Tussen 3 en 9 oktober zag Japan een gestage reeks aankondigingen van datalekken, het ene na het andere, van diensten met miljoenen tot 10 miljoen leden. De week sloot af op 9 oktober, toen de reisboekingssite skyticket zijn eigen incident aankondigde. Voor iedereen met accounts bij Japanse diensten zijn de datalekken in Japan van oktober 2026 een herinnering dat de meest ingrijpende lekken vaak ver van je eigen apparaat plaatsvinden.

Dit bericht is gebaseerd op een wekelijks overzicht gepubliceerd door de securityblogger zephel01, die hacking- en datalekrapporten bijhoudt. Het deel van dat rapport dat voor ons beschikbaar is, bevestigt het algemene patroon en de aankondiging van skyticket, maar niet de volledige details van elk incident. We hebben er bewust van afgezien om naar specifieke details te gissen, dus raadpleeg de officiële kennisgeving van elk bedrijf voor precies wat er is blootgesteld.

Welke diensten deze week zijn getroffen

Het opvallende kenmerk van deze week was niet één catastrofale gebeurtenis, maar het ritme. Volgens het overzicht kwamen de meldingen van datalekken op opeenvolgende dagen binnen, en de getroffen diensten waren groot, met ledenaantallen die liepen van de miljoenen tot 10 miljoen. De week eindigde met skyticket, een reisboekingssite, die op 9 oktober zijn datalek aankondigde.

We kunnen niet elke getroffen dienst of de oorzaak van elk incident opsommen op basis van het beschikbare materiaal, en we zullen die hiaten niet opvullen met aannames. Wat het patroon wel laat zien, is dat grote consumentenplatforms met omvangrijke ledendatabases herhaaldelijk in meldingen opduiken, en dat gebruikers van meerdere diensten tegelijk in dezelfde week getroffen kunnen worden.

Welke gegevens zijn blootgesteld en wie loopt risico

De details verschillen per bedrijf, dus de eerste stap is altijd het lezen van de kennisgeving die je ontvangt of die op de website van de dienst is geplaatst. Over het algemeen echter betreffen datalekken bij consumentendiensten meestal een combinatie van contactgegevens en accountinformatie. Zelfs wanneer er geen betaalgegevens bij betrokken zijn, is dat soort informatie nuttig voor aanvallers.

Dit is waartoe gelekte contact- en accountgegevens doorgaans in staat stellen:

  • Phishing en smishing: Een echte naam, e-mailadres of telefoonnummer stelt oplichters in staat berichten te maken die lijken te komen van het getroffen bedrijf of een gerelateerde dienst. Een datalek bij een reissite kan bijvoorbeeld nepberichten over boekingen of terugbetalingen geloofwaardig laten lijken.
  • Credential stuffing: Als e-mailadressen en wachtwoorden (of wachtwoordgegevens die worden gekraakt) worden blootgesteld, proberen aanvallers dezelfde combinaties op andere sites. Mensen die wachtwoorden hergebruiken, dragen het risico over op elk account.
  • Accountovername: Toegang tot één account kan opgeslagen gegevens, reisroutes, punten of opgeslagen profielen blootstellen.

Als je een account hebt bij een dienst die in een datalekmelding wordt genoemd, loop je mogelijk risico, of je die recent hebt gebruikt of niet. Sluimerende accounts zijn vaak degene die mensen vergeten te beveiligen.

Waarom een VPN niet beschermt tegen lekken aan de serverzijde

Het is de moeite waard hier direct over te zijn, aangezien VPN's vaak worden gepresenteerd als een algemene privacyoplossing. Een VPN versleutelt het verkeer tussen je apparaat en de VPN-server en verbergt je IP-adres voor de sites die je bezoekt. Dat is nuttig op openbare wifi en om sommige soorten tracking te beperken.

Maar een datalek zoals degenen die deze week zijn gemeld, vindt plaats op de eigen systemen van het bedrijf. Je gegevens waren daar al opgeslagen, en aanvallers bereikten ze door die infrastructuur te compromitteren. Niets aan hoe je verbinding maakte met het internet verandert wat er in de database van een bedrijf staat. Een VPN stopt geen lek aan de serverzijde, en het draait er ook niet een terug achteraf.

Dat maakt VPN's niet nutteloos; het betekent alleen dat ze een ander probleem aanpakken. Jezelf beschermen tegen de nasleep van een datalek komt neer op account-hygiëne en waakzaamheid.

Wat dit voor jou betekent

Je kunt niet controleren hoe een bedrijf zijn servers beveiligt, maar je kunt beperken hoe ver een lek reikt. Het kernidee is om gelekte informatie zo nutteloos mogelijk te maken: unieke wachtwoorden betekenen dat credential stuffing mislukt, en tweefactorauthenticatie betekent dat een gestolen wachtwoord alleen niet genoeg is. Sceptisch blijven tegenover onverwachte berichten tempert de phishing die doorgaans op een datalek volgt, vaak in de dagen en weken na een aankondiging.

Het is ook de moeite waard te onthouden dat incidenten zoals deze terechtkomen bij mensen aan de andere kant. Beveiligings- en IT-medewerkers bij getroffen bedrijven werken de respons af onder zware druk, een thema dat wordt onderzocht in ons stuk over ransomware-burnout onder beveiligingsmedewerkers.

Wat je nu moet doen: resets, 2FA en waakzaamheid voor phishing

Als je gebruikmaakt van een Japanse dienst die een datalek heeft aangekondigd, of in het bijzonder skyticket, werk dan deze lijst door:

  1. Lees de officiële kennisgeving. Bevestig welke gegevenstypen zijn blootgesteld en volg eventuele instructies van het bedrijf op.
  2. Stel je wachtwoord opnieuw in bij de getroffen dienst, en bij elke andere site waar je hetzelfde wachtwoord hebt gebruikt. Gebruik een uniek, lang wachtwoord voor elk account, idealiter opgeslagen in een wachtwoordmanager.
  3. Schakel tweefactorauthenticatie in waar die wordt aangeboden, bij voorkeur met een authenticator-app of beveiligingssleutel in plaats van sms.
  4. Behandel onverwachte berichten met argwaan. Wees op je hoede voor e-mails, sms'jes of telefoontjes die je account, een boeking of een terugbetaling noemen. Ga rechtstreeks naar de site van het bedrijf in plaats van op links in berichten te klikken.
  5. Controleer accountactiviteit en opgeslagen gegevens, en verwijder accounts die je niet meer gebruikt.

De kern van de zaak

De datalekken in Japan van oktober 2026 laten zien hoe snel blootstelling kan oplopen wanneer veel grote diensten in dezelfde week incidenten melden. Een VPN beschermt je niet tegen een lek op de servers van een bedrijf, maar verse wachtwoorden, tweefactorauthenticatie en een gezonde argwaan tegenover ongevraagde berichten doen dat wel. Neem vandaag een paar minuten om je wachtwoorden opnieuw in te stellen, 2FA in te schakelen en je inbox de komende weken goed in de gaten te houden.