De Zwitserse ijshockeybond heeft een datalek bevestigd nadat persoonlijke gegevens van meer dan 100.000 mensen die bij de sport betrokken zijn, waren gecompromitteerd en op een online forum verschenen. Het datalek bij de Zwitserse ijshockeybond is een herinnering eraan dat sportorganisaties stilzwijgend grote hoeveelheden persoonsgegevens beheren, en dat de mensen in die databases vaak weinig zeggenschap hebben over hoe goed die gegevens worden beschermd.

Het bronrapport is kort en verschillende details zijn niet openbaar gemaakt. Dit artikel houdt zich aan wat is bevestigd en richt zich op wat getroffen mensen verstandig kunnen doen.

Wat de Zwitserse ijshockeybond heeft bevestigd

Volgens het rapport werden persoonsgegevens van meer dan 100.000 personen die met Zwitsers ijshockey verbonden zijn, door hackers gecompromitteerd en vervolgens op een online forum geplaatst. De bond heeft het incident publiekelijk erkend.

De beschikbare berichtgeving vermeldt niet hoe de aanvallers binnenkwamen, wanneer de inbraak plaatsvond of of er losgeld is geëist. Er wordt ook niet gezegd of de gegevens te koop worden aangeboden of vrij worden gedeeld. Totdat de bond meer informatie publiceert, blijven die vragen open, en lezers moeten voorzichtig zijn met beweringen over de aanval die niet herleidbaar zijn tot een officiële verklaring.

Wie zijn getroffen en welke gegevens kunnen zijn blootgesteld

De uitdrukking "personen die met Zwitsers ijshockey verbonden zijn" is breed. Een nationale bond heeft doorgaans te maken met spelers, coaches, scheidsrechters, clubfunctionarissen, vrijwilligers en soms fans of kaartkopers. Iedereen in die groepen kan tot de 100.000 getelde personen behoren.

De exacte categorieën blootgestelde gegevens zijn niet uiteengezet in het bronartikel. Over het algemeen kunnen sportbonden namen, contactgegevens, geboortedata en licentie- of registratie-informatie beheren. Omdat de details niet bevestigd zijn, is de veiligste benadering om aan te nemen dat basisidentiteits- en contactgegevens in de gelekte set kunnen zitten, en te wachten tot de bond meer zegt.

Dit is ook de reden waarom het incident verder reikt dan één sport. Registratiesystemen voor competities en clubs verzamelen vaak veel informatie over vele jaren, ook van jonge atleten en hun ouders. Een enkel gecompromitteerd systeem kan mensen blootstellen die al lange tijd niet actief zijn in de sport. Voor bredere context over hoe aanvallers sportaccommodaties en -organisaties targeten, zie onze berichtgeving over de ransomware-aanval op het Thialf-ijsstadion.

Hoe gelekte gegevens phishing en credential stuffing aanwakkeren

Zodra persoonsgegevens op een forum belanden, blijven ze zelden op één plek. Andere criminelen kunnen ze kopiëren, herverpakken en hergebruiken. Twee risico's springen eruit voor mensen in een lek als dit.

Gerichte phishing. Als een aanvaller je naam kent, je e-mailadres en weet dat je met Zwitsers ijshockey verbonden bent, kan hij een bericht schrijven dat geloofwaardig lijkt. Het kan zich voordoen als je club, de bond, een ticketservice of een "beveiligingsmelding" over het datalek zelf. Deze berichten zetten je meestal aan om op een link te klikken, een bijlage te openen of een wachtwoord in te voeren.

Credential stuffing. Als de gelekte gegevens e-mailadressen bevatten, kunnen aanvallers die proberen met veelgebruikte wachtwoorden, of met wachtwoorden die bij eerdere datalekken zijn blootgesteld, op andere diensten zoals e-mail, bankieren en sociale media. Dit werkt alleen wanneer mensen hetzelfde wachtwoord op meer dan één plek hergebruiken. Het is geautomatiseerd en goedkoop, en daarom zo gangbaar.

Geen van beide aanvallen vereist dat de crimineel je rechtstreeks hackt. Ze zijn afhankelijk van jouw snelle reactie of hergebruik van een wachtwoord, en beide zijn dingen die je kunt beheersen.

Wat dit voor jou betekent

Als je ooit hebt gespeeld, gecoacht, gefloten, vrijwilligerswerk hebt gedaan of je hebt geregistreerd bij een Zwitserse ijshockeyclub of de bond, beschouw jezelf dan als mogelijk getroffen, zelfs als je geen melding hebt ontvangen. Ouders van jeugdspelers moeten hetzelfde doen namens hun kinderen.

Het praktische risico is geen dramatische overname van je leven. Het is een toename van overtuigende scam-berichten en van geautomatiseerde pogingen om in te loggen op je accounts. Een paar stappen nu elimineren het grootste deel van dat risico.

Stappen die getroffen mensen nu moeten nemen

  • Wijzig hergebruikte wachtwoorden. Als je hetzelfde wachtwoord gebruikt voor je sportaccount en iets anders, wijzig dan eerst de andere, te beginnen met e-mail. Gebruik een uniek wachtwoord voor elke dienst, idealiter opgeslagen in een wachtwoordmanager.
  • Schakel multi-factor authenticatie in. Een authenticator-app of hardwarematige sleutel op je e-mail-, bank- en sociale accounts betekent dat een gestolen wachtwoord alleen niet genoeg is.
  • Behandel onverwachte berichten met argwaan. Wees voorzichtig met e-mails, sms'jes of telefoontjes die het datalek, je club of de bond vermelden. Klik niet op links erin. Ga rechtstreeks naar de officiële website of neem contact op met de organisatie via gegevens die je al vertrouwt.
  • Let op ongebruikelijke activiteit. Controleer inlogmeldingen en recente activiteit op je belangrijkste accounts, en bekijk bankafschriften op alles wat onbekend is.
  • Zoek naar officiële updates. Volg de communicatie van de bond zelf voor details over welke gegevens zijn blootgesteld en wat hij aanbeveelt.
  • Bescherm de accounts van minderjarigen. Als een kind bij een club is geregistreerd, pas dan dezelfde stappen toe op hun e-mail en eventuele gekoppelde accounts.

Belangrijkste punten

Het datalek bij de Zwitserse ijshockeybond laat zien hoeveel persoonsgegevens sportbonden verzamelen en hoe snel die in verkeerde handen kunnen vallen. Veel details zijn nog niet bevestigd, dus vermijd speculatie en vertrouw op officiële updates. Wijzig ondertussen hergebruikte wachtwoorden, schakel multi-factor authenticatie in en behandel onverwachte berichten met argwaan. Voor een bredere blik op de dreiging voor de sector, lees ons rapport over de ransomware-aanval op het Thialf-ijsstadion.