Belangrijkste conclusies
- Er is sprake van een datalek wanneer gevoelige of vertrouwelijke informatie zonder toestemming wordt ingezien of openbaar wordt gemaakt.
- Inbreuken vinden plaats door middel van exploits, SQL-injectie, spyware, phishing en verkeerd geconfigureerde toegangscontroles, waardoor aanvallers gegevens kunnen stelen.
- Gestolen gegevens bevatten vaak wachtwoorden, persoonlijke gegevens en financiële gegevens, die criminelen kunnen ontcijferen als er gebruik wordt gemaakt van zwakke hashfuncties (zoals SHA-1).
- Gelekte gegevens worden doorgaans verkocht of verhandeld op het Dark Web, wat oplichting, afpersing en credential-stuffing-aanvallen in de hand werkt.
- Zelfs ‘oude’ gestolen gegevens blijven waardevol, omdat ze kunnen worden gebruikt voor phishing, sextortion en het overnemen van accounts wanneer gebruikers wachtwoorden hergebruiken.
Wat is een datalek?
Een datalek is een incident dat resulteert in de ongeautoriseerde blootstelling van vertrouwelijke, private, beschermde of gevoelige informatie. Deze inbreuken kunnen per ongeluk of opzettelijk plaatsvinden, waarbij externe aanvallers of insiders binnen een organisatie betrokken zijn. De gestolen informatie kan worden gebruikt voor financieel gewin of voor verdere aanvallen, waardoor datalekken een aanzienlijke bedreiging vormen voor zowel individuen als bedrijven.
“Een datalek volgt vaak op een cyberaanval waarbij cybercriminelen ongeautoriseerde toegang krijgen tot een computersysteem of netwerk en gevoelige, persoonlijke en financiële gegevens van klanten of gebruikers stelen.”
Hoe ontstaan datalekken?
Een exploit is een type aanval dat misbruik maakt van bugs of kwetsbaarheden in software, waarmee cybercriminelen ongeautoriseerde toegang krijgen tot een systeem en zijn data. Deze kwetsbaarheden zitten verborgen binnen de code van het systeem en er is een race tussen de criminelen en de cyberbeveiligingsonderzoekers om te zien wie ze als eerste kan ontdekken.
Enerzijds willen de criminelen misbruik maken van de exploits, terwijl de onderzoekers anderzijds de exploits aan de softwarefabrikanten willen melden, zodat de bugs kunnen worden verholpen. Tot de software die vaak wordt misbruikt behoren het besturingssysteem zelf, internetbrowsers, Adobe-toepassingen en Microsoft Office-toepassingen. Cybercriminele groepen bundelen soms meerdere exploits in geautomatiseerde exploitkits, waardoor het voor criminelen met weinig tot geen technische kennis gemakkelijker wordt om misbruik te maken van de exploits.
Een SQL-injectie (SQLI)is een soort aanval waarbij misbruik wordt gemaakt van kwetsbaarheden in de SQL-databasemanagementsoftware van onbeveiligde websites, met als doel de website ertoe te brengen informatie uit de database vrij te geven die eigenlijk niet openbaar mag worden gemaakt. Zo werkt het. Een cybercrimineel voert bijvoorbeeld kwaadaardige code in het zoekveld van een webwinkel in, waar klanten normaal gesproken zoekopdrachten invoeren zoals „best beoordeelde draadloze koptelefoons“ of „best verkochte sneakers“.
In plaats van een lijst met koptelefoons of sportschoenen te tonen, geeft de website de hacker lijst met klanten en hun creditcardnummers. SQLI is een van de minst geavanceerde aanvallen om uit te voeren; er is slechts minimale technische kennis voor nodig. Malwarebytes Labs SQLI op nummer drieLabs in de lijst ‘De vijf domste cyberdreigingen die toch werken’. Aanvallers kunnen zelfs geautomatiseerde programma’s gebruiken om de aanval voor hen uit te voeren. Het enige wat ze hoeven te doen, is de URL van de doelsite invoeren en vervolgens achteroverleunen en ontspannen terwijl de software de rest doet.
Spyware is een soort malware die je computer of netwerk infecteert en informatie over jou, je internetgebruik en andere waardevolle gegevens steelt. Je kunt spyware installeren als onderdeel van een ogenschijnlijk onschuldige download (ook bekend als bundleware). Spyware kan ook als secundaire infectie via een Trojan zoals Emotet op je computer terechtkomen.
Zoals gerapporteerd op de Malwarebytes Labs blog, hebben Emotet, TrickBot, en andere banktrojans nieuw leven gevonden als afleveringsinstrumenten voor spyware en andere soorten malware. Zodra je systeem is geïnfecteerd, stuurt de spyware al je persoonlijke gegevens terug naar de command and control (C&C) servers die door de cybercriminelen zijn beheerd.
Bij phishingaanvallen worden we ertoe aangezet om gevoelige informatie, zoals onze gebruikersnamen en wachtwoorden, prijs te geven – vaak tegen alle logica en gezond verstand in – doordat er gebruik wordt gemaakt van social engineering om onze emoties, zoals hebzucht en angst, te manipuleren. Een typische phishingaanval begint met een e-mail die zo is vervalst dat deze eruitziet alsof hij afkomstig is van een bedrijf waarmee u zaken doet of van een vertrouwde collega. Deze e-mail bevat agressieve of dwingende taal en vraagt om een bepaalde actie, zoals het verifiëren van betalingen of aankopen die u nooit hebt gedaan.
Door op de meegestuurde link te klikken, word je naar een kwaadaardige inlogpagina geleid die is ontworpen om je gebruikersnaam en wachtwoord te onderscheppen. Als je geen multi-factor authenticatie (MFA) hebt ingeschakeld, hebben de cybercriminelen alles wat ze nodig hebben om in je account te komen. Hoewel e-mails de meest voorkomende vorm van phishing zijn, zijn sms-berichten en social media berichten ook populair bij oplichters.
Als de toegangscontroles niet goed werken of verkeerd zijn ingesteld, kunnen privé-onderdelen van een bepaalde website openbaar worden gemaakt terwijl dat niet de bedoeling is. Een websitebeheerder bij een online kledingwinkel zal bijvoorbeeld bepaalde back-endmappen binnen de website als privé instellen, namelijk de mappen die gevoelige gegevens over klanten en hun betalingsgegevens bevatten. Het kan echter gebeuren dat de websitebeheerder vergeet om de bijbehorende submappen ook als privé in te stellen.
Hoewel deze submappen misschien niet direct zichtbaar zijn voor de gemiddelde gebruiker, kan een cybercrimineel met behulp van een paar goed ontworpen Google-zoekopdrachten deze verkeerd geconfigureerde mappen vinden en de gegevens die erin staan stelen. Net als een inbreker die door een open raam naar binnen klimt, is er niet veel vaardigheid voor nodig om dit soort cyberaanvallen uit te voeren.
Is mijn gestolen data versleuteld?
Na een datalek proberen de getroffen bedrijven de angst en verontwaardiging van hun klanten te temperen door iets te zeggen in de trant van: „Ja, de criminelen hebben jullie wachtwoorden te pakken gekregen, maar jullie wachtwoorden zijn versleuteld.” Dat is niet erg geruststellend, en wel hierom. Veel bedrijven maken gebruik van de meest elementaire vorm van wachtwoordversleuteling die er bestaat: SHA1-hashing zonder salt.
Hash en zout? Klinkt als een heerlijke manier om de dag te beginnen. Maar als het om het hashen van wachtwoorden gaat, is het niet zo’n goed idee. Een wachtwoord dat via SHA1 wordt gehasht, levert altijd dezelfde tekenreeks op, waardoor het gemakkelijk te raden is. Zo wordt ‘password’ bijvoorbeeld altijd gehasht tot
“5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8” en “123456” zal altijd hashen als “7c4a8d09ca3762af61e59520943dc26494f8941b.”
Dit zou geen probleem moeten zijn, want dit zijn de twee slechtste wachtwoorden die mogelijk zijn, en niemand zou ze ooit moeten gebruiken. Maar mensen doen het. De jaarlijkse lijst van meest voorkomende wachtwoorden van SplashData laat zien dat mensen niet zo creatief zijn met hun wachtwoorden als ze zouden moeten zijn. Bovenaan de lijst voor vijf jaar op rij: “123456” en “password.” Iedereen een high five.
Met dit in gedachten kunnen cybercriminelen een lijst met gestolen, gehasht wachtwoorden vergelijken met een lijst van bekende gehasht wachtwoorden. Met de gekraakte wachtwoorden en de bijbehorende gebruikersnamen of e-mailadressen hebben cybercriminelen alles wat ze nodig hebben om in te breken in je account.
Wat gebeurt er als je gegevens in een datalek worden blootgesteld?
Gestolen data belanden meestal op de Dark Web. Zoals de naam al doet vermoeden, is de Dark Web het deel van het internet dat de meeste mensen nooit zien. De Dark Web is niet geïndexeerd door zoekmachines en je hebt een speciaal soort browser nodig, genaamd Tor Browser, om het te bekijken. Dus, waarom het mysterie?
Voor het grootste deel gebruiken criminelen de Dark Web om diverse illegale goederen te verhandelen. Deze Dark Web-marktplaatsen lijken veel op je typische online winkelen, maar de vertrouwdheid van de gebruikerservaring verhult de illegale aard van wat er wordt aangeboden. Cybercriminelen kopen en verkopen illegale drugs, wapens, pornografie en jouw persoonlijke gegevens. Marktplaatsen die zich specialiseren in grote hoeveelheden persoonlijke informatie uit diverse datalekken, worden in criminele termen dumpwinkels genoemd.
De grootste bekende verzameling gestolen gegevens online, geheel 87GB, werd ontdekt in januari 2019 door cybersecurity-onderzoeker Troy Hunt, maker van Have I Been Pwned (HIBP), een site waarmee je kunt controleren of je e-mail is gecompromitteerd in een datalek. De gegevens, bekend als Collection 1, omvatten 773 miljoen e-mails en 21 miljoen wachtwoorden uit een mengelmoes van bekende datalekken. Ongeveer 140 miljoen e-mails en 10 miljoen wachtwoorden waren echter nieuw voor HIBP, aangezien ze niet waren opgenomen in eerdere openbaar gemaakte datalekken.
Cybersecurity-auteur en onderzoeksjournalist Brian Krebs ontdekte, in gesprekken met de cybercrimineel die verantwoordelijk was voor Collection 1, dat alle gegevens in de datadump minstens twee tot drie jaar oud zijn.
Is er enige waarde in verouderde gegevens van een oude breach (naast de 0,000002 cent per wachtwoord waarvoor Collection 1 werd verkocht)? Ja, behoorlijk wat.
Cybercriminelen kunnen je oude login gebruiken om je te laten denken dat je account is gehackt. Deze zwendel kan werken als onderdeel van een phishingaanval of, zoals we rapporteerden in 2018, een sextortion scam. Sextortion oplichters sturen nu e-mails met de bewering dat ze de webcam van het slachtoffer hebben gehackt en ze hebben opgenomen terwijl ze porno keken. Om de bedreiging wat geloofwaardigheid te geven, bevatten de oplichters in de e-mails inloggegevens van een oud datalek. Pro tip: als de oplichters daadwerkelijk een video van je hadden, zouden ze het je laten zien.
Als je wachtwoorden hergebruikt op verschillende sites, stel je jezelf bloot aan gevaar. Cybercriminelen kunnen je gestolen login van de ene site gebruiken om in te loggen op je account op een andere site in een soort cyberaanval genaamd credential stuffing. Criminelen gebruiken een lijst met e-mails, gebruikersnamen en wachtwoorden verkregen van een datalek om geautomatiseerde inlogverzoeken naar andere populaire sites te sturen in een eindeloze cyclus van hacken en stelen en nog meer hacken.
Wat zijn de grootste datalekken?
Er zijn tal van opmerkelijke datalekken die het vermelden waard zijn. Hier volgen enkele voorbeelden die we eerder op onze blog hebben besproken.
Het datalek bij AT&T waarbij 176 miljoen records zijn gelekt
We hebben bericht over een recent vrijgegeven dataset die wordt omschreven als klantgegevens van AT&T die in de loop der jaren zijn verzameld. Naar verluidt bevat deze dataset 176 miljoen records, waaronder socialezekerheidsnummers (volledige nummers en de laatste vier cijfers), volledige namen en adressen, telefoonnummers en meer.
"De moeder aller datalekken": 26 miljard records online blootgesteld
We meldden eerder dat beveiligingsonderzoekers miljarden online blootgestelde gegevensrecords hadden ontdekt, wat ze de „moeder aller datalekken“ noemden. Nu is gebleken dat de dataset afkomstig is uit een samenvoeging van meerdere datalekken.
Ransomware-aanval op Under Armour: bijna 192 miljoen klantgegevens zijn op het dark web terechtgekomen
In 2025 werd Under Armour getroffen door een grootschalige cyberaanval met ransomware, waarbij de Everest-groep beweerde toegang te hebben gekregen tot 343 GB aan interne gegevens en klantgegevens. Bijna 192 miljoen records — waaronder e-mails, volledige namen, telefoonnummers en locatiegegevens — werden later online gelekt nadat niet aan de losgeld eisen was voldaan.
LinkedInDoor datalekken bij LinkedIn zijn de e-mailadressen en wachtwoorden van bijna alle gebruikers openbaar geworden
Bij het datalek in 2012 hebben cybercriminelen e-mailadressen en versleutelde wachtwoorden van 117 miljoen LinkedIn buitgemaakt. Sindsdien LinkedIn nog meer datalekken LinkedIn . Naar schatting zijn er nu 700 miljoen LinkedIn blootgesteld. Dit betekent dat vrijwel alle gebruikers LinkedInhierdoor zijn getroffen.
Datalekwetten
Het lijkt alsof we bij elke nieuwscyclus over een nieuw datalek lezen. Neemt het aantal datalekken toe of is er iets anders aan de hand? Een mogelijke reden voor de toename van datalekken (tenminste de schijn van een toename) is de toenemende regelgeving rond hoe we datalekken communiceren.
Sinds het begin van het millennium hebben overheden over de hele wereld wetten ingevoerd die bedrijven en organisaties verplichten om op de een of andere manier openheid van zaken te geven wanneer ze te maken krijgen met een datalek, terwijl de betrokken partijen in het verleden zo lang als ze wilden konden zwijgen over een datalek.
In de Verenigde Staten is er geen nationale wet die toezicht houdt op de meldingen van datalekken. Echter, vanaf 2018 hebben alle 50 staten in de VS wetten met betrekking tot datalekken. Deze wetten verschillen van staat tot staat, maar er zijn enkele gemeenschappelijkheden. Namelijk, elke organisatie die het middelpunt vormt van een datalek moet de volgende stappen ondernemen:
- Laat de mensen die door het datalek zijn getroffen zo snel mogelijk weten wat er is gebeurd.
- Laat de overheid zo snel mogelijk weten, meestal betekent dit dat de procureur-generaal van de staat op de hoogte wordt gebracht.
- Betaal een soort boete.
Als voorbeeld was Californië de eerste staat die in 2003 regels stelde voor melding van datalekken. Personen of bedrijven in het middelpunt van een datalek moeten de getroffenen op de hoogte stellen "zonder onnodige vertraging" en "onmiddellijk na ontdekking." Slachtoffers kunnen tot $750 vorderen, terwijl de procureur-generaal van de staat boetes kan opleggen tot $7.500 voor elk slachtoffer.
Soortgelijke wetten zijn aangenomen in de Europese Unie en in de hele Aziatisch-Pacifische regio. Facebook het eerste grote technologiebedrijf dat naar verluidt in strijd handelde met de Algemene Verordening Gegevensbescherming (AVG) van de EU, nadat het had bekendgemaakt dat een softwarefout app-ontwikkelaars ongeoorloofde toegang had verschaft tot de foto's van 6,8 miljoen gebruikers. Facebook het datalek Facebook twee maanden Facebook – Facebook volgens de AVG ongeveer 57 dagen te laat was. Als gevolg hiervan kan het bedrijf mogelijk tot 1,6 miljard dollar aan boetes moeten betalen.
Wat te doen als je gegevens worden blootgelegd in een datalek.
Zelfs als je nooit een van de sites en diensten hebt gebruikt die op onze lijst van grootste datalekken staan, zijn er honderden kleinere datalekken die we niet hebben genoemd. Voordat we ingaan op onze stappen voor het reageren op een datalek, wil je misschien Have I Been Pwned bezoeken en zelf kijken. Het enige wat je hoeft te doen is je e-mailadres in te voeren in de "pwned?" zoekbalk en met afschuw zien hoe de site je vertelt in welke datalekken je pwned bent.
Het is ook het vermelden waard dat je gegevens mogelijk deel uitmaken van een lek waarvan het grote publiek nog niet op de hoogte is. Vaak wordt een datalek pas jaren later ontdekt.
Er is een grote kans dat je gegevens op de een of andere manier zijn gecompromitteerd en er is een zeer goede kans dat je gegevens opnieuw zullen worden gecompromitteerd.
Nu je weet dat je gegevens ergens op het Dark Web zweven, hebben we deze stapsgewijze lijst gemaakt van wat te doen als je gegevens zijn gestolen.
- Voer een gratis scan van je digitale voetafdruk uit met alleen je e-mailadres.
- Reset je wachtwoord voor het gecompromitteerde account en alle andere accounts die hetzelfde wachtwoord gebruiken. Eerlijk gezegd, je moet wachtwoorden niet hergebruiken op verschillende sites. Gebruik onze gratis wachtwoordgenerator om sterke en unieke wachtwoorden te maken. Wachtwoordmanagers hebben het extra voordeel dat ze je waarschuwen wanneer je op een vervalste website terechtkomt. Terwijl die inlogpagina voor Google of Facebook echt lijkt, zal je wachtwoordmanager de URL niet herkennen en je gebruikersnaam en wachtwoord niet voor je invullen.
- Houd je kredietaccounts in de gaten. Let op verdachte activiteiten. Onthoud dat je elk jaar een gratis kredietrapport krijgt van elk van de drie grote kredietbureaus op annualcreditreport.com. Dit is de enige door de Amerikaanse Federal Trade Commission geautoriseerde site om gratis kredietrapporten te verkrijgen.
- Overweeg een kredietbevriezing. Een kredietbevriezing maakt het moeilijker om een kredietlijn op uw naam te openen door de toegang tot uw kredietrapport te beperken. U kunt de bevriezing op elk moment opheffen of stoppen. Het enige ongemak is dat u elk kredietbureau afzonderlijk moet contacteren om een bevriezing te activeren of te verwijderen.
- Houd je inbox goed in de gaten. Kansen zwendelcybercriminelen weten dat miljoenen slachtoffers van een bepaald datalek enige vorm van communicatie verwachten over gehackte accounts. Deze oplichters maken van de gelegenheid gebruik om phishingmails te sturen die lijken of ze afkomstig zijn van die gehackte accounts om te proberen je persoonlijke informatie los te krijgen. Lees onze tips over hoe je een phishingmail kunt herkennen.
- Overweeg diensten voor kredietbewaking. Moet je je hiervoor aanmelden? Vaak bieden getroffen bedrijven en organisaties na een datalek slachtoffers gratis diensten aan voor het bewaken van identiteitsdiefstal. Het is goed om te weten dat diensten zoals LifeLock en dergelijke je weliswaar waarschuwen als iemand op jouw naam een kredietlijn opent, maar dat ze niet kunnen voorkomen dat je gegevens überhaupt worden gestolen. Kortom: als de dienst gratis is, meld je dan gerust aan. Anders kun je er beter nog eens goed over nadenken.
- Gebruik multi-factor authenticatie (MFA). Twee-factor authenticatie is de eenvoudigste vorm van MFA, wat betekent dat je je wachtwoord en nog een andere vorm van authenticatie nodig hebt om te bewijzen dat jij bent wie je zegt te zijn en niet een cybercrimineel die probeert je account te hacken. Een website kan je bijvoorbeeld vragen je inloggegevens en een aparte authenticatiecode in te voeren die via een sms naar je telefoon is gestuurd.
Hoe voorkom ik datalekken?
De boetes, saneringskosten, juridische kosten, rechtszaken en zelfs de bedragen die aan ransomware moeten worden betaald in verband met een datalek, lopen op tot een aanzienlijk bedrag. Uit het Ponemon-onderzoek naar de kosten van datalekken uit 2018 bleek dat de gemiddelde kosten van een datalek rond de 3,9 miljoen dollar lagen, een stijging van 6,4 procent ten opzichte van het voorgaande jaar, terwijl de kosten per gestolen record uitkwamen op 148 dollar, een stijging van 4,8 procent ten opzichte van het voorgaande jaar. Volgens hetzelfde onderzoek is de kans dat u te maken krijgt met een datalek maar liefst één op de vier.
Is het dan niet logisch om proactief te zijn met gegevensbeveiliging en een lek te vermijden in de eerste plaats? Als je ja antwoordde, en we hopen van wel, hier zijn enkele best practices om je bedrijf en gegevens veilig te houden.
Oefen gegevenssegmentatie. Op een vlak gegevensnetwerk kunnen cybercriminelen zich vrij door je netwerk bewegen en elke byte aan waardevolle gegevens stelen. Door gegevenssegmentatie toe te passen, vertraag je criminelen, win je extra tijd tijdens een aanval en beperk je gecompromitteerde gegevens. Gegevenssegmentatie helpt ook bij onze volgende tip.
Handhaaf het principe van minimale bevoegdheid (PolP). PolP betekent dat elk gebruikersaccount slechts voldoende toegang heeft om zijn taak uit te voeren en niet meer. Als één gebruikersaccount wordt gecompromitteerd, hebben cybercriminelen geen toegang tot je volledige netwerk.
Investeer in software ter bescherming tegen identiteitsdiefstal. Wij houden in de gaten of uw identiteit aan risico’s wordt blootgesteld en waarschuwen u bij eventuele risico’s.
Installeer een gerenommeerde cyberbeveiligingsbescherming, zoals Malwarebytes Premium. Mocht je per ongeluk op een schadelijke link klikken of een kwaadaardige bijlage openen, dan zal een goede cyberbeveiligingsprogramma de dreiging kunnen detecteren, de download stoppen en voorkomen dat malware op je netwerk terechtkomt.