Advantest bevestigde dat hackers burgerservicenummers en paspoortgegevens hebben gestolen bij een ransomwareaanval die het bedrijf in februari 2026 detecteerde. Openbaarmaking volgde in oktober. Die kloof, 233 dagen volgens de telling in de bronberichtgeving, vormt de kern van de vertraging in de bekendmaking van het Advantest-datalek, en roept praktische vragen op voor iedereen wiens identiteitsdocumenten mogelijk in de gestolen bestanden stonden.

Dit artikel behandelt wat bekend is, waarom de timing belangrijk is en wat u eraan kunt doen. Het behandelt ook een veelvoorkomende misvatting: een VPN beschermt geen gegevens die al van de servers van een bedrijf zijn gestolen.

Wat Advantest openbaar maakte en wanneer

Advantest, een Japanse fabrikant van halfgeleidertestapparatuur, detecteerde in februari 2026 een ransomwareaanval. Volgens de eigen verklaring van het bedrijf van 19 februari 2026 verklaarde het dat als uit het onderzoek zou blijken dat klant- of werknemersgegevens getroffen waren, het getroffen personen rechtstreeks zou informeren en begeleiding zou bieden.

Die kennisgeving kwam veel later. Berichtgeving over de aangiftes wijst erop dat de kennisgevingsbrieven gedateerd zijn op 6 oktober 2026, bijna acht maanden nadat de aanval was gedetecteerd. De bevestigde gestolen gegevens omvatten burgerservicenummers en paspoortgegevens. Een van de bronnen die wij hebben bekeken, vermeldt ook een afzonderlijke, eerdere zaak waarin Advantest de bekendmaking van een klantdatalek bijna drie weken vertraagde, hoewel wij daarover geen verdere details hebben.

Wij hebben geen informatie in het bronmateriaal over precies hoeveel mensen getroffen zijn, dus we gaan niet gokken op een aantal.

Waarom 233 dagen belangrijk is voor gestolen BSN's en paspoorten

Een lange kloof tussen een datalek en een kennisgeving betekent niet noodzakelijk dat het bedrijf niets deed. Onderzoek naar ransomware-incidenten kan het herbouwen van systemen omvatten, het achterhalen welke bestanden zijn gekopieerd en vervolgens het identificeren van wiens gegevens daarin stonden. Toch is het praktische effect voor het individu hetzelfde: maandenlang wisten mensen mogelijk niet dat hun meest gevoelige identificatiegegevens in criminele handen waren.

Burgerservicenummers en paspoortgegevens verschillen van een gelekt wachtwoord. U kunt ze niet gemakkelijk wijzigen. Een wachtwoord kan binnen enkele minuten worden gereset, maar een BSN blijft levenslang bij u, en een paspoortnummer dat aan uw naam en geboortedatum is gekoppeld, kan identiteitsfraude ondersteunen zolang het document geldig is. Dat maakt timing op twee manieren belangrijk:

  • Verloren vroegtijdige waarschuwingstijd. Fraudealerts en kredietblokkades werken het beste wanneer ze van kracht zijn voordat iemand probeert een account op uw naam te openen. Elke maand zonder kennisgeving is een maand waarin u die stappen niet bewust kon nemen.
  • Moeilijker te traceren. Wanneer misbruik pas lang na de aanval aan het licht komt, is het moeilijker om een frauduleus account te koppelen aan een specifiek datalek.

Dit is ook waar een veelvoorkomende vraag opkomt. Een VPN versleutelt uw verkeer tussen uw apparaat en de VPN-server en maskeert uw IP-adres. Het doet niets voor gegevens die al op het netwerk van een werkgever of leverancier staan. Als aanvallers bestanden van de systemen van een bedrijf hebben gekopieerd, verandert geen enkel privacyhulpmiddel voor consumenten dat resultaat. VPN's pakken een ander risico aan, namelijk surveillance op netwerkniveau en blootstelling op onbetrouwbare verbindingen.

Welke openbaarmakingsregels van toepassing zijn en waar ze tekortschieten

De kennisgeving werd ingediend bij het kantoor van de procureur-generaal van Californië, dat inbreukmeldingen publiceert die onder staatswetgeving zijn ingediend. In de Verenigde Staten wordt inbreukmelding grotendeels beheerst door staatswetten in plaats van één nationale regel, en veel daarvan vereisen kennisgeving "zonder onredelijke vertraging" of binnen een vastgesteld aantal dagen, afhankelijk van de staat. De exacte vereisten die van toepassing waren op Advantests kennisgeving worden niet uiteengezet in het bronmateriaal, dus we zullen niet beweren of het bedrijf een specifieke wettelijke deadline heeft gehaald of gemist.

Wat in het algemeen gezegd kan worden, is waar dit soort kader doorgaans zwak is:

  • Vage timingstaal. Termen zoals "zonder onredelijke vertraging" laten ruimte voor lange onderzoeken om als redelijk te worden beschouwd.
  • Lappendeken-dekking. Omdat regels per staat en land verschillen, kunnen mensen die door hetzelfde incident zijn getroffen verschillende rechten hebben, afhankelijk van waar ze wonen.
  • Kennisgeving gaat naar individuen, niet altijd naar het publiek. Iemand kan getroffen zijn voordat een brede aankondiging hen bereikt.
  • Advantest is een in Japan gevestigd bedrijf met activiteiten in de VS, dus mogelijk zijn meer dan één regelgevend regime relevant, maar het bronmateriaal gaat daar niet op in.

Wat dit voor u betekent

Als u een brief van Advantest heeft ontvangen, neem deze dan serieus en onderneem nu actie in plaats van te wachten op tekenen van fraude. Als u die niet heeft ontvangen, geldt de bredere les nog steeds: organisaties waarmee u te maken heeft als werknemer, klant of sollicitant kunnen uw BSN of paspoortgegevens bezitten, en u heeft vaak weinig zeggenschap over hoe goed deze worden beschermd.

Het belangrijkste punt is dat uw hefboom ligt in wat u overdraagt en wat u doet nadat een kennisgeving arriveert, niet in hulpmiddelen die op uw eigen verbinding zitten.

Stappen die u kunt nemen als uw identiteitsgegevens zijn blootgesteld

  1. Lees de kennisgeving zorgvuldig. Noteer welke gegevenstypen worden vermeld en welke monitoringdiensten worden aangeboden.
  2. Plaats een fraudealert of kredietblokkade. Een blokkade beperkt het openen van nieuw krediet op uw naam. De kennisgeving van het bedrijf beschrijft ook een uitgebreide fraudealert, die zeven jaar op uw kredietrapport blijft staan.
  3. Controleer uw kredietrapporten. Let op accounts of aanvragen die u niet herkent.
  4. Let op belasting- en uitkeringsfraude. Gestolen BSN's worden vaak gebruikt om valse aangiftes in te dienen; overweeg een identiteitsbeschermings-PIN als uw belastingautoriteit die aanbiedt.
  5. Neem contact op met de paspoortuitgevende instantie indien nodig. Als u vermoedt dat uw paspoortgegevens worden misbruikt, meld dit dan bij de relevante autoriteit.
  6. Wees op uw hoede voor vervolgscams. Nieuws over datalekken leidt vaak tot phishing die naar het incident verwijst. Ga rechtstreeks naar officiële bronnen in plaats van op links in onverwachte berichten te klikken.

Belangrijkste punten: deel minder, bescherm meer

De vertraging in de bekendmaking van het Advantest-datalek is een herinnering dat het veiligste gevoelige record het record is dat een organisatie nooit verzamelt. Waar u een keuze heeft, vraag dan of een dienst echt een volledige ID nodig heeft, en geef de voorkeur aan opties die één feit verifiëren in plaats van een heel document te verzamelen.

Die vraag is zichtbaar onder consumenten. Een recente enquête vond dat 67% leeftijdscontroles wil zonder volledige ID te delen, een duidelijk teken dat mensen dataminimalisatie verkiezen. Dezelfde zorg loopt door politieke debatten, zoals de SCREEN Act-markup in de Senaat, waar leeftijdsverificatievereisten kunnen betekenen dat meer identiteitsgegevens door meer bedrijven worden beheerd.

Blokkeer uw krediet als u getroffen bent, monitor uw accounts en kom in verweer wanneer een organisatie om meer ID vraagt dan nodig is.