Er zijn twee berichten over datalekken samen opgedoken: een incident aan de Universiteit van Kopenhagen dat naar verluidt meer dan 525.000 mensen treft, en een afzonderlijke claim dat 220 miljoen reizigersrecords zijn blootgesteld, met betrekking tot negen jaar aan luchtvaartinformatie, inclusief passagiers- en paspoortgegevens. Als je je afvraagt wat te doen bij een datalek met paspoortgegevens, begint het antwoord met een voorbehoud: de beschikbare brontekst is summier, en de cijfers moeten zorgvuldig worden geverifieerd voordat iemand definitieve conclusies trekt.

Wat er bij het datalek is blootgesteld

De kop van TechRadar zegt dat meer dan 525.000 mensen zijn getroffen door een datalek aan de Universiteit van Kopenhagen. De samenvatting die eraan is gekoppeld, beschrijft iets anders: een datalek waarbij 220 miljoen reizigersrecords zijn blootgesteld, met negen jaar aan gelekte luchtvaartgegevens, inclusief passagiers- en paspoortgegevens.

De artikeltekst die we hebben, legt niet uit hoe deze twee items met elkaar samenhangen, wie verantwoordelijk was, hoe de gegevens zijn benaderd, of precies welke velden in elk geval zijn buitgemaakt. Het is mogelijk dat het om afzonderlijke incidenten gaat die onder één pagina zijn gegroepeerd, of dat de samenvatting bij een ander verhaal hoort. We gaan niet gissen. Totdat de betrokken organisaties details publiceren, moeten beide aantallen worden behandeld als gemelde claims en niet als bevestigde feiten.

Wat veilig kan worden gezegd, is dat de samenvatting passagiers- en paspoortgegevens noemt, en dat dat soort informatie een zorgvuldige reactie verdient, zelfs nu het volledige beeld onduidelijk is.

Waarom paspoort- en reisgegevens een hoog risico vormen

Een gelekt wachtwoord kan binnen enkele minuten worden gewijzigd. Een paspoortnummer, volledige naam, geboortedatum en reishistorie kunnen niet zo eenvoudig worden gereset. Dat maakt dit soort gegevens waardevol voor criminelen.

Zo kunnen blootgestelde reisgegevens worden misbruikt:

  • Identiteitsfraude: Paspoortgegevens in combinatie met andere persoonsgegevens kunnen iemand helpen identiteitscontroles te doorstaan of accounts op jouw naam te openen.
  • Gerichte phishing: Weten waar en wanneer je vloog, of welke luchtvaartmaatschappij je gebruikte, stelt een oplichter in staat een overtuigend bericht te schrijven over een "boekingwijziging" of "terugbetaling."
  • Aanvallen op accountherstel: Aanvallers kunnen persoonsgegevens gebruiken om beveiligingsvragen te beantwoorden of medewerkers van de klantenservice te overtuigen toegang te verlenen.
  • Risico's in de fysieke wereld: Reispatronen kunnen onthullen wanneer een huis leeg is of waar iemand regelmatig naartoe gaat.

Het is de moeite waard om perspectief te houden. Een paspoortnummer alleen is meestal niet genoeg om je financiën over te nemen, en veel datalekken leiden voor de meeste mensen nooit tot schade. Het echte risico komt voort uit het combineren van gelekte gegevens met andere bronnen, en daarom richt de onderstaande reactie zich op het verminderen van wat aanvallers ermee kunnen doen.

Wat te doen als je gegevens mogelijk betrokken zijn

Begin met uit te zoeken of je getroffen bent. Let op officiële kennisgevings-e-mails of brieven van de organisatie, en controleer haar website op een verklaring. Wees hier voorzichtig: kennisgevingen over datalekken zijn zelf een favoriet lokmiddel voor phishing. Ga naar de site van de organisatie door het adres zelf te typen in plaats van op links in een bericht te klikken.

Werk daarna deze stappen door:

  1. Beveilig je belangrijke accounts. Wijzig wachtwoorden van e-mail, bankieren en loyaliteitsaccounts van luchtvaartmaatschappijen, en hergebruik ze nooit. Gebruik indien mogelijk een wachtwoordmanager.
  2. Schakel multi-factorauthenticatie in. Een authenticator-app of hardwaresleutel is sterker dan sms-codes.
  3. Wees sceptisch over berichten met een reisthema. Onverwachte e-mails over vluchten, terugbetalingen of paspoortvernieuwingen moeten worden geverifieerd via de officiële app of website van de luchtvaartmaatschappij.
  4. Houd je financiën in de gaten. Controleer afschriften op onbekende activiteit en overweeg een kredietblokkade of fraudealarm waar jouw land dat aanbiedt.
  5. Neem contact op met je paspoortautoriteit als je tekenen van misbruik ziet. Als je vermoedt dat je paspoort frauduleus is gebruikt of verkeerd wordt voorgesteld, meld het dan. Sommige autoriteiten hebben procedures voor verloren of gestolen documenten. Meld een paspoort alleen als verloren als dat daadwerkelijk zo is, want dat kan problemen opleveren voor je eigen reizen.
  6. Houd een administratie bij. Bewaar kennisgevingen over datalekken en alle correspondentie voor het geval je later fraude moet betwisten.

Een VPN maakt een datalek niet ongedaan, omdat de gegevens door een derde partij werden beheerd en niet van jouw apparaat zijn gestolen. Het kan je verbinding op openbare wifi op luchthavens beschermen, maar het is hier niet de oplossing.

Blootstelling van gegevens bij derden beperken

De ongemakkelijke les van grote datalekken is dat veel van je persoonsgegevens zich in systemen bevinden die je niet beheert: luchtvaartmaatschappijen, boekingsplatforms, universiteiten en anderen. Je kunt niet elk lek voorkomen, maar je kunt het doel verkleinen.

  • Deel minder. Geef paspoortgegevens alleen wanneer dat vereist is, en weiger optionele velden.
  • Verwijder oude accounts. Sluimerende reis- en loyaliteitsprofielen bevatten nog steeds je gegevens.
  • Gebruik unieke e-mailaliassen. Dit helpt je te herkennen welke dienst je adres heeft gelekt en beperkt tracking tussen accounts.
  • Vraag wat er wordt opgeslagen. Veel rechtsgebieden stellen je in staat toegang tot je gegevens aan te vragen of om verwijdering te verzoeken. De privacywet van New Jersey is een voorbeeld van hoe moderne wetten voor gegevensrechten inwoners formele controle geven over hun persoonsgegevens, inclusief de mogelijkheid om organisaties te vragen hoe zij ermee omgaan. Regels verschillen per land en staat, dus controleer welke op jou van toepassing zijn.

Wat dit voor jou betekent

Als je de afgelopen jaren met een grote luchtvaartmaatschappij hebt gevlogen, of enige band hebt met de Universiteit van Kopenhagen, is het redelijk om aan te nemen dat je gegevens in het spel kunnen zijn tot het tegendeel is bewezen. Dat betekent geen paniek. Het betekent nu je accountbeveiliging aanscherpen, meer overtuigende phishing verwachten, en de komende maanden je financiële en identiteitsgegevens in de gaten houden.

Wees ook op je hoede voor iedereen die beweert te kunnen bevestigen of je bij de 220 miljoen hoort. Onofficiële opzoekwebsites en ongevraagde "datalekcheck"-berichten kunnen op zichzelf scams zijn.

Belangrijkste punten

  • Behandel de cijfers van 525.000 en 220 miljoen als ongeverifieerd totdat de betrokken organisaties details bevestigen.
  • Bij een datalek met paspoortgegevens: geef prioriteit aan sterke unieke wachtwoorden, multi-factorauthenticatie en scepsis tegenover berichten over reizen.
  • Houd je accounts in de gaten en meld vermoedelijk misbruik van je paspoort bij de relevante autoriteit.
  • Beperk wat derden over je hebben, en ken je juridische rechten. Lezen hoe de gegevensprivacywet van New Jersey werkt, is een goed startpunt om te begrijpen welke controle je kunt hebben over gegevens die organisaties opslaan.

Controleer officiële kennisgevingen, beveilig je accounts vandaag nog, en oefen je gegevensrechten uit waar je lokale wet dat toestaat.