Het Ministerie van Defensie heeft miljoenen huidige en voormalige Amerikaanse militairen laten weten dat hun persoonlijke gegevens zijn gestolen bij een datalek dat maanden duurde. Voor iedereen die heeft gediend, of die verbonden is met iemand die dat heeft gedaan, is de praktische vraag eenvoudig: wat moet je eraan doen? Deze gids behandelt wat bekend is en de beschermingsstappen bij het datalek van militair personeel die echt het verschil maken.

Wat we weten over het datalek bij Defensie

Volgens de berichtgeving van TechCrunch stuurde het Ministerie van Defensie kennisgevingen naar miljoenen huidige en voormalige militairen nadat was vastgesteld dat hun persoonlijke gegevens gedurende een periode van maanden waren ontvreemd. De kennisgevingen zijn de belangrijkste manier waarop getroffenen vernemen dat hun gegevens betrokken waren.

Berichtgeving van andere media vult wat context aan, hoewel de cijfers verschillen. Federal News Network en ABC News beschrijven een datalek bij het informatiesysteem van het Defense Manpower Data Center dat meer dan 3 miljoen mensen met banden met het leger treft. CNN meldt dat het Pentagon heeft bevestigd dat het datalek 2,76 miljoen "levende personen" treft, een categorie die huidige en voormalige militairen kan omvatten. Het verschil tussen die aantallen weerspiegelt waarschijnlijk verschillende telmethoden, dus beschouw het exacte totaal als onzeker totdat het Ministerie van Defensie meer details publiceert.

Military Times berichtte over een kennisgevingsbrief over een datalek waarin werd gewaarschuwd dat onbevoegde gebruikers toegang hadden gekregen tot bestanden met persoonlijke informatie. Security Magazine beschrijft het incident als een datalek bij een HR-systeem van het Pentagon. Welke gegevenspunten precies zijn blootgesteld, kan van persoon tot persoon verschillen, en daarom is het belangrijker om je eigen brief te lezen dan te vertrouwen op algemene samenvattingen.

Waarom een verblijfsduur van maanden het risico op identiteitsdiefstal vergroot

Het woord dat in dit verhaal opvalt, is "maandenlang". Wanneer aanvallers langere tijd toegang hebben tot een systeem, hebben ze meer tijd om gegevens te vinden, te kopiëren en te ordenen. Tegen de tijd dat de organisatie de inbraak detecteert en kennisgevingen verstuurt, zijn de gegevens mogelijk al gekopieerd, gesorteerd en mogelijk gedeeld of verkocht.

Die tijdlijn heeft twee gevolgen voor slachtoffers:

  • De klok begon te lopen voordat je het wist. Je informatie kan weken of maanden in handen van iemand anders zijn geweest voordat je een brief ontving.
  • Het risico verloopt niet. Gestolen persoonlijke gegevens zoals namen, geboortedata en identificatienummers veranderen niet gemakkelijk. Criminelen kunnen ze bewaren en later gebruiken, lang nadat de nieuwscyclus is verdergegaan.

Dit is ook waarom kennisgevingen over datalekken moeten worden behandeld als het begin van een lange waakperiode, niet als een eenmalige gebeurtenis. Identiteitsfraude die verband houdt met oude lekken kan een jaar of langer later opduiken als een nieuwe creditcard, een belastingaangifte of een uitkeringsaanvraag op jouw naam.

Grootschalige gegevensdiefstal trekt ook meer aandacht van wetgevers. Onze eerdere berichtgeving over hoe het ShinyHunters Canvas-datalek onder de loep van het Congres kwam toont een vergelijkbaar patroon: zodra een datalek miljoenen mensen bereikt, wordt het doorgaans een kwestie van publieke verantwoording.

Stappen die getroffen personeel nu moet nemen

Je kunt een datalek niet ongedaan maken, maar je kunt gestolen gegevens veel moeilijker te gebruiken maken. Begin met deze stappen:

  1. Lees je kennisgeving zorgvuldig. Noteer welke gegevens zijn blootgesteld en of de brief kredietmonitoring of identiteitsbeschermingsdiensten biedt. Gebruik officiële kanalen die in de brief worden vermeld, en wees op je hoede voor ongevraagde telefoontjes, sms'jes of e-mails die beweren over het datalek te gaan. Oplichters misbruiken het nieuws vaak.
  2. Blokkeer je krediet. Een blokkade bij elk groot kredietbureau voorkomt dat de meeste nieuwe accounts op jouw naam worden geopend. Het is doorgaans gratis en kan tijdelijk worden opgeheven wanneer je krediet wilt aanvragen.
  3. Reset en versterk wachtwoorden. Zelfs als het datalek geen wachtwoorden bevatte, wijzig dan die van financiële, e-mail- en overheidsgerelateerde accounts. Gebruik een uniek wachtwoord voor elk account en een wachtwoordmanager om het bij te houden.
  4. Schakel multifactor-authenticatie in. Een authenticator-app of hardwarematige sleutel is sterker dan sms-codes waar beschikbaar.
  5. Monitor je accounts en rapporten. Controleer regelmatig bank- en kaartafschriften en bekijk je kredietrapporten op accounts die je niet herkent.
  6. Let op gerichte phishing. Aanvallers die je dienstverleden of persoonlijke gegevens kennen, kunnen overtuigende berichten schrijven. Verifieer verzoeken via een apart, vertrouwd kanaal voordat je klikt of antwoordt.

Wat een VPN wel en niet kan doen na een datalek

Het is de moeite waard om hier direct te zijn: een VPN beschermt je niet tegen een datalek zoals dit. Een VPN versleutelt het verkeer tussen je apparaat en het internet, wat kan helpen op openbare wifi en kan beperken wat je netwerkprovider ziet. Het heeft geen effect op gegevens die al zijn opgeslagen door een organisatie, zoals een personeelsdatabase van de overheid. Als aanvallers records uit een systeem hebben gekopieerd, had niets aan jouw kant dat kunnen voorkomen, en niets wat een VPN doet, haalt ze terug.

Waar een VPN nog steeds een bescheiden rol kan spelen, is bij algemene hygiëne: het beperken van blootstelling op onbetrouwbare netwerken terwijl je accounts controleert of je krediet blokkeert. Het is één laag naast vele andere, geen remedie voor een datalek.

Wat dit voor jou betekent

Als je een kennisgeving hebt ontvangen, neem die dan serieus en onderneem snel actie, maar raak niet in paniek. De meest effectieve middelen zijn de weinig glamoureuze: een kredietblokkade, unieke wachtwoorden, multifactor-authenticatie en constante monitoring. Als je geen kennisgeving hebt ontvangen maar banden hebt met het leger, bijvoorbeeld als familielid of voormalig militair, is het redelijk om op officiële aankondigingen te letten en te controleren of je gedekt bent.

Voor alle anderen is de les dat je gegevens vaak in systemen staan die je niet beheert. Je kunt datalekken niet volledig voorkomen, maar je kunt de schade beperken door ervoor te zorgen dat één gelekt gegeven niet al het andere ontgrendelt.

Belangrijkste punten

  • Controleer je kennisgeving over het datalek en gebruik alleen officiële kanalen om te reageren.
  • Blokkeer je krediet en stel multifactor-authenticatie in.
  • Reset wachtwoorden en gebruik voor elk account een ander wachtwoord.
  • Verwacht phishingpogingen die echte persoonlijke gegevens gebruiken.
  • Blijf maanden en jaren monitoren, want gestolen gegevens kunnen lang na een datalek worden gebruikt.

Sterke bescherming bij een datalek van militair personeel komt neer op vroeg handelen en waakzaam blijven in de loop van de tijd. Voor nog een voorbeeld van grootschalige gegevensdiefstal die overheidsonderzoek uitlokt, lees onze berichtgeving over het ShinyHunters Canvas-datalek.