Datalek

Wat het is

Een datalek is het uitlekken, kwijtraken of onbedoeld openbaar worden van persoonsgegevens. Het gaat dus niet om geld dat verdwijnt, maar om gegevens: namen, adressen, telefoonnummers, e-mailadressen, soms bestelgegevens of identiteitsbewijzen.

In deze sector is dat een zwaarder incident dan het klinkt. Een lijst met klanten van een cryptobedrijf is een lijst van mensen die aantoonbaar cryptomunten bezitten, met een adres en een telefoonnummer erbij. Dat is precies wat een oplichter nodig heeft om iemand gericht te benaderen.

Hoe het werkt

Lekken ontstaan zelden bij het bedrijf waar de klant zaken mee deed. Vaker gaat het mis bij een partij daarachter: de vervoerder die pakketten bezorgt, het bedrijf dat de klantenservice doet, de leverancier van een systeem. Wie daar binnenkomt, heeft de gegevens van alle klanten van alle aangesloten bedrijven tegelijk.

Wat er daarna mee gebeurt, verloopt in stappen. Bestanden worden aangeboden of verkocht, gecombineerd met gegevens uit eerdere lekken, en gebruikt voor gerichte benadering. Dan volgt een e-mail die van de fabrikant lijkt te komen, een brief in de bus over een noodzakelijke beveiligingsstap, of een telefoontje van iemand die naam, adres en het gekochte apparaat al weet - wat het gesprek meteen geloofwaardig maakt. Het doel is bijna altijd hetzelfde: de herstelzin of een handtekening.

Een lek veroudert bovendien nauwelijks. Een adres blijft jaren bruikbaar, en de gestolen gegevens duiken lang na het incident opnieuw op.

Waarom het in het nieuws komt

Bedrijven melden een lek meestal zelf, omdat dat moet, en dan gaat de aandacht naar de aantallen. Voor lezers is de vervolgvraag belangrijker: wat kan iemand met deze gegevens doen. Bij cryptobedrijven is het antwoord concreet, want de golf van oplichtingspogingen die erop volgt is doorgaans goed gedocumenteerd.

Daarnaast is er de aansprakelijkheidsvraag. Klanten stellen het bedrijf verantwoordelijk voor schade die pas later ontstaat, terwijl het bedrijf wijst naar de leverancier waar het lek zat. Zulke procedures duren jaren.

Is het verboden?

Het lek zelf is geen misdrijf van het getroffen bedrijf, maar er gelden wel plichten. In de Europese Unie moet een organisatie een datalek doorgaans binnen 72 uur bij de toezichthouder melden, en de betrokkenen informeren als het risico voor hen hoog is. Wie te laat meldt of zijn beveiliging niet op orde had, riskeert een boete. Het binnendringen en verhandelen van de gegevens is uiteraard wel strafbaar.