Wat is een datalek en wat kun je doen?
Auteur: Redactie Domeny.ForSale Gepubliceerd
In het kort: Een datalek ontstaat wanneer informatie bij onbevoegden terechtkomt of voor hen toegankelijk wordt. Dat kan het gevolg zijn van een aanval, een menselijke fout of een onvoldoende beveiligd systeem. De gegevens hoeven dus niet op internet te zijn gepubliceerd. De gevolgen hangen vooral af van het soort informatie dat is uitgelekt: bij een gelekt e-mailadres zijn andere maatregelen nodig dan bij een gelekt wachtwoord of PESEL-nummer.
Wanneer ontstaat een datalek?
We spreken bijvoorbeeld van een datalek wanneer iemand een klantenbestand steelt, een medewerker een document naar de verkeerde ontvanger stuurt of een map met vertrouwelijke bestanden zonder inloggen openbaar toegankelijk is. Gegevens kunnen zijn gekopieerd terwijl ze nog steeds in het bedrijfssysteem staan. Dat er geen bestanden verdwijnen, betekent dus niet dat de gegevens veilig zijn.
Een lek kan persoonsgegevens betreffen, dus informatie waarmee iemand kan worden geïdentificeerd, maar ook bedrijfsgeheimen, programmacode of API-sleutels: toegangsgegevens waarmee programma’s diensten kunnen gebruiken. Niet elk incident draait dus om privacy. Soms gaat het om ongeoorloofde toegang tot infrastructuur of het verlies van de vertrouwelijkheid van documentatie.
Binnen RODO, de Poolse benaming voor de AVG, is een inbreuk in verband met persoonsgegevens een breder begrip. Hieronder vallen niet alleen ongeoorloofde verstrekking of toegang, maar ook onder meer verlies, vernietiging of wijziging van gegevens. Het woord ‘lek’ beschrijft dus niet alle mogelijke inbreuken.
Hoe komen gegevens bij onbevoegden terecht?
De oorzaak kan een kwetsbaarheid in software zijn, maar evengoed een gewone vergissing. Veelvoorkomende scenario’s zijn:
- Accountovername: een aanvaller bemachtigt een wachtwoord, bijvoorbeeld via phishing. Daarbij doet iemand zich voor als een vertrouwde afzender om informatie te ontfutselen.
- Verkeerde toegangsrechten: een bestand, back-up of database is toegankelijk voor meer mensen dan de bedoeling is.
- Verzendfout: een bericht met gegevens gaat naar de verkeerde ontvanger of maakt de adressen van ontvangers zichtbaar in het veld ‘Aan’.
- Kwaadaardige software: een programma steelt bestanden, wachtwoorden of gegevens van actieve sessies. Met die sessiegegevens kan iemand mogelijk een account openen zonder opnieuw in te loggen.
- Misbruik door iemand met toegang: een medewerker of samenwerkingspartner kopieert informatie buiten de toegestane grenzen.
Een datalek bij een dienstverlener kan ook een gebruiker treffen die zelf geen fout heeft gemaakt. Je eigen apparaat beveiligen is daarom nodig, maar vervangt niet het zorgvuldig kiezen van diensten en het beperken van de hoeveelheid gegevens die je deelt.
Waarvan hangen de gevolgen van een datalek af?
Het belangrijkste is vaststellen wat er precies is uitgelekt en met welke andere gegevens die informatie kan worden gecombineerd. Alleen een e-mailadres is meestal niet genoeg om op een account in te loggen. In combinatie met een aankoopgeschiedenis kan het echter helpen om een overtuigend bericht op te stellen dat zogenaamd van een winkel komt.
| Uitgelekte informatie | Belangrijkste risico | Eerste maatregel |
|---|---|---|
| E-mailadres of telefoonnummer | Gerichte oplichting en ongewenst contact | Controleer de afzender via een onafhankelijk kanaal |
| Wachtwoord | Accountovername en inlogpogingen bij andere diensten | Wijzig het wachtwoord overal waar je het hebt hergebruikt |
| Betaalkaartgegevens | Ongeoorloofde betalingen | Neem contact op met je bank |
| PESEL-nummer of gegevens van een identiteitsdocument | Pogingen om zich voor te doen als de persoon op wie de gegevens betrekking hebben | Overweeg je PESEL-nummer te laten blokkeren en bekijk de verdere aanbevelingen |
| Medisch dossier of privécorrespondentie | Schending van de privacy, chantage | Stel bewijsmateriaal veilig en beveilig de toegang tot je accounts |
Stel bijvoorbeeld dat een winkel meldt dat e-mailadressen en bestelgeschiedenissen zijn uitgelekt, maar geen wachtwoorden of betaalgegevens. Het meest directe risico kan dan een vals verzoek zijn om voor een specifieke bestelling bij te betalen. Zo’n melding betekent niet automatisch dat je je betaalkaart moet vervangen, maar wel dat je betalingsverzoeken rechtstreeks bij de winkel moet controleren.
Wat doe je na een melding over een datalek?
Controleer eerst of de melding echt is. Open de app van de dienstverlener of typ zelf het adres van zijn website in, in plaats van een link in een verdacht bericht te gebruiken. Ook valse waarschuwingen over datalekken worden gebruikt om gegevens te ontfutselen.
- Stel de omvang van het incident vast. Controleer welke gegevens zijn uitgelekt, of jouw account is getroffen en welke maatregelen de dienstverlener aanbeveelt. Een onduidelijke melding is een reden om vragen te stellen, geen bewijs dat alles is uitgelekt.
- Beveilig de accounts die gevaar lopen. Stel een nieuw, uniek wachtwoord in als je wachtwoord is uitgelekt. Wijzig het ook bij andere diensten waar je het gebruikte. Geef daarbij voorrang aan je e-mailaccount, omdat daarmee andere wachtwoorden kunnen worden gereset.
- Controleer de toegang. Meld onbekende of alle actieve sessies af, controleer de gegevens voor accountherstel en schakel multifactorauthenticatie in: een extra bevestiging bij het inloggen.
- Stem je reactie af op de uitgelekte gegevens. Neem bij financiële gegevens via een officieel kanaal contact op met je bank. Bekijk de regels en de reikwijdte van de bescherming bij het blokkeren van je PESEL-nummer op de website van de Poolse overheid of in de app mObywatel.
- Bewaar de documentatie. Bewaar de melding, datums, verdachte berichten en transactiegegevens. Bij fraude helpen die je om de zaak bij de bank of politie te melden.
Voer je wachtwoord, PESEL-nummer of kaartgegevens niet in bij een willekeurige ‘datalekchecker’. Ook als je e-mailadres niet voorkomt in een database met bekende incidenten, is dat geen garantie dat je gegevens nooit zijn uitgelekt.
Hoe beperk je het risico en reageer je binnen een bedrijf?
Als gebruiker kun je de gevolgen van een toekomstig datalek beperken door unieke wachtwoorden in een wachtwoordmanager te bewaren, een extra bevestiging bij het inloggen te gebruiken en overbodige accounts te verwijderen. Deze maatregelen voorkomen niet elk datalek, maar maken het moeilijker om één incident te gebruiken om ook accounts bij andere diensten over te nemen.
Een bedrijf moet ongeoorloofde toegang beperken, sporen van het incident veiligstellen en de omvang ervan vaststellen. Een medewerker moet onmiddellijk de verantwoordelijke voor de beveiliging informeren, in plaats van zelf logs of bewijsmateriaal te verwijderen. Bij de beoordeling van het incident kan ook de functionaris voor gegevensbescherming betrokken moeten worden, als die is aangesteld.
Of een inbreuk bij de toezichthouder moet worden gemeld en de betrokken personen moeten worden geïnformeerd, hangt af van de omstandigheden en de risicobeoordeling. Dit is algemene informatie, geen individueel juridisch advies. Controleer de actuele eisen en termijnen in RODO en in het materiaal van UODO, de Poolse toezichthouder voor gegevensbescherming.
Heb je net een waarschuwing ontvangen? Begin dan met het vaststellen van de uitgelekte gegevens aan de hand van de officiële melding. Daarmee kun je bepalen welke maatregelen dringend nodig zijn, in plaats van willekeurige wijzigingen door te voeren.
Zie ook: Wat is CERT Polska?
Lees ook
