Nieuws over datalekken: zo controleer je een bewering en bescherm je je accounts

Wanneer er een kop over een datalek verschijnt, stel dan eerst vast wat is bevestigd, of jouw account is getroffen en welke informatie is blootgesteld. Een bewering op een crimineel forum is niet hetzelfde als een melding van de organisatie. Tegelijk kun je hergebruikte inloggegevens vervangen en de toegang tot je accounts beter beveiligen zonder op elk detail van het onderzoek te wachten.

Dit is een blijvend bruikbare handleiding voor het reageren op datalekken, geen actueel weekoverzicht van incidenten. Er wordt niet beweerd dat een genoemd bedrijf een nieuw bevestigd datalek heeft gehad.

Noteer vier datums en de bewijsstatus

Maak onderscheid tussen de datum van het incident, de datum waarop het werd ontdekt, de datum van de openbare bekendmaking en de datum waarop een artikel werd bijgewerkt. Een oude dataset die vandaag opnieuw wordt geplaatst, betekent niet noodzakelijk dat er opnieuw is ingebroken. Evenzo kan een pas bekendgemaakt incident gaan over toegang die maanden eerder plaatsvond.

Een bruikbare notitie ziet er zo uit:

• Organisatie en officiële melding: een link naar de eigen beveiligings- of ondersteuningspagina van het bedrijf.
• Status: beweerd, in onderzoek, bevestigd of gecorrigeerd.
• Getroffen periode en accounts: precies zoals vermeld; onbekend als deze informatie niet is verstrekt.
• Gegevensvelden: onderscheid namen of e-mailadressen van wachtwoorden, identiteitsdocumenten en betaalgegevens.
• Jouw actie en deadline: de aanbevolen stap uit de melding en wanneer je die hebt uitgevoerd.

Download geen gelekte databases om zelf te controleren. Ze kunnen privégegevens van anderen, schadelijke bestanden, hergebruikte records of verzonnen gegevens bevatten. Geef nooit je huidige wachtwoord aan een ‘datalekchecker’.

Hoe controleer je een bewering over een datalek?

Snelle berichtgeving over datalekken begint vaak met onvolledig bewijs. Een bewering doorloopt doorgaans deze fasen:

1. Een kwaadwillende plaatst een bewering.
2. Een journalist of onderzoeker bericht erover.
3. De organisatie doet onderzoek.
4. De organisatie, een toezichthouder of een andere gezaghebbende bron bevestigt, beperkt of verwerpt de bewering.
5. Geïdentificeerde gebruikers ontvangen een melding waar dat verplicht is.

Gebruik deze bewijsladder voordat je een bericht aanneemt:

Bewijsniveau	Wat het aantoont	Hoe te reageren
Bewering van een kwaadwillende	Er is een bewering gedaan	Neem eenvoudige voorzorgsmaatregelen, maar behandel de details niet als feiten
Voorbeeld of screenshot	Er is enig materiaal getoond	Blijf voorzichtig; voorbeelden kunnen oud, aangepast of hergebruikt zijn
Onafhankelijke technische verificatie	Onderzoekers hebben delen van de bewering gecontroleerd	Houd de situatie scherper in de gaten en beveilig gekoppelde accounts
Bekendmaking door het bedrijf	De organisatie bevestigt een incident	Volg de aangegeven reikwijdte en instructies
Stuk bij een toezichthouder of rechtbank	Een formeel document voegt details toe	Gebruik het om de bevestigde blootstelling en mogelijke herstelmaatregelen te beoordelen
Rechtstreekse melding aan de gebruiker	De organisatie stelt vast dat jij bent getroffen	Voer de aanbevolen stappen snel uit

Wees kritisch op berichtgeving die:

• Een bewering zonder primair bewijs als bevestigd presenteert
• Een aanbieding op een crimineel platform als bewijs beschouwt dat elk record echt is
• Accounts verwart met unieke personen
• Beweert dat specifieke gegevensvelden zijn blootgesteld terwijl die nog onbekend zijn
• Historische totalen van een datalektracker presenteert als het aantal datalekken in één week
• De bron of datum van bekendmaking weglaat

Stem je reactie af op de blootgestelde gegevens

De mogelijke schade hangt af van de betrokken gegevens:

Gegevenstype	Mogelijke schade	Eerste reactie
Hergebruikt wachtwoord	Overname van accounts bij meerdere diensten	Vervang het overal waar je het opnieuw hebt gebruikt
Inloggegevens voor e-mail	Wachtwoordresets, identiteitsmisbruik en toegang tot privéberichten	Beveilig eerst je e-mail en beëindig onbekende sessies
Belasting- of identiteitsgegevens	Gerichte phishing en identiteitsfraude	Controleer meldingen en houd relevante accounts in de gaten
Bank- of betaalgegevens	Ongeoorloofde transacties	Neem via een officieel kanaal contact op met de aanbieder
Naam, e-mailadres of telefoonnummer	Phishing, spam en identiteitsmisbruik	Wantrouw onverwacht contact waarbij persoonlijke gegevens worden gebruikt
Herstelgegevens	Misbruik van wachtwoordherstel	Werk herstelopties en hergebruikte antwoorden bij

Aanvallers kunnen nieuwe gegevens combineren met informatie uit oudere lekken. Een naam, e-mailadres en de wetenschap dat iemand een account bij een belastingdienst heeft, kunnen al voldoende zijn voor een overtuigend phishingbericht, zelfs zonder belastinggegevens.

Wat te doen na een datalek

1. Beveilig je e-mail

Via je e-mail kan de toegang tot andere accounts worden hersteld.

• Vervang een zwak, hergebruikt of blootgesteld wachtwoord door een uniek wachtwoord
• Schakel multifactorauthenticatie in
• Geef waar beschikbaar de voorkeur aan een passkey, beveiligingssleutel of authenticator-app
• Controleer actieve sessies en aangemelde apparaten
• Verwijder onbekende hersteladressen of telefoonnummers
• Controleer doorstuurregels en filters op ongeoorloofde wijzigingen

2. Vervang blootgestelde en hergebruikte wachtwoorden

Als je een blootgesteld of mogelijk gecompromitteerd wachtwoord opnieuw hebt gebruikt, vervang het dan bij elk account met hetzelfde wachtwoord. Geef prioriteit aan:

1. E-mail
2. Financiële diensten en belastingdiensten
3. Cloudopslag
4. Berichtenapps en sociale accounts
5. Webwinkels en abonnementsdiensten

Maak geen kleine variaties op een oud wachtwoord. Gebruik een wachtwoordmanager om voor elk account unieke inloggegevens te maken.

3. Controleer het apparaat op malware

Een datalek bij een dienst betekent niet automatisch dat er malware op je apparaat staat. Als je ook onbekende software of andere tekenen van een gecompromitteerd apparaat opmerkt:

• Gebruik het apparaat niet meer voor gevoelige accounts
• Werk het besturingssysteem en de beveiligingsprogramma’s bij
• Voer een scan uit met een betrouwbaar beveiligingsprogramma
• Verwijder verdachte software en browserextensies
• Gebruik een schoon apparaat om belangrijke wachtwoorden opnieuw in te stellen
• Meld bestaande sessies af nadat je inloggegevens hebt gewijzigd

Als je wachtwoorden wijzigt op een besmet apparaat, kunnen ook de nieuwe wachtwoorden worden blootgesteld.

4. Let op gerichte phishing

Wees achterdochtig bij berichten over:

• Belastingteruggaven of fouten in aangiften
• Blokkering van een account
• Identiteitsverificatie
• Documenten die dringend moeten worden gedownload
• Betalingen die nodig zouden zijn om een account te beschermen
• Onverwachte verzoeken om multifactorauthenticatie

Open de app van de organisatie of typ zelf het bekende webadres. Gebruik geen links, telefoonnummers of contactgegevens uit een verdacht bericht.

5. Controleer financiële activiteit en mogelijk identiteitsmisbruik

Controleer relevante bank-, kaart- en belastingaccounts op activiteit die je niet herkent. Neem bij verdachte zaken contact op met de aanbieder via de officiële website, app, het rekeningafschrift of de betaalkaart.

Bewaar kopieën van:

• Meldingen van datalekken
• Verdachte berichten en e-mailheaders
• Transactiegegevens
• Datums en tijdstippen
• Dossiernummers

Stuur geen identiteitsdocumenten naar iemand die ongevraagd contact opneemt. Controleer elk verzoek via een onafhankelijk officieel kanaal.

6. Gebruik zoekdiensten voor datalekken voorzichtig

Een betrouwbare zoekdienst voor datalekken kan laten zien of een e-mailadres in een bekende dataset voorkomt. Beschouw een resultaat als een aanwijzing, niet als definitief bewijs. Bevestig het genoemde incident via de getroffen organisatie of een andere gezaghebbende bron en voer nooit je huidige wachtwoord in bij een datalekchecker.

Gebruik officiële herstelhulp voor jouw rechtsgebied

De richtlijnen van de FTC over datalekken verwijzen gebruikers naar IdentityTheft.gov voor stappen die passen bij de blootgestelde informatie. Dit is een Amerikaanse hulpbron; procedures voor meldingen, kredietbescherming en het vervangen van identiteitsdocumenten verschillen elders. Raadpleeg je lokale autoriteit en de geverifieerde contactgegevens van je bank, in plaats van aan te nemen dat elk land dezelfde herstelmogelijkheden heeft.

Als er al fraude plaatsvindt, neem dan snel contact op met de relevante aanbieder in plaats van te wachten tot het onderzoek naar het datalek is afgerond. Bewaar meldingen, transactiereferenties en dossiernummers zonder je persoonsgegevens openbaar opnieuw te plaatsen.

Maakt E2EE een datalek onschadelijk?

Nee. End-to-endversleuteling kan de toegang tot beschermde berichtinhoud beperken, maar een aparte accountdatabase kan identificatoren, authenticatiegegevens of metadata bevatten. Een gecompromitteerd eindapparaat of een leesbare back-up verandert de blootstelling opnieuw. Het daadwerkelijk getroffen systeem en de betrokken sleutels zijn belangrijker dan de algemene versleutelingsslogan van het product.

Vragen voordat je een kop vertrouwt

Is het aantal records gelijk aan het aantal getroffen personen?

Niet noodzakelijk. Meerdere records kunnen betrekking hebben op één persoon; een dataset kan ook dubbele of historische gegevens combineren. Gebruik de exacte eenheid van de publicerende partij en verander ‘records’ niet in ‘unieke slachtoffers’.

Moet ik na elk bericht over een datalek al mijn wachtwoorden wijzigen?

Geef prioriteit aan de getroffen inloggegevens en alle plekken waar je die opnieuw hebt gebruikt. Beveilig daarna het bijbehorende e-mailaccount en de herstelmethoden. Volg de officiële melding. Unieke, niet-gerelateerde wachtwoorden worden niet automatisch blootgesteld door een incident bij een andere dienst.

Kan blootgestelde informatie volledig worden verwijderd?

Volledige verwijdering kan niet worden beloofd zodra er kopieën rondgaan. Vervang geheimen die je kunt intrekken, beveilig accounts en let op misbruik. Wees voorzichtig met betaalde diensten die beloven elke kopie van een lek te wissen.

Wat moet ik doen met een onverwachte melding over een datalek?

Bereik de organisatie via de bekende app, website of een onafhankelijk geverifieerd telefoonnummer. Meld je niet aan via de link in het bericht en betaal niet om het account te ‘beschermen’. De beveiligingsrichtlijnen van CISA bevelen aan phishing te herkennen, sterke unieke wachtwoorden te gebruiken, multifactorauthenticatie in te schakelen en software bij te werken.