Een Crunchbase-datalek Have I Been Pwned-vermelding heeft 559.908 e-mailadressen in een doorzoekbare openbare database geplaatst. Volgens de berichtgeving van TechNadu werd de data op 14 oktober 2026 toegevoegd aan de datalekmeldingsdienst, en de adressen behoren grotendeels toe aan leads en zakelijke contacten. De vermelding volgt op een "pay or leak"-afpersingspoging van de groep ShinyHunters in januari 2026.

Als je je ooit hebt aangemeld voor Crunchbase, in hun salespipeline bent opgenomen, of e-mails hebt uitgewisseld met iemand die daar werkt, is het de moeite waard om even te controleren.

Wat er is gelekt en hoe ShinyHunters hier kwam

Crunchbase is een particulier bedrijf dat bekendstaat om zijn database met bedrijfs- en startupinformatie. Volgens het rapport behoren de 559.908 e-mailadressen die nu in Have I Been Pwned (HIBP) staan grotendeels toe aan leads en zakelijke contacten, niet aan gewone consumentenaccounts. HIBP vermeldt in zijn item over het incident ook aanvullende datatypes. Het fragment dat we hebben bekeken, somt niet elk veld op, dus de HIBP-vermelding zelf is de beste plek om precies te zien wat er is blootgesteld.

De tijdlijn is belangrijk. In januari 2026 richtte ShinyHunters zich op Crunchbase met wat het rapport een "pay or leak"-afpersingspoging noemt. De groep zei dat de data die zij naar verluidt had verkregen meer dan 2 miljoen records bedroegen. De vermelding van oktober suggereert dat het geschil eindigde met het circuleren van de data, hoewel het fragment van het rapport niet ingaat op hoe of waar deze is vrijgegeven.

Let op het verschil tussen de cijfers. De 559.908 adressen in HIBP zijn niet hetzelfde als de bewering van de groep van meer dan 2 miljoen records. Records en unieke e-mailadressen zijn verschillende dingen, en HIBP's telling weerspiegelt wat in hun database is geladen. Afpersingsgroepen doen vaak grote beweringen, dus behandel de aantallen als afzonderlijk totdat er meer details naar voren komen.

Dit is een bekend patroon. Onze berichtgeving over hoe de Gentlemen-ransomwaregroep claims over MoneyGram, Deloitte en KFC vermeldde laat zien hoe losgelddeadlines en publieke claims worden gebruikt als druk, en waarom de afwezigheid of aanwezigheid van datamonsters ertoe doet bij het beoordelen of een claim echt is.

Hoe je controleert of je e-mail in Have I Been Pwned staat

Controleren kost minder dan een minuut:

  1. Ga naar de website van Have I Been Pwned en voer je e-mailadres in het zoekvak in.
  2. Bekijk de lijst met datalekken die verschijnt. Als Crunchbase daartussen staat, stond je adres in de gelekt data.
  3. Open het Crunchbase-item om te zien welke datatypes samen met je adres zijn blootgesteld.
  4. Herhaal de zoekopdracht voor elk adres dat je gebruikt, vooral werkadressen en oudere adressen van vroegere banen.

Een detail dat veel mensen missen: omdat dit lek grotendeels uit zakelijke contacten bestaat, is je werk-e-mail eerder geneigd te verschijnen dan een persoonlijke. Controleer beide. Je kunt ook HIBP's meldingsfunctie gebruiken, zodat je een waarschuwing krijgt als je adres in toekomstige datalekken opduikt.

Een schone uitslag is geen garantie voor veiligheid. HIBP dekt alleen datalekken die erin zijn geladen, dus het is een nuttig signaal, geen volledige audit van je blootstelling.

Waarom blootgestelde zakelijke contacten gerichte phishing riskeren

Een gelekt lijst van zakelijke contacten is om een specifieke reden waardevol voor aanvallers: het vertelt hen wie waar werkt en wie een saleslead, koper of besluitvormer zou kunnen zijn. Die context maakt oplichting overtuigender dan generieke spam.

Verwacht berichten die verwijzen naar je rol, je branche of een plausibele leveranciersrelatie. Een e-mail die lijkt te komen van een dataleverancier, een potentiële klant of een financieel contact wordt eerder geopend wanneer de afzender je bedrijf lijkt te kennen. E-mails die je aansporen om "je account te verifiëren", een factuur te openen of een gesprek naar een ander kanaal te verplaatsen, verdienen extra wantrouwen.

Het tweede risico is credential stuffing. Als blootgestelde data wachtwoorden bevat, of als je een Crunchbase-wachtwoord elders hebt hergebruikt, kunnen aanvallers dezelfde combinatie van e-mail en wachtwoord op andere diensten proberen. Hergebruikte wachtwoorden maken van één datalek vele.

Afpersingsploegen zijn ook verbonden met een breder crimineel ecosysteem. Recente opsporingsactiviteiten, zoals de inbeslagname van hackplatforms en de overdracht van een ransomwareverdachte aan Duitsland, tonen aan dat de druk op deze wereld toeneemt, maar gelekt data blijft doorgaans circuleren lang nadat de oorspronkelijke groep is ontwricht.

Wat dit voor jou betekent

Als je adres in de Crunchbase-data staat, is je e-mail op zichzelf geen ramp. Het praktische risico is dat je een gemakkelijker doelwit wordt voor overtuigende, gepersonaliseerde berichten. Als je een team leidt, geldt hetzelfde voor collega's wier adressen in het lek voorkomen, aangezien aanvallers zich kunnen voordoen als jou om hen te bereiken.

Stappen die je moet nemen als je e-mail is blootgesteld

  • Wijzig je Crunchbase-wachtwoord als je een account hebt, en wijzig het overal waar je het hebt hergebruikt.
  • Gebruik een wachtwoordmanager om voor elke dienst een uniek wachtwoord te maken, zodat één datalek een ander niet kan ontgrendelen.
  • Schakel multi-factorauthenticatie in, bij voorkeur met een authenticator-app of een hardwarematige sleutel in plaats van sms.
  • Verifieer onverwachte verzoeken via een ander kanaal. Als een e-mail om betaling, inloggegevens of gevoelige bestanden vraagt, bevestig dit dan via een telefoonnummer of kanaal dat je al vertrouwt, niet via een dat in het bericht wordt gegeven.
  • Waarschuw je IT- of beveiligingsteam als een werkadres is getroffen, zodat zij kunnen letten op impersonatiepogingen.
  • Wees voorzichtig met links en bijlagen in berichten die verwijzen naar je baan of bedrijf, zelfs als de afzender bekend lijkt.

De onderste regel

De Crunchbase-datalek Have I Been Pwned-vermelding is een herinnering dat een afpersingspoging maanden later kan eindigen in een openbaar lek. Zoek vandaag je persoonlijke en werk-e-mailadressen in Have I Been Pwned en werk vervolgens de bovenstaande beschermende stappen door. Voor meer context over hoe drukcampagnes zoals deze zich ontvouwen, lees onze berichtgeving over de Gentlemen-ransomwareclaims die eerder in dit bericht is gelinkt.