Een onbeveiligde database van Talentsconnect heeft wervingsgegevens blootgelegd die verband houden met meer dan 5 miljoen vacatures, volgens nieuwe berichtgeving. De database bevatte naar verluidt wervingsdossiers van 843 bedrijven, samen met actieve inloggegevens voor grote ondernemingen zoals Siemens en Vodafone. De blootstelling onderstreept een terugkerend probleem in de recruitmenttechnologie: gevoelige wervingsgegevens worden vaak opgeslagen met veel minder bescherming dan de persoonlijke informatie die ze bevatten zou rechtvaardigen.

Wat er werd blootgelegd bij het datalek van Talentsconnect

De Talentsconnect-database werd onbeveiligd en zonder authenticatie toegankelijk gelaten, waardoor onderzoekers vacatures, wervingsdossiers en inloggegevens van honderden bedrijven konden bekijken. Onder de getroffen organisaties bevonden zich bedrijven van Fortune 500-niveau; Siemens en Vodafone werden specifiek genoemd als bedrijven waarvan actieve inloggegevens bij het lek werden blootgesteld. Actieve inloggegevens zijn extra zorgwekkend omdat ze, in tegenstelling tot statische persoonsgegevens, mogelijk onmiddellijk kunnen worden gebruikt om toegang te krijgen tot interne systemen als ze in verkeerde handen vallen voordat de blootstelling is gedicht.

De omvang hier – 843 bedrijven en meer dan 5 miljoen vacatures – plaatst dit lek in hetzelfde algemene domein als andere grootschalige blootstellingen die recent het nieuws haalden. Het onderstreept ook hoe één verkeerd geconfigureerde database kan doorwerken naar buiten en een enorm aantal niet-gerelateerde organisaties kan treffen die toevallig hetzelfde recruitmentplatform of dezelfde dienstverlener gebruikten.

Waarom wervingsgegevens een steeds groter doelwit zijn

HR- en recruitmentplatforms bevinden zich op een ongewoon kruispunt van zakelijke en persoonlijke gegevens. Ze slaan cv's, contactgegevens, arbeidsverleden en soms zelfs informatie uit achtergrondcontroles op, terwijl ze ook inloggegevens en interne dossiers van de bedrijven die het platform gebruiken bewaren. Die combinatie maakt recruitmentdatabases een aantrekkelijk doelwit: één enkel lek kan zowel de persoonlijke gegevens van werkzoekenden als de interne toegangsgegevens van een bedrijf in één klap blootleggen.

Dit is geen op zichzelf staand patroon. Een vergelijkbare dynamiek speelde bij het Datalek bij Franse e-mailprovider legt 40 miljoen records bloot, waarbij de blootstelling van een dienstverlener uiteindelijk talrijke zakelijke en overheidsklanten trof in plaats van alleen de provider zelf. De zaak-Talentsconnect volgt dezelfde vorm: een beveiligingsfout van een derde partij wordt een aansprakelijkheid voor elk bedrijf dat haar gevoelige gegevens toevertrouwde.

De bredere trend van onbeveiligde of verkeerd geconfigureerde databases die grote hoeveelheden persoonlijke en zakelijke informatie blootleggen, is ook zichtbaar geworden bij incidenten zoals het Datalek bij Aura legt 900.000 contactrecords bloot en het ExfilSquad-lek legt klant-PII van Analog Devices bloot, waarbij in beide gevallen gevoelige contact- en klantinformatie toegankelijk werd buiten de systemen die haar hadden moeten beschermen. Deze incidenten verschillen weliswaar in oorzaak, maar delen een rode draad: gegevens waarvoor authenticatie had moeten vereist zijn, bleven openstaan, vaak langer dan zou moeten voordat ze werden ontdekt.

Het Fortune 500-perspectief: waarom grote namen dit anders maken

Wat het Talentsconnect-lek onderscheidt van veel alledaagse databaseblootstellingen is de aanwezigheid van actieve inloggegevens van wereldwijd bekende bedrijven. Siemens en Vodafone zijn geen kleine bedrijven die een nieuwe HR-tool uitproberen; het zijn omvangrijke, multinationale organisaties met uitgebreide interne netwerken. Wanneer inloggegevens van bedrijven van deze omvang in een blootgestelde database opduiken, reikt het mogelijke stroomafwaartse risico veel verder dan de werkzoekenden wier cv's in het systeem stonden. Het roept vragen op over de beveiligingsscreening van leveranciers en over hoeveel zicht grote ondernemingen feitelijk hebben op de platforms van derden die hun wervingsprocessen afhandelen.

Wat dit voor u betekent

Als u hebt gesolliciteerd bij een bedrijf dat Talentsconnect voor zijn wervingsproces gebruikte, kunnen uw cv, contactgegevens of sollicitatiegegevens in de blootgestelde database zijn opgenomen. Werkzoekenden moeten alert zijn op onverwachte e-mails of telefoontjes die naar sollicitaties verwijzen, vooral wanneer daarin om aanvullende persoonlijke of financiële informatie wordt gevraagd, aangezien blootgestelde wervingsgegevens kunnen worden misbruikt voor gerichte phishingpogingen.

Voor medewerkers van een van de 843 getroffen bedrijven, met name die bij Siemens, Vodafone of andere genoemde organisaties, is het verstandig om te letten op ongebruikelijke accountactiviteit, omdat blootgestelde inloggegevens soms door aanvallers kunnen worden hergebruikt om interne systemen te benaderen voordat wachtwoorden worden gewijzigd.

Concrete actiepunten

Als u denkt dat u mogelijk bent getroffen door het Talentsconnect-lek, overweeg dan deze stappen:

  • Houd uw e-mail en telefoon in de gaten voor ongevraagde berichten die naar sollicitaties of recruitment verwijzen, vooral berichten die om gevoelige informatie vragen.
  • Gebruik unieke wachtwoorden voor vacaturesites en recruitmentplatforms en hergebruik geen inloggegevens voor meerdere diensten.
  • Schakel multi-factorauthenticatie in waar die wordt aangeboden, met name voor e-mail- en professionele accounts die aan sollicitaties kunnen zijn gekoppeld.
  • Medewerkers van genoemde bedrijven moeten interne richtlijnen over het opnieuw instellen van inloggegevens volgen en alert blijven op phishingpogingen die naar het lek verwijzen.

Terwijl recruitmentplatforms steeds grotere hoeveelheden gevoelige persoonlijke en zakelijke gegevens blijven verwerken, herinneren incidenten zoals het Talentsconnect-lek eraan dat elementaire databasebeveiliging, authenticatie en toegangscontrole de eerste verdedigingslinie blijven tegen blootstellingen die miljoenen mensen en honderden bedrijven tegelijk kunnen treffen.