Als je MoneySmart hebt gebruikt, het financiële vergelijkingsplatform, vraag je je nu misschien af wat je moet doen na de MoneySmart-datalek. Het bedrijf heeft bekendgemaakt dat hackers toegang hebben gekregen tot zijn interne systemen, dat klanten in Singapore en Hong Kong getroffen zijn en dat identiteitskaartnummers (IC-nummers) en financiële gegevens mogelijk zijn blootgesteld. Deze gids legt uit wat er is gemeld en welke praktische stappen je risico op fraude en phishing verkleinen.

Wat MoneySmart zegt dat er is gebeurd

Volgens berichtgeving van The Straits Times zegt MoneySmart dat klanten in Singapore en Hong Kong getroffen zijn nadat hackers toegang kregen tot interne systemen. In de eigen kennisgeving van het bedrijf, zoals geciteerd in zoekresultaten, staat dat het op 29 oktober ontdekte dat een ongeautoriseerde derde partij toegang had gekregen tot enkele van zijn interne IT-systemen.

Het woord "mogelijk" is hier belangrijk. In berichten wordt de data beschreven als mogelijk blootgesteld, wat betekent dat niet iedere getroffen persoon noodzakelijkerwijs elk gegevenstype kwijt is. In fragmenten van de berichtgeving worden records genoemd die namen, geboortedata, nationaliteit, identificatienummers, e-mailadressen en mobiele nummers kunnen bevatten, waarbij ook verzendgegevens worden vermeld. De exacte lijst voor jouw account kan alleen MoneySmart bevestigen, dus de eerste stap is het lezen van de officiële kennisgeving van het bedrijf en elk bericht dat rechtstreeks naar jou is gestuurd.

We hebben geen bevestiging gezien van hoe de aanvallers binnenkwamen of hoeveel mensen getroffen zijn, en we gaan niet gissen. Als die details worden gepubliceerd, zouden ze van MoneySmart of de autoriteiten moeten komen.

Waarom IC-nummers en financiële gegevens een hoog risico vormen

Niet alle gelekt data is gelijk. Een gewijzigd wachtwoord is binnen een minuut opgelost. Een IC-nummer kan op geen enkele praktische manier worden gewijzigd, en het wordt vaak gebruikt om te verifiëren wie je bent bij banken, telecombedrijven en overheidsdiensten. In combinatie met je naam, geboortedatum, nationaliteit en telefoonnummer geeft het een oplichter veel van wat nodig is om overtuigend te klinken bij het zich voordoen als jou of als een bedrijf waarmee je te maken hebt.

Financiële informatie voegt daar een extra laag aan toe. Zelfs wanneer er geen volledige kaart- of bankgegevens in het spel zijn, geeft de wetenschap dat iemand via een vergelijkingsplatform een lening, creditcard of verzekeringsproduct heeft aangevraagd criminelen een geloofwaardig script. Een beller die je naam, je mobiele nummer en het type product dat je hebt bekeken al kent, is veel overtuigender dan een willekeurige oplichter.

Dit is het echte gevaar van een lek zoals dit. Het onmiddellijke risico gaat minder over iemand die inlogt op MoneySmart en meer over wat er in de daaropvolgende weken gebeurt, wanneer de data wordt gebruikt om je elders te targeten.

Hoe je je accounts beschermt na het lek

Je hoeft niet in paniek te raken, maar een paar stappen zijn vandaag de moeite waard:

  • Lees de officiële kennisgeving. Ga naar de website van MoneySmart zelf of de e-mail die het je heeft gestuurd, in plaats van een link in een onverwacht bericht te volgen.
  • Controleer je bank- en kaartafschriften. Zoek naar transacties die je niet herkent en meld ze snel bij je bank. Dit is het gedragsgerichte advies dat in de berichtgeving over het incident wordt benadrukt.
  • Wijzig je MoneySmart-wachtwoord. Als je dat wachtwoord ergens anders hebt hergebruikt, wijzig het dan ook op die accounts, en gebruik via een wachtwoordmanager een uniek wachtwoord voor elke dienst.
  • Schakel tweefactorauthenticatie in voor e-mail, bankieren en financiële apps. Je e-mailaccount is de sleutel tot het resetten van al het andere.
  • Wees voorzichtig met identiteitsverificatie. Omdat je IC-nummer mogelijk bekend is, behandel elk verzoek om het per telefoon, sms of e-mail te bevestigen als verdacht, tenzij je zelf contact hebt opgenomen via een officieel kanaal.
  • Neem rechtstreeks contact op met je bank als je je zorgen maakt. Gebruik het nummer op de achterkant van je kaart of in de officiële app, niet een nummer dat een beller je heeft gegeven.

Een VPN draait een lek zoals dit niet terug, omdat de data uit de systemen van het bedrijf is gehaald en niet uit jouw verbinding. Het kan je verkeer op openbare wifi beschermen, maar de bovenstaande stappen zijn hier veel belangrijker.

Phishing herkennen die gebruikmaakt van gelekt data

Na een lek benaderen aanvallers mensen vaak met echte gegevens om legitiem over te komen. MoneySmart heeft al gewaarschuwd dat je, als je een verzoek ontvangt dat beweert van het bedrijf afkomstig te zijn, niet moet reageren en het in plaats daarvan moet melden bij het contact voor gegevensbeveiliging dat in zijn kennisgeving wordt vermeld.

Let op deze waarschuwingssignalen:

  • Urgentie. Berichten die beweren dat je account wordt bevroren, of dat je binnen enkele uren moet handelen.
  • Verzoeken om codes of inloggegevens. Geen enkel echt bedrijf of bank zal om je eenmalige wachtwoord of volledige pincode vragen.
  • Links en bijlagen die je niet verwachtte. Ga naar de website door het adres zelf te typen of een opgeslagen bladwijzer te gebruiken.
  • Persoonlijke gegevens als bewijs. Het kennen van je naam of telefoonnummer bewijst niet dat een afzender echt is. Die informatie is mogelijk nu in criminele handen.
  • Druk om gesprekken te verplaatsen. Wees wantrouwend als een beller je vraagt over te stappen op een berichtenapp of software te installeren.

Dit patroon komt vaak voor na het lekken van contactgegevens. Ons rapport over het Adidas-lek waarbij een externe leverancier klantcontactgegevens blootlegde laat zien hoe gestolen klantcontactinformatie de grondstof kan worden voor vervolgphishing, zelfs wanneer wachtwoorden en betaalgegevens niet zijn buitgemaakt.

Wat dit voor jou betekent

Als je een MoneySmart-gebruiker in Singapore of Hong Kong bent, ga er dan van uit dat je persoonlijke gegevens in omloop kunnen zijn en handel daarnaar. Het doel is niet om elke scam-poging te voorkomen, wat niet realistisch is, maar om ervoor te zorgen dat elke poging mislukt. Dat betekent elke vorm van contact onafhankelijk verifiëren, je accounts in de gaten houden en nooit codes of inloggegevens delen met iemand die jou als eerste heeft benaderd.

Als je nog nooit MoneySmart hebt gebruikt, geldt de les nog steeds. Vergelijkings- en aanmeldplatforms verzamelen veel gevoelige informatie, dus deel alleen wat nodig is en gebruik overal unieke wachtwoorden.

Belangrijkste punten

Als het gaat om de vraag wat je moet doen na de MoneySmart-datalek, draait het antwoord vooral om gestage, weinig opzienbarende gewoonten:

  1. Controleer officiële kennisgevingen van MoneySmart en elk direct bericht van het bedrijf.
  2. Houd je bank- en kaartafschriften in de gaten en meld onbekende transacties snel.
  3. Gebruik een uniek wachtwoord en tweefactorauthenticatie op belangrijke accounts.
  4. Behandel onverwachte telefoontjes, sms'jes en e-mails als verdacht, zelfs als ze je echte gegevens noemen.
  5. Meld verdachte berichten die beweren van MoneySmart te zijn via het contact in de officiële kennisgeving.

Voor nog een voorbeeld van hoe gelekt contactdata lang na het oorspronkelijke incident phishing aanwakkert, lees ons Adidas-lekartikel en blijf de komende weken op je hoede.