Mijn gegevens zijn gelekt bij een datalek. Wat kan ik nu zelf doen?
Het gebeurt inmiddels regelmatig. Je hebt ooit iets besteld bij een webshop, bent klant bij een zorginstelling, energieleverancier of andere organisatie en ineens ligt er een mail in je inbox.
“Uw persoonsgegevens zijn mogelijk betrokken geweest bij een datalek.”
Vaak gevolgd door een uitleg over welke gegevens mogelijk zijn ingezien of gestolen en het standaard advies om alert te zijn op verdachte e-mails.
Maar wat moet je daar als consument eigenlijk mee?
Want je kunt moeilijk je naam veranderen, verhuizen omdat je adres is gelekt of een nieuw e-mailadres nemen iedere keer dat een bedrijf wordt gehackt.
Toch kun je veel meer doen dan alleen afwachten.
Wat betekent het eigenlijk als jouw gegevens zijn gelekt?
Een datalek betekent niet automatisch dat iemand op dat moment jouw bankrekening kan leeghalen.
Het hangt volledig af van welke gegevens zijn buitgemaakt.
Alleen je naam en e-mailadres is vervelend, maar meestal nog redelijk beheersbaar. Zijn ook je telefoonnummer, adres, geboortedatum, wachtwoord, BSN, betaalgegevens of medische gegevens gelekt, dan wordt het een ander verhaal.
En juist de combinatie van gegevens maakt datalekken interessant voor criminelen.
Stel dat ergens je naam, e-mailadres en telefoonnummer uitlekken.
Bij een ander datalek wordt later je adres gevonden.
En jaren geleden is misschien ergens een oud wachtwoord van je gelekt.
Los van elkaar lijkt het allemaal niet zo spannend. Maar wanneer deze datasets worden gecombineerd ontstaat langzaam een behoorlijk compleet profiel.
Dat is één van de redenen waarom oude datalekken ook jaren later nog interessant kunnen zijn.
Een aanvaller hoeft bovendien niet altijd zelf het bedrijf gehackt te hebben. Gegevens uit datalekken worden verzameld, gedeeld, doorverkocht en gecombineerd met informatie uit andere bronnen.
Daarna kunnen die gegevens bijvoorbeeld worden gebruikt voor phishing, spam, identiteitsfraude of pogingen om op andere accounts in te loggen.
Waarom gebeurt dit tegenwoordig zo vaak?
We bewaren simpelweg ontzettend veel gegevens online.
Voor bijna iedere webshop, app of dienst maken we een account aan. Bedrijven gebruiken vervolgens weer andere bedrijven voor bijvoorbeeld betalingen, nieuwsbrieven, klantenservice, hosting, analyse of administratie.
Daardoor hoeft een bedrijf zelf niet eens rechtstreeks gehackt te worden om gegevens kwijt te raken. Een leverancier waar het bedrijf mee werkt kan ook worden getroffen.
Daarnaast is cybercriminaliteit veel professioneler geworden.
Een database met honderdduizenden e-mailadressen heeft waarde. Zeker wanneer daar wachtwoorden, telefoonnummers of andere persoonsgegevens bij zitten.
Tegelijkertijd worden systemen steeds groter en ingewikkelder. Eén verkeerd ingestelde server, gestolen beheerdersaccount, kwetsbare applicatie of gehackte leverancier kan voldoende zijn om veel gegevens tegelijk buit te maken.
Dat betekent niet dat we het maar normaal moeten vinden.
Bedrijven hebben een verantwoordelijkheid om persoonsgegevens goed te beveiligen en datalekken moeten in bepaalde situaties worden gemeld. De Autoriteit Persoonsgegevens geeft ook aan dat slachtoffers niet altijd voldoende informatie krijgen over wat er precies is gebeurd.
Maar zelfs wanneer een bedrijf alles netjes doet, blijft er voor jou als consument één vervelend probleem over:
Zodra gegevens eenmaal zijn gestolen, kun je ze niet meer terughalen.
Daarom kun je beter vooraf zorgen dat één datalek zo weinig mogelijk gevolgen heeft.
Begin eens met je e-mailadres
Je e-mailadres is tegenwoordig bijna je digitale gebruikersnaam.
Webshops kennen het. Sociale media kennen het. Je bank kent het. Nieuwsbrieven kennen het. Oude websites waar je tien jaar geleden een account hebt aangemaakt kennen het waarschijnlijk ook nog.
Daar kun je iets slimmer mee omgaan.
Heb je bijvoorbeeld Gmail, dan kun je een + achter je gebruikersnaam gebruiken.
Stel dat je normale adres is:
Wanneer je een account bij Bol.com maakt zou je bijvoorbeeld kunnen gebruiken:
Voor Netflix:
En voor een willekeurige webshop:
De berichten komen gewoon in dezelfde Gmail-inbox terecht. Google ondersteunt deze manier om varianten van je adres te gebruiken.
Waarom is dit handig?
Stel dat je drie jaar later ineens dubieuze berichten ontvangt op:
Dan heb je meteen een sterke aanwijzing waar dat specifieke adres terecht is gekomen.
Het is geen perfecte privacymaatregel. Een aanvaller begrijpt natuurlijk ook dat hij +webshopnaam kan verwijderen en dan je normale Gmail-adres overhoudt. Sommige websites accepteren adressen met een + bovendien niet goed.
Maar het kost niets en geeft je wel iets wat je normaal niet hebt: zicht op waar een e-mailadres vandaan komt.
Wil je het serieuzer aanpakken? Gebruik echte e-mailaliassen
Nog beter is om niet overal je echte e-mailadres te gebruiken.
Daar bestaan tegenwoordig diensten voor die unieke e-mailadressen voor je aanmaken.
Zo kun je bijvoorbeeld bij iedere dienst een compleet ander adres gebruiken. De mail wordt vervolgens doorgestuurd naar je normale inbox.
Firefox Relay doet dit met zogenaamde e-mailmasks. SimpleLogin werkt op een vergelijkbare manier en mensen met iCloud+ kunnen Apple’s Hide My Email gebruiken.
Het verschil met de Gmail + truc is belangrijk.
Bij een echt alias hoeft je daadwerkelijke e-mailadres helemaal niet bekend te zijn bij de webshop.
Je webshop krijgt bijvoorbeeld:
terwijl je echte adres iets totaal anders is.
Begint dat specifieke adres vervolgens ineens enorme hoeveelheden spam te ontvangen? Dan kun je het alias simpelweg uitschakelen.
Je echte mailbox blijft bestaan.
Dat is naar mijn mening één van de meest praktische manieren waarop gewone gebruikers meer controle over hun persoonsgegevens kunnen krijgen.
Je voorkomt er geen datalek mee.
Je zorgt er alleen voor dat het datalek minder waardevolle informatie bevat.
En dat is een belangrijk verschil.
Controleer of je e-mailadres al eens is gelekt
Een website die ik eigenlijk iedereen aanraad om eens te bekijken is Have I Been Pwned.
Daar kun je je e-mailadres invoeren en controleren of het voorkomt in bekende datalekken. De dienst laat vervolgens zien bij welke bekende lekken het adres is aangetroffen en welke soorten gegevens daarbij betrokken waren.
Schrik niet wanneer je daar meerdere resultaten ziet.
Voor iemand die al jaren hetzelfde e-mailadres gebruikt is dat helemaal niet uitzonderlijk.
Interessanter is de vraag:
Wat is er precies gelekt?
Staat er alleen een e-mailadres tussen, dan is het risico anders dan wanneer er ook wachtwoorden zijn buitgemaakt.
Mozilla heeft met Mozilla Monitor een vergelijkbare dienst die gebruikmaakt van gegevens van Have I Been Pwned en waarschuwingen kan geven wanneer accounts bij bekende datalekken betrokken zijn.
Dat soort monitoring vind ik veel nuttiger dan iedere paar maanden in paniek je volledige digitale leven proberen om te gooien.
Je wilt vooral weten wanneer je iets moet doen.
Is er een wachtwoord gelekt? Dan moet je wel direct handelen
Hier gaat het nog vaak fout.
Mensen veranderen netjes het wachtwoord van het bedrijf dat gehackt is.
Probleem opgelost.
Behalve wanneer je hetzelfde wachtwoord ook gebruikt bij Gmail, Facebook, Amazon, je webhosting of tien andere websites.
Aanvallers weten namelijk ook dat mensen wachtwoorden hergebruiken.
Een buitgemaakt e-mailadres en wachtwoord kunnen daarom automatisch op allerlei andere websites worden geprobeerd. Dit wordt ook wel credential stuffing genoemd. Have I Been Pwned waarschuwt expliciet voor het risico dat gelekte combinaties van e-mailadressen en wachtwoorden tegen andere accounts worden gebruikt.
Daarom is één uniek wachtwoord per dienst zo belangrijk.
En nee, dat betekent niet dat je honderd wachtwoorden uit je hoofd moet leren.
Gebruik een goede passwordmanager.
Die kan voor iedere website een compleet willekeurig en uniek wachtwoord maken.
Als vervolgens webshop A wordt gehackt, werkt het gestolen wachtwoord alleen bij webshop A.
Dat is precies wat je wilt bereiken.
Niet proberen om ieder datalek onmogelijk te maken, maar zorgen dat één fout bij één bedrijf niet automatisch toegang geeft tot vijf andere accounts.
Zet tweestapsverificatie aan waar dat belangrijk is
Voor belangrijke accounts zou ik daarnaast altijd tweestapsverificatie gebruiken.
Zeker voor je:
- e-mail;
- bankzaken;
- Apple- of Google-account;
- sociale media;
- passwordmanager.
Hier maak ik bewust wel een klein lijstje van, want je e-mailaccount verdient extra aandacht.
Wie toegang heeft tot je mailbox kan bij ontzettend veel websites simpelweg op “wachtwoord vergeten” klikken.
Je e-mailadres is daardoor vaak de sleutel waarmee allerlei andere accounts hersteld kunnen worden.
Bescherm je mailbox daarom beter dan het gemiddelde account van een webshop waar je ooit één paar schoenen hebt besteld.
Waar mogelijk zijn een authenticator-app, passkey of fysieke security key interessanter dan alleen een sms-code. Maar zelfs sms als tweede stap is in veel situaties nog altijd beter dan alleen een wachtwoord.
Een datalek maakt phishing ineens een stuk overtuigender
Na een datalek moet je vooral oppassen voor berichten die ineens opvallend goed lijken te kloppen.
Een slechte phishingmail herken je vaak makkelijk.
“Beste klant, uw rekening is geblokkeerd.”
Maar stel dat iemand je volledige naam kent.
Je telefoonnummer.
De naam van het bedrijf waar je klant bent.
Misschien zelfs welk product je daar hebt gekocht.
Dan wordt het verhaal ineens een stuk geloofwaardiger.
“Goedemiddag Menno, naar aanleiding van het beveiligingsincident bij bedrijf X willen wij uw account opnieuw beveiligen.”
Daaronder een knop.
En precies daar gaat het fout.
Gebruik informatie in een e-mail daarom nooit als bewijs dat de afzender betrouwbaar is.
Ook niet wanneer daarin je adres, telefoonnummer of andere persoonlijke informatie staat.
Krijg je een opvallende mail van je bank, verzekeraar, energieleverancier of een bedrijf dat recent een datalek heeft gehad?
Open dan zelf de officiële app of typ zelf het adres van de website in.
Klik niet op de link in de mail om vervolgens te controleren of die betrouwbaar was.
Je telefoonnummer is tegenwoordig ook waardevol
We geven ons mobiele nummer bijna net zo makkelijk weg als ons e-mailadres.
Voor bezorgupdates.
Accounts.
Webshops.
Winacties.
Reserveringen.
Maar een telefoonnummer blijft vaak veel langer hetzelfde dan een e-mailadres.
Na een groot datalek kun je daardoor ineens meer spam, WhatsApp-berichten of vreemde telefoontjes krijgen.
Ook hier geldt hetzelfde principe: iemand die jouw naam en telefoonnummer kent is niet automatisch betrouwbaar.
“Hallo, spreek ik met meneer Jansen?”
Dat is geen verificatie.
Die informatie kan letterlijk uit een database komen.
Word je gebeld door bijvoorbeeld je bank en vertrouw je het niet? Hang op en bel zelf terug via het officiële nummer.
Dat klinkt bijna te simpel om als securityadvies te geven.
Toch voorkomt juist die handeling een enorme hoeveelheid ellende.
En wat als mijn adres, geboortedatum of BSN is gelekt?
Dan wordt het serieuzer.
Een wachtwoord kun je veranderen.
Een creditcard kun je blokkeren.
Maar je geboortedatum verander je niet even en een BSN is ook geen gegeven dat je na ieder datalek kunt vervangen.
Daarom moet je bij dit soort lekken extra alert zijn op identiteitsfraude en pogingen waarbij iemand zich namens jou probeert voor te doen.
Bewaar in zo’n situatie ook de e-mail of brief waarin het bedrijf uitlegt welke gegevens zijn gelekt.
Niet omdat je daar iedere avond naar moet kijken, maar omdat het later belangrijk bewijs kan zijn wanneer er misbruik van je gegevens plaatsvindt.
De Autoriteit Persoonsgegevens adviseert slachtoffers daarnaast om bij een mogelijk datalek eerst contact op te nemen met de betreffende organisatie. Wanneer je onvoldoende antwoord krijgt of denkt dat een organisatie niet goed met het datalek omgaat, kun je dit ook bij de AP melden.
Ruim ook oude accounts eens op
Dit is misschien wel één van de meest onderschatte maatregelen.
Iedere account die niet meer bestaat kan in principe ook niet meer gehackt worden.
We hebben allemaal ergens accounts staan die we al vijf of tien jaar niet meer gebruiken.
Een oude webshop.
Een forum.
Een oude gamesite.
Een app die inmiddels van eigenaar is veranderd.
Vaak staat daar nog steeds je naam, e-mailadres, wachtwoordhash, adres of geboortedatum in een database.
Je krijgt er niets meer voor terug, maar je gegevens blijven er wel liggen.
Kom je tijdens het opruimen van je passwordmanager accounts tegen waarvan je niet eens meer wist dat je ze had?
Verwijder ze als je ze niet meer nodig hebt.
Dat is geen spectaculaire cybersecuritymaatregel.
Maar het verkleint wel simpelweg de hoeveelheid bedrijven die jouw gegevens kunnen kwijtraken.
Je hoeft niet onzichtbaar te worden op internet
Ik denk dat we soms iets te ingewikkeld doen over online privacy.
De gemiddelde consument hoeft niet met drie VPN’s, anonieme browsers en een laptop zonder camera in een donkere kelder te gaan zitten.
Het doel is niet om volledig onvindbaar te worden.
Dat lukt voor de meeste mensen toch niet en is in het dagelijks leven ook helemaal niet praktisch.
Het doel is om je digitale gegevens op te delen.
Een uniek wachtwoord per website.
Tweestapsverificatie op belangrijke accounts.
E-mailaliassen waar dat praktisch is.
Niet overal zonder reden je telefoonnummer, geboortedatum of andere persoonsgegevens invullen.
Oude accounts verwijderen.
En af en toe controleren of je gegevens in bekende datalekken voorkomen.
Hierdoor ontstaat er iets belangrijks.
Schadebeperking.
Wordt morgen een webshop waar jij klant bent volledig leeggetrokken door hackers?
Vervelend.
Maar als daar een uniek e-mailalias en een uniek wachtwoord staat, hebben criminelen aanzienlijk minder aan die gegevens dan wanneer precies dezelfde inloggegevens toegang geven tot de rest van je digitale leven.
Dus je krijgt morgen een datalekmail. Wat doe je?
Lees eerst rustig wat er daadwerkelijk is gelekt.
Gaat het om een wachtwoord? Verander dat wachtwoord en overal waar je hetzelfde wachtwoord hebt gebruikt.
Controleer of tweestapsverificatie aanstaat.
Gaat het om financiële gegevens? Controleer dan wat precies is buitgemaakt en neem bij twijfel contact op met je bank of betaalprovider.
Zijn persoonlijke gegevens zoals je adres, telefoonnummer, geboortedatum of BSN buitgemaakt? Bewaar de melding en wees de komende periode extra kritisch op telefoontjes, e-mails en berichten waarin die informatie wordt gebruikt om vertrouwen te winnen.
En misschien nog wel de belangrijkste:
Ga er niet vanuit dat je niets kunt doen omdat jouw gegevens toch al gelekt zijn.
Je kunt gestolen gegevens inderdaad niet terughalen.
Maar je kunt er wel voor zorgen dat criminelen er steeds minder mee kunnen.
Dat is uiteindelijk waar goede persoonlijke cybersecurity om draait.
Niet zorgen dat er nooit iets fout kan gaan.
Maar ervoor zorgen dat wanneer het fout gaat, de schade zo klein mogelijk blijft.
