf dat een datalek leed, bij Ziggo gebeurde het ook. Door ongeautoriseerde toegang tot het Ziggo-systeem werden de accounts van meer dan 200.000 klanten blootgesteld, inclusief hun namen, e-mailadressen en zelfs versleutelde wachtwoorden.

Is er een manier waarop je jezelf kunt beschermen tegen datalekken?

Nu heb je bijna alles geleerd wat er te weten valt over datalekken, behalve één ding: is er een manier waarop je jezelf ertegen kunt beschermen?

Datalekken komen vanuit de bedrijven, dus lijkt het alsof je er geen controle over hebt. Het enige wat je kunt doen na het aanmaken van een account op een website is hopen dat ze zorgvuldig met je gegevens omgaan.

Hoewel dat waar is, en bedrijven degene zijn die adequate cybersecuritymaatregelen moeten nemen om ervoor te zorgen dat de gegevens van hun gebruikers veilig blijven, zijn er een aantal dingen die je kunt doen om deze impact te minimaliseren:

1. Gebruik sterke, unieke wachtwoorden

Creëer complexe en unieke wachtwoorden voor elk van je accounts. Zo, mocht een bedrijf waar je een account hebt getroffen worden door een datalek, hoef je je enkel zorgen te maken over dat specifieke account, in plaats van je te bekommeren om talloze accounts die toevalligerwijs hetzelfde wachtwoord delen.

2. Activeer tweefactorauthenticatie

Activeer waar mogelijk tweefactorauthenticatie (2FA) op je accounts. Dit voegt een extra beveiligingslaag toe, bovenop alleen je wachtwoord. Met deze functie overal ingeschakeld zullen, zelfs als je accountgegevens worden gelekt, kwaadaardige criminelen het veel moeilijker vinden om toegang tot je accounts te krijgen.

3. Wees voorzichtig met persoonlijke informatie

Deel persoonlijke informatie spaarzaam en alleen op veilige, gerenommeerde websites. Wees vooral voorzichtig met gevoelige gegevens zoals je BSN, financiële details en huisadres. Hoe minder je deelt, hoe minder waarschijnlijk het is dat gegevens in een soort lek terechtkomen.

4. Monitor je accounts

Controleer regelmatig je bankafschriften, kredietrapporten en online accounts op verdachte activiteiten. Vroege detectie van ongeautoriseerde acties kan helpen om potentiële schade te beperken.

5. Beveilig je apparaten

Gebruik beveiligingsfuncties zoals firewalls, antivirussoftware en VPN’s. Deze maatregelen voorkomen misschien niet dat datalekken door andere bronnen worden afgehandeld, maar het kan je helpen je apparaten en je informatie te beschermen tegen verdere schade.

6. Controleer privacy-instellingen

Controleer en pas regelmatig de privacy-instellingen op je socialmedia-accounts en andere online diensten aan, om te bepalen wie toegang heeft tot je informatie.

7. Blijf op de hoogte van dataleknieuws

Blijf op de hoogte van de laatste incidenten met datalekken, vooral diegene die diensten betreffen die je gebruikt. Als een dienst die je gebruikt gecompromitteerd is, wijzig dan je wachtwoord en volg eventuele andere aanbevelingen die door de dienst worden verstrekt. Dus de volgende keer dat je een saai artikel over weer een datalek ziet, scroll er niet zomaar voorbij, maar controleer het om te zien of het jou kan beïnvloeden.

Van onschuldige foutjes tot enorme incidenten

We hebben gezien hoe datalekken een gevolg kunnen zijn van een onschuldig foutje van iemand die per ongeluk een e-mail teveel deelt, maar ook van onbeschermde software, een onbetrouwbare medewerker met snode plannen, en het verlies van je laptop of telefoon. Wat de oorzaak ook is, de gevolgen kunnen enorm zijn en zelfs uitgroeien tot gigantische, wereldschokkende incidenten en persoonlijke en financiële chaos.

Hoewel je niet altijd kunnen voorkomen dat je gegevens in verkeerde handen vallen, zijn er stappen die je kunt nemen om het risico te minimaliseren. Van het aanmaken tot sterke, unieke wachtwoorden en het aanzetten van je VPN, tot het alert blijven op de nieuwste datalekken. Het is aan onszelf om waakzaam te blijven, want een ongeluk zit in een klein hoekje en met de hoeveelheid accounts die je tegenwoordig nodig hebt zijn er nogal wat hoekjes.

Bescherm jezelf dus zo goed als je kunt tegen datalekken, want uiteindelijk is je digitale veiligheid net zo belangrijk als je fysieke.