Een datalek met een gevaarlijke nieuwe wending

De saga rond het datalek bij Bank of Baroda heeft een verontrustende wending genomen. Rapporten geven aan dat ongeveer 1 TB aan klantgegevens, waaronder informatie gekoppeld aan Aadhaar, het nationale identiteitssysteem van India, is opgedoken op het darkweb. Wat deze ontwikkeling bijzonder zorgwekkend maakt, is niet alleen de hoeveelheid blootgestelde gegevens, maar ook hoe criminelen die gegevens al inzetten. Beveiligingsrapportages wijzen nu op een toename van 'digitale arrestatie'-scams, een vorm van fraude waarbij oplichters zich voordoen als politieagenten of belastingambtenaren om slachtoffers te intimideren om geld of gevoelige accountgegevens af te staan.

Dit is niet de eerste keer dat klanten van Bank of Baroda te maken krijgen met onzekerheid over hun gegevens. De bank bevestigde eerder een inbreuk op een e-mailaccount van een medewerker op 27 juli, en afzonderlijke incidenten waarbij een externe cloudleverancier duizenden records blootlegde hebben bijgedragen aan het patroon van blootstelling. De laatste claim van een lek van 1 TB, voor het eerst gesignaleerd door beveiligingsonderzoekers en behandeld toen de claim van een 1TB-darkweblek voor het eerst opdook, lijkt te zijn geëscaleerd van een verhaal over datablootstelling naar een actieve fraude campagne.

Hoe de 'digitale arrestatie'-scam werkt

In tegenstelling tot traditionele phishing vertrouwen digitale arrestatie-scams op psychologische druk in plaats van alleen misleiding. Oplichters bellen slachtoffers doorgaans op en beweren de wetshandhaving, belastingdienst of zelfs de Reserve Bank of India te vertegenwoordigen. Ze beweren dat de bankrekening van het slachtoffer in verband is gebracht met witwassen, belastingontduiking of een ander ernstig misdrijf. Door gebruik te maken van persoonlijke gegevens uit gelekte data, zoals Aadhaar-nummers, rekeninginformatie of transactiegeschiedenis, klinkt de beller overtuigend officieel.

Slachtoffers krijgen vervolgens te horen dat ze onder 'digitale arrestatie' staan en verplicht zijn om op een videogesprek te blijven, soms urenlang, terwijl ze worden gedwongen geld over te maken om hun onschuld te 'verifiëren' of onmiddellijke arrestatie te voorkomen. De combinatie van echte persoonlijke gegevens en gecreëerde urgentie maakt deze scam zo effectief. Wanneer een beller je Aadhaar-nummer, gedeeltelijke accountgegevens of recente transacties al kent, wordt het veel moeilijker om het gesprek als vanzelfsprekende scam af te doen.

Waarom dit lek verder reikt dan India

Hoewel Bank of Baroda en Aadhaar specifiek zijn voor India, is het onderliggende patroon wereldwijd. Gelekte financiële data, eenmaal te gelde gemaakt op darkwebforums, blijft zelden beperkt tot één toepassing. Identiteitsgegevens in combinatie met bankgegevens worden routinematig opnieuw verpakt voor imitatiescams, synthetische identiteitsfraude en pogingen tot accountovername, tot ver buiten de landsgrenzen van het oorspronkelijke lek. De schaal van Aadhaar (het omvat ruim een miljard inwoners) maakt elk lek dat ermee te maken heeft bijzonder waardevol voor fraudenetwerken, omdat één identiteitsnummer kan worden gekruisverwezen met meerdere financiële en overheidsdiensten.

Voor lezers buiten India is de les dezelfde als na elk groot lek: gelekte identiteits- en financiële gegevens verlopen niet. Ze worden jarenlang gekocht, verkocht en hergebruikt, vaak op manieren die de oorspronkelijke slachtoffers van het lek nooit hadden voorzien.

Wat dit voor jou betekent

Als je klant bent van Bank of Baroda, is de directe prioriteit het beveiligen van je accountgegevens. Dat betekent het wijzigen van je internetbankierwachtwoord en transactie-pin uitsluitend via officiële bankkanalen, niet via links die per sms of e-mail worden verstuurd. Als je dit nog niet hebt gedaan na eerdere berichten over lekken, leidt onze gids hoe je je Bank of Baroda-wachtwoord en -pin opnieuw instelt je stap voor stap door het proces.

Wees naast wachtwoordhygiëne ook sceptisch over ongevraagde telefoontjes die beweren van de politie, belastingdienst of bankfunctionarissen te zijn, vooral als ze persoonlijke gegevens zoals je Aadhaar-nummer of accountactiviteit aanhalen. Wettige wetshandhaving voert geen arrestaties uit via videogesprekken en eist geen geldovermakingen om onschuld te 'verifiëren'. Als je zo'n telefoontje ontvangt, hang dan op en verifieer de claim onafhankelijk door contact op te nemen met de betreffende instantie of jouw bank rechtstreeks via nummers van officiële bronnen, niet nummers die de beller verstrekt.

Concrete stappen om jezelf te beschermen

  • Stel onmiddellijk je inloggegevens opnieuw in. Werk je internetbankierwachtwoord en -pin bij via de officiële app of website, nooit via een link in een bericht.
  • Schakel tweefactorauthenticatie in op je bankrekening en gekoppelde e-mailaccounts waar mogelijk.
  • Controleer je rekeningen op onbekende transacties en stel sms- of app-meldingen in voor alle accountactiviteit.
  • Verifieer voordat je vertrouwt. Elk telefoontje waarin arrestatie, juridische stappen of dringende geldovermakingen worden genoemd, moet onafhankelijk worden bevestigd via officiële kanalen.
  • Vermijd openbare wifi voor banktransacties en overweeg een betrouwbare VPN bij het openen van financiële accounts op gedeelde of onbeveiligde netwerken.
  • Meld vermoedelijke fraude onmiddellijk bij het National Cyber Crime Reporting Portal of de hulplijn van India als je denkt dat je het doelwit bent geweest.

Het datalek bij Bank of Baroda herinnert ons eraan dat de schade van een lek zelden ophoudt op het moment van blootstelling. Terwijl gelekte gegevens circuleren en worden hergebruikt voor scams zoals digitale arrestatiefraude, is alert blijven op hoe jouw informatie tegen je gebruikt kan worden net zo belangrijk als het beveiligen van het oorspronkelijke lek. Nu een paar voorzorgsmaatregelen nemen kan het verschil betekenen tussen ternauwernood ontsnappen en een kostbaar verlies.