Een nieuw rapport van CyberStation zegt dat het 1,8 miljoen Bengaalse records heeft gevonden die op het dark web circuleren. De bevinding is een nuttige herinnering dat blootstelling van Bengaalse data op het dark web zelden het resultaat is van één dramatisch incident. Vaker is het de langzame opeenstapeling van vele kleinere lekken die nooit verdwijnen.

Het bronartikel is kort, dus dit bericht houdt zich aan wat er is gerapporteerd en legt uit wat het suggereert voor gewone mensen.

Wat CyberStation op het dark web vond

Volgens het rapport vormden overheidsdiensten het grootste aandeel van de blootgestelde burgerrecords. Technologie en telecommunicatie hadden de hoogste blootstellingspercentages, wat betekent dat die sectoren het zwaarst vertegenwoordigd waren in de data die CyberStation heeft onderzocht.

Het kopnummer is 1,8 miljoen records. Dat is een groot aantal, maar het belangrijkere detail is hoe het tot stand kwam. CyberStation heeft niet één gelekte database onderzocht. Het keek naar data die op het dark web circuleerden en schreef die toe aan een reeks bronnen.

Het rapport bevestigde geen specifieke breach-bron. Geen enkel bedrijf, agentschap of incident is genoemd als de oorsprong van de records.

Waarom de data uit vele breaches komt, niet uit één

De waarschijnlijke verklaring, volgens het rapport, is dat de records afkomstig zijn uit meerdere third-party-breaches in de loop der tijd. Met andere woorden, dit is geen vers lek waar mensen naar kunnen wijzen en op kunnen reageren. Het is een poel van data die zich heeft opgebouwd uit eerdere incidenten.

Dit is belangrijk omdat gestolen persoonsgegevens niet vervallen wanneer een breach-verhaal vervaagt. Zodra records zijn gekopieerd, kunnen ze worden doorverkocht, samengevoegd met andere datasets en jarenlang hergebruikt. Een naam en telefoonnummer uit één incident kunnen worden gecombineerd met een e-mailadres uit een ander, waardoor een completer profiel ontstaat dan enige afzonderlijke breach zou opleveren.

Het verklaart ook waarom mensen niet kunnen vertrouwen op één breach-melding om te weten of ze getroffen zijn. Als de blootstelling afkomstig is van verschillende ongerelateerde derde partijen, is er mogelijk geen enkele organisatie verantwoordelijk voor het informeren van jou. Je ontvangt misschien helemaal nooit een melding, zelfs niet terwijl je gegevens in omloop zijn.

Het patroon is elders bekend. Telecommunicatie- en door de overheid beheerde identiteitsgegevens zijn doelwit geweest in andere recente gevallen, zoals de Odido-breach die 6,5 miljoen klanten trof in Nederland en de ANTS ID-breach met 18 miljoen records in Frankrijk. Dit zijn afzonderlijke gebeurtenissen, en niets in het CyberStation-rapport verbindt ze aan Bangladesh. Ze tonen simpelweg hoe dezelfde soorten organisaties data beheren die aanvallers waardevol vinden.

Waarom het cijfer van 1,8 miljoen een ondergrens kan zijn

CyberStation beschrijft zijn cijfers als conservatief en zegt dat de werkelijke blootstelling groter kan zijn. Daar zijn een paar redenen voor die aannemelijk zijn, hoewel het rapport zelf als de autoriteit over zijn eigen methodologie moet worden beschouwd.

Elke telling van dark web-data hangt af van wat onderzoekers kunnen vinden en benaderen. Privéforums, gesloten verkopen en datasets die rechtstreeks tussen kopers worden verhandeld, zijn moeilijker te meten. Records die overlappen tussen verschillende breaches compliceren het tellen ook, omdat dezelfde persoon in meer dan één bron kan voorkomen.

De praktische conclusie is dat 1,8 miljoen als een ondergrens moet worden gelezen, niet als een bovengrens. Het is een momentopname van wat zichtbaar was, niet een volledige telling van alles wat is blootgesteld.

Wat dit voor jou betekent

Als je in Bangladesh woont, of gebruik hebt gemaakt van Bengaalse overheids-, telecom- of technologiediensten, ga er dan van uit dat sommige van je gegevens al in omloop kunnen zijn. Dat is geen reden tot paniek, maar het zou moeten veranderen hoe je jezelf beschermt.

De belangrijkste risico's van dit soort blootstelling zijn phishing, sms-oplichting en pogingen tot accountovername. Aanvallers die je naam, telefoonnummer of e-mail kennen, kunnen overtuigende berichten opstellen, vooral als ze lijken te komen van een telecomprovider of een overheidskantoor.

Omdat de data oud en verspreid is, zijn de meest effectieve verdedigingen degene die werken ongeacht uit welke breach je gegevens afkomstig zijn.

Hoe je je blootstelling controleert en je risico verkleint

Begin met te controleren of je e-mailadres en telefoonnummer in bekende breaches voorkomen. Betrouwbare tools voor breach-meldingen laten je zoeken op e-mail, en sommige dekken ook telefoonnummers. Een treffer betekent niet dat je vandaag bent gehackt, maar het vertelt je welke accounts aandacht verdienen.

Beveilig vervolgens je accounts:

  • Gebruik unieke wachtwoorden voor elk account, idealiter opgeslagen in een wachtwoordmanager, zodat één oude breach andere niet kan ontgrendelen.
  • Schakel multi-factor authenticatie (MFA) in, bij voorkeur met een authenticator-app in plaats van sms waar mogelijk.
  • Wees sceptisch over onverwachte berichten die je naam, nummer of accountgegevens noemen. Neem contact op met de organisatie via een officieel kanaal in plaats van te antwoorden.
  • Deel minder persoonsgegevens met overheids- en telecomdiensten. Geef alleen wat vereist is, en vermijd optionele velden die bijdragen aan de data die een organisatie over je heeft.

Het is ook de moeite waard te onthouden dat blootstelling niet beperkt blijft tot één sector. Zelfs uitzendbureaus en nutsbedrijven hebben aanvallen ondervonden, zoals te zien is in de beweerde breach bij United Personnel, dus de gewoonte om te beperken wat je overdraagt geldt breed.

Belangrijkste conclusies

Het CyberStation-rapport toont aan dat blootstelling van Bengaalse data op het dark web een aanhoudende toestand is, niet een eenmalige gebeurtenis met een duidelijk begin en einde. Met 1,8 miljoen records die aan meerdere eerdere third-party-breaches zijn gekoppeld, en cijfers die het werkelijke totaal kunnen onderschatten, is wachten op een melding geen betrouwbare strategie.

Controleer of je e-mail en telefoonnummer in bekende breaches voorkomen, schakel over op unieke wachtwoorden met MFA, en deel minder persoonsgegevens met overheids- en telecomdiensten. De Odido- en ANTS-zaken tonen hoe identiteitsgegevens die door telecoms en overheidsinstanties worden beheerd, kunnen worden blootgesteld, dus beperken wat je verstrekt is een van de weinige stappen die volledig binnen je controle liggen.