471 miljoen meldingen, weinig uitleg: wat het rapport heeft blootgelegd

Een nieuw rapport legt een verbijsterend cijfer op een probleem waar privacyvoorvechters al jaren voor waarschuwen: in slechts zes maanden tijd gingen er meer dan 471 miljoen meldingen van datalekken de deur uit. Dat is geen typefout. Als dit tempo aanhoudt, gaat het jaarlijks om ruim een half miljard meldingen – een schaal die een groot deel van de bevolking raakt en moeilijk volledig te bevatten is.

Maar het volume is niet eens het meest verontrustende. Volgens het rapport schiet het merendeel van die meldingen tekort in de uitleg over hoe aanvallers daadwerkelijk zijn binnengedrongen. Geen woord over een phishingmail, een niet-gepatchte server, een gestolen inloggegevens of een gecompromitteerde externe leverancier. Slechts een vage erkenning dat er “ongeautoriseerde toegang” heeft plaatsgevonden, gevolgd door standaardadvies om je rekeningen in de gaten te houden.

Dit is de kern van het transparantieprobleem rond datalekmeldingen. In de meeste rechtsgebieden verplicht de wet bedrijven om te vertellen dat er een lek is geweest en welke gegevens zijn blootgesteld. Heel weinig regels schrijven voor dat ze ook moeten toelichten hoe het is gebeurd. Door die lacune kunnen consumenten niet beoordelen of de beveiligingspraktijken van een bedrijf redelijk, roekeloos of ergens daartussenin waren, en kunnen ze hun eigen werkelijke risico voor de toekomst niet inschatten.

Waarom bedrijven vaag blijven over aanvalsmethoden

Er zijn praktische en juridische redenen waarom bedrijven hun lekkenmeldingen zo dun houden. Lopende onderzoeken, actieve rechtszaken en het risico op toezichtmaatregelen geven juridische teams alle reden om zo min mogelijk te zeggen. Een bedrijf dat toegeeft een database onversleuteld te hebben gelaten of een bekende softwarekwetsbaarheid te hebben genegeerd, levert munitie aan advocaten van eisers en aan toezichthouders.

Daarnaast speelt ook reputatie een rol. Gedetailleerde technische openbaarmakingen kunnen overkomen als een bekentenis van incompetentie, terwijl vage formuleringen als “geavanceerde aanval” of “ongeautoriseerde derde” eerder klinken als pech dan als nalatigheid, ook als het tegendeel dichter bij de waarheid ligt. De wetgeving rond datalekmeldingen in de VS verschilt sterk per staat en de lat ligt doorgaans laag: stel betrokkenen op de hoogte, beschrijf de categorieën blootgestelde gegevens en bied een vorm van kredietmonitoring aan. Een verklaring van de hoofdoorzaak is zelden verplicht, en zelfs die minimale eisen worden inconsequent gehandhaafd.

Het resultaat is een systeem waarin bedrijven aan de letter van de wet voldoen, terwijl consumenten bijna niets krijgen waar ze iets aan hebben om zichzelf te beschermen of iemand verantwoordelijk te houden.

Recente datalekken laten zien dat het patroon zich herhaalt

Dit is geen abstracte trend. Het duikt keer op keer op in datalekken die het nieuws halen. Het datalek bij Humana dat klanten in zes staten trof, betrof enkele van de gevoeligste gegevens die mensen hebben, gezondheidsdossiers, maar openbare details over de aanvalsmethode bleven beperkt. Ook het datalek bij Novo Nordisk, waarbij aanvallers beweerden 1,3 terabyte aan klinische onderzoeksdata te hebben gestolen, liet in openbare verklaringen veel vragen over het binnendringpunt onbeantwoord.

Het patroon reikt verder dan de zorg en de farma. Het datalek bij Odido legde 6,2 miljoen records bloot, inclusief bankrekeninggegevens, en zelfs het datalek bij het Tribeca Film Festival dat prominenten uit Hollywood raakte, volgde het bekende script: bevestiging dat er gegevens waren blootgesteld, de geruststelling dat de zaak wordt onderzocht, en verder weinig. In alle sectoren en werelddelen is het draaiboek voor openbaarmaking opvallend consistent – en opvallend mager.

Hoe je jezelf kunt beschermen als details achterwege blijven

Omdat je er doorgaans niet op kunt rekenen dat een bedrijf je precies vertelt hoe jouw gegevens zijn blootgesteld, is de nuttiger vraag wat jij zelf in de hand hebt, los van de uitleg die je al dan niet krijgt.

Begin met hygiëne van inloggegevens. Als je wachtwoorden hergebruikt op verschillende sites, wordt een datalek bij het ene bedrijf een lek overal waar je datzelfde wachtwoord gebruikte. Een wachtwoordmanager die voor elk account een uniek wachtwoord aanmaakt, neemt dit risico vrijwel volledig weg. Combineer dat met multifactorauthenticatie waar die ook wordt aangeboden; dat blokkeert de meeste pogingen tot accountovername, zelfs als een wachtwoord uitlekt.

Houd je rekeningen en kredietgegevens proactief in de gaten in plaats van te wachten tot er een melding binnenkomt. Datalekmeldingen komen vaak maanden na het feitelijke incident, dus tegen de tijd dat jij bericht krijgt, kan er al ongebruikelijke activiteit zijn begonnen. Veel banken en kredietbureaus bieden gratis waarschuwingen voor nieuwe geopende rekeningen of ongebruikelijke afschrijvingen aan; schakel die in.

Wees sceptisch over vage meldingstaal. Als een brief spreekt van “ongeautoriseerde toegang” zonder details, beschouw dat dan als een sein om je krediet te bevriezen of een fraudewaarschuwing te plaatsen, niet als reden om achterover te leunen. En bedenk dat naarmate digitale-identiteitssystemen verder uitbreiden, de belangen rond wat er centraal wordt verzameld en hoe goed dat wordt beschermd alleen maar groter worden. Persoonlijke waakzaamheid wordt daardoor in de toekomst nóg belangrijker.

Wat dit voor jou betekent

De kernles uit dit rapport is dat transparantie over datalekmeldingen momenteel grotendeels een wens blijft, geen betrouwbare standaard. Bedrijven zijn wettelijk verplicht om je te vertellen dát er een lek is geweest, maar niet waarom het is gebeurd en hoe het voorkomen had kunnen worden. Dat betekent dat de verantwoordelijkheid voor het beperken van jouw eigen blootstelling onevenredig zwaar bij jezelf ligt.

Dit is geen reden tot paniek. Het is een reden voor een mentaliteitsverandering: behandel elk account als een potentieel toekomstig slachtoffer van een lek, niet alleen de accounts waar je al een melding van hebt ontvangen. Gebruik unieke wachtwoorden, schakel multifactorauthenticatie in, controleer je financiële rekeningen regelmatig en wacht niet op een bedrijfsmelding voordat je in actie komt.

Actiepunten:

  • Controleer je wachtwoorden en stap over op een wachtwoordmanager als je op meerdere sites dezelfde inloggegevens gebruikt.
  • Schakel multifactorauthenticatie in voor e-mail, bankzaken en elk account dat gevoelige gegevens bevat.
  • Stel gratis waarschuwingen in voor account- en kredietmonitoring in plaats van te wachten op een datalekmelding.
  • Beschouw vage lekken-taal (“ongeautoriseerde toegang”, “geavanceerde aanval”) als een aansporing om je krediet te bevriezen, niet als een reden om het risico te negeren.
  • Volg nieuws over datalekken bij bedrijven die jij gebruikt, zodat je kunt anticiperen op incidenten nog voordat er een officiële melding is.