Het Department of Homeland Security (DHS) onderzoekt een datalek waarbij mogelijk personeelsdossiers van 40.000 medewerkers zijn blootgesteld, onder wie ICE-agenten en CBP Border Patrol-medewerkers die werden gedoxxt. Deze kwestie is een duidelijk voorbeeld van hoe een DHS-datalek waarbij medewerkers worden gedoxxt kan uitgroeien van een technisch incident tot een reëel persoonlijk risico. In dit artikel bespreken we wat er is gemeld, waarom gelekte dossiers zo moeilijk in te dammen zijn, en wat elke lezer kan doen om zijn of haar eigen blootstelling te beperken.

Wat we tot nu toe weten over het DHS-datalek

Volgens de berichtgeving onderzoekt het DHS een datalek waarbij mogelijk personeelsdossiers van ongeveer 40.000 medewerkers zijn blootgesteld. Onder de getroffenen bevinden zich ICE-agenten en CBP Border Patrol-medewerkers die werden gedoxxt, wat betekent dat hun persoonlijke gegevens openbaar zijn gepubliceerd of verspreid.

De beschikbare details zijn beperkt. Het woord "mogelijk" is hier van belang: het onderzoek loopt nog en de volledige omvang van wat is blootgesteld, is in de bronberichtgeving niet uiteengezet. We gaan niet speculeren beyond wat is bevestigd. Voor eerdere berichtgeving met meer details over wat er is gemeld, zie ons artikel over het DHS-lek waarbij contactgegevens van meer dan 40.000 medewerkers zijn blootgesteld.

Hoe gelekte personeelsdossiers worden ingezet voor doxxing

Doxxing is het openbaar maken van iemands privégegevens, meestal om intimidatie of pesterijen mogelijk te maken. Personeelsdossiers zijn hier bijzonder bruikbaar voor, omdat ze een echte naam koppelen aan een echte werkplek en vaak ook aan andere identificatiegegevens waardoor iemand gemakkelijk te vinden is.

Zodra dit soort dossiers openbaar zijn, gebeuren er doorgaans verschillende dingen:

  • Gerichte intimidatie: Namen en contactgegevens kunnen worden gebruikt voor ongewenste telefoontjes, berichten en e-mails.
  • Koppeling via sociale media: Een naam kan op verschillende platforms worden gezocht om een werkidentiteit te koppelen aan een persoonlijke identiteit, inclusief familieleden.
  • Impersonatie en phishing: Aanvallers kunnen accurate gegevens gebruiken om overtuigende berichten op te stellen die lijken te komen van een betrouwbare bron.
  • Verrijking via databrokers: Gelekte gegevens kunnen worden gecombineerd met informatie die al door commerciële databrokers wordt verkocht of gedeeld, waardoor hiaten zoals woonadressen worden aangevuld.

Dat laatste punt is waarom dit verhaal verder reikt dan overheidsmedewerkers. Iemands gegevens kunnen op dezelfde manier worden samengesteld, en onze uitleg over hoe ICE locatiegegevens koopt laat zien hoe breed persoonlijke gegevens worden verzameld en gedeeld.

Waarom personeelsgegevens moeilijk terug te draaien zijn zodra ze zich verspreiden

Een wachtwoord kan worden gewijzigd. Een naam, een telefoonnummer, een e-mailadres en een arbeidsverleden kun je niet zo gemakkelijk resetten. Zodra een set dossiers is gekopieerd, opnieuw geplaatst en gespiegeld op forums, bestandsdeelsites en sociale platforms, kan geen enkele partij het geheel verwijderen.

Verzoeken tot verwijdering kunnen individuele berichten verwijderen, maar kopieën blijven vaak elders bestaan. Zoekmachines en aggregatorsites kunnen dezelfde gegevens ook blijven tonen lang nadat de oorspronkelijke bron verdwenen is. Daarom is het praktische doel na een lek zelden volledige verwijdering. Het is het verminderen van hoe gemakkelijk de blootgestelde gegevens kunnen worden gekoppeld aan andere informatie over jou, en het moeilijker maken om er iets mee te doen.

Wat dit voor jou betekent

De meeste lezers werken niet voor het DHS, maar dezelfde mechanismen gelden voor elk datalek. Als jouw naam, e-mailadres of telefoonnummer in een lek voorkomt, kan die worden hergebruikt voor phishing, intimidatie of identiteitskoppeling. Het verschil tussen een overlast en een ernstig probleem hangt vaak af van hoeveel andere informatie over jou gemakkelijk te vinden is.

Het goede nieuws is dat je daar meer controle over hebt dan je misschien denkt. Je publieke voetafdruk verkleinen voordat er iets misgaat, is veel eenvoudiger dan achteraf opruimen.

Stappen om je eigen blootstelling te beperken

  1. Controleer of je gegevens zijn blootgesteld. Gebruik een betrouwbare dienst voor datalekmeldingen om te zien welke van je e-mailadressen en telefoonnummers in bekende lekken zijn verschenen. Beschouw elke treffer als een aanleiding om het wachtwoord van dat account te wijzigen.
  2. Meld je af bij databrokers. Veel brokers publiceren namen, adressen, telefoonnummers en familieleden. De meeste bieden een afmeldformulier, hoewel je dit periodiek moet herhalen omdat vermeldingen opnieuw kunnen verschijnen.
  3. Verscherp je privacyinstellingen op sociale media. Beperk wie je vriendenlijst, getagde foto's, werkgever en locatiegegevens kan zien. Verwijder informatie die je professionele en persoonlijke identiteiten met elkaar verbindt.
  4. Gebruik aparte e-mailadressen en nummers. Verschillende adressen voor bankieren, winkelen en sociale accounts maken het moeilijker om je profielen na een lek aan elkaar te koppelen.
  5. Schakel multi-factorauthenticatie in. Zelfs als je contactgegevens openbaar zijn, maakt een tweede factor accountovername veel moeilijker.
  6. Wees sceptisch over onverwachte berichten. Als iemand contact met je opneemt met accurate persoonlijke gegevens, ga er dan niet van uit dat die persoon legitiem is. Verifieer via een officieel kanaal dat je zelf opzoekt.
  7. Beperk het delen van je locatie. Controleer welke apps toegang hebben tot je locatie en schakel alles uit wat het niet nodig heeft.

De kern van de zaak

Het DHS-onderzoek loopt nog en er kunnen meer details naar buiten komen. Wat al duidelijk is, is hoe een DHS-datalek waarbij medewerkers worden gedoxxt blootgestelde dossiers kan omzetten in een kwestie van persoonlijke veiligheid. Neem deze week een paar minuten de tijd om te controleren of je eigen gegevens zijn blootgesteld, en begin je af te melden bij databrokers. Lees onze eerdere berichtgeving over het DHS-lek voor de specifieke details van het datalek, en ons artikel over ICE-locatiegegevens voor context over hoe persoonlijke gegevens worden verzameld en gedeeld.