Datalek na datalek: waarom het gevaarlijk is dat van bijna iedereen privégegevens op straat liggen

De kans is groot dat de gegevens die je achterliet bij een online enquête of bestelling in een webshop betrokken zijn bij een datalek. "Het is belangrijk dat je altijd alert bent op verdachte telefoontjes."

Als je gebeld wordt door je eigen bank en 'de medewerker' weet naast je naam ook je IBAN-nummer, je geboortedatum en hoeveel geld er op je rekening staat, dan komt dat heel betrouwbaar over. Maar de kans is aanwezig dat het helemaal niet je eigen bank is, maar een cybercrimineel die zich, met jouw gestolen gegevens, voordoet als je bank. Door de vele datalekken van de afgelopen jaren is er inmiddels van bijna iedereen wel informatie gelekt.

Steeds meer informatie bekend

"Hoe meer informatie er van iemand bekend is, hoe makkelijker het is om iemand op te lichten", legt voorzitter Aleid Wolfsen van de Autoriteit Persoonsgegevens (AP) uit. "Als je naast een naam en mailadres ook een rekeningnummer, burgerservicenummer en geboortedatum van iemand weet, kun je het persoonlijker maken."

Ook directeur Marloes Kolthof van de Fraudehelpdesk zegt dat er van veel mensen steeds meer informatie bekend is: "Als je wordt gebeld door een bank en die weet van alles over je, dan komt dat ontzettend legitiem over. De oplichters bereiden dat goed voor en dan gaat het al snel fout. Met alle gevolgen van dien."

Moeilijke te achterhalen

Van afgelopen jaar zijn er nog geen cijfers, maar in 2021 ontving de AP 24.866 meldingen van een datalek. Dat zijn er iets meer dan een jaar eerder, toen ontvingen ze er 23.976. "Als een bedrijf slachtoffer is van een lek, is het belangrijk dat de klanten van wie de gegevens gelekt zijn, zo snel mogelijk worden ingelicht", zegt Wolfsen. "Belangrijk is dat je dan alert bent op verdachte telefoontjes of mailtjes."

Of je in het verleden slachtoffer bent geworden van een datalek is soms moeilijk te achterhalen. "Het is lastig om te zien of je gegevens al ergens bekend zijn. Het is allemaal onzichtbare fraude, onzichtbare criminaliteit", legt Kolthof uit. "Je hebt in het verleden op heel veel websites een gebruikersnaam en een wachtwoord aangemaakt. Je weet niet altijd meer op welke sites dat zijn."

Allerlei bestellingen geplaatst

"Als je gegevens eenmaal gestolen zijn en worden verhandeld op het dark web, of tegenwoordig gewoon ook op het internet, zorg dan maar eens dat daar een einde aan komt." Kolthof legt uit wat er met die gestolen gegevens gebeurt: "Er worden dan allerlei bestellingen geplaatst onder jouw naam, of je bankrekening wordt leeggehaald."

Dat overkwam ook Armin Morisson een halfjaar geleden. "Ik keek mijn mail na en zag een bestelling staan van Amazon, maar dacht dat dat mijn vrouw was. Toen zij vertelde dat zij niks besteld had, dacht ik: er klopt iets niet. En toen bleek dat er al geld af was geschreven via mijn creditcard, voor de aankoop van een putdeksel, heel vreemd."

Overal hetzelfde wachtwoord

Morisson zocht uit hoe het komt dat zijn gegevens bekend zijn en gebruikt worden om bestellingen te plaatsen. "Ik bleek ooit online een enquête te hebben ingevuld over cardio en mijn hart. Ik kwam erachter dat via die enquête nu mijn gegevens terug te vinden zijn op het dark web. Daar schrik je wel heel erg van."

Hij is een dag bezig geweest om alles te regelen: bellen met de bank, met Amazon, met de Fraudehelpdesk voor advies. "Ik heb al mijn wachtwoorden veranderd." Achteraf is hij te makkelijk geweest, vindt hij. "Ik had overal hetzelfde wachtwoord voor, dat heb ik veranderd. Ik heb hier echt wel van geleerd, gebruik nooit hetzelfde wachtwoord en verander ze ook regelmatig."

2 miljoen klanten getroffen

Vorige week werd bekend dat bij een groot Nederlands datalek zeker 2 miljoen klanten zijn getroffen. "Veel bedrijven hebben de veiligheid van hun systemen zelf wel op orde, maar als ze een andere bedrijf inhuren voor bijvoorbeeld een klanttevredenheidsonderzoek, gaat het nog wel eens mis", zegt Wolfsen van de AP.

Ook bij het datalek, waar onder andere klantgegevens van de NS, VodafoneZiggo en ArboNed betrokken zijn, zat het lek bij een ingehuurd softwarebedrijf.

Gegevens laten wissen

Kolthof adviseert om alleen gegevens door te geven die echt noodzakelijk zin. "Soms kun je bijvoorbeeld je geboortedatum invullen als je via een webshop iets besteld, maar als dat niet nodig is, doe dat dan ook niet. Als je gegevens achterlaat bij een webwinkel waar je niet nog een keer iets wilt bestellen, geef dan aan dat je je gegevens wilt laten wissen."

En als je slachtoffer bent geworden van een datalek is het ook mogelijk om het bedrijf waar je gegevens gestolen zijn aansprakelijk te stellen, zegt Wolfsen. "Heb je schade opgelopen, verhaal dan de schade."