Het datalek bij het Britse Legal Aid Agency beslaat een grotere tijdsperiode dan aanvankelijk gemeld. Het Legal Aid Agency (LAA) zegt nu dat de aanval van 2025 veel oudere gegevens heeft blootgelegd dan eerst werd aangenomen. Ongeveer 250.000 gestolen records dateren van vóór 2007, en het vroegste geverifieerde record dateert uit 1978.

Dat detail verandert het verhaal. Dit gaat niet alleen over een hack van een modern systeem. Het gaat erom hoe lang een overheidsinstantie zeer gevoelige persoonsgegevens heeft bewaard, en wat er gebeurt wanneer decennia aan gegevens op één plek liggen.

Wat er volgens de LAA is gestolen

Volgens de berichtgeving laat de bijgewerkte beoordeling van de LAA zien dat de gecompromitteerde gegevens veel verder teruggaan dan het startpunt van 2007 dat veel eerdere samenvattingen gebruikten. Ongeveer 250.000 van de gestolen records dateren van vóór 2007, en het oudste record dat is geverifieerd gaat terug tot 1978.

Het bronartikel geeft geen volledige uitsplitsing van elk betrokken gegevensveld, dus het zou onjuist zijn om te gissen naar specifieke details buiten wat het agentschap heeft gezegd. Wat duidelijk is, is de context: rechtsbijstandsdossiers hebben betrekking op mensen in moeilijke momenten, zoals betrokkenen bij straf-, familie- of andere juridische procedures. Zelfs een kleine hoeveelheid informatie die aan die context is gekoppeld, kan gevoelig zijn.

Als je wilt zien hoe de LAA het incident heeft geframed, raadpleeg dan de eigen updates van het agentschap en de richtlijnen van de Law Society over het lek, aangezien details zijn verschoven naarmate het onderzoek vorderde.

Waarom records uit 1978 nog in het archief stonden

De voor de hand liggende vraag is waarom records uit de jaren zeventig nog toegankelijk waren voor aanvallers. Het artikel legt de interne redenen van de LAA niet uit, dus we kunnen alleen het algemene patroon bespreken.

Overheidsinstanties bewaren vaak langdurig gegevens om legitieme redenen: wettelijke verplichtingen, audits, dossierhistorie en de moeilijkheid om oude gegevens schoon te scheiden van huidige systemen. Na verloop van tijd kan die data zich opstapelen in legacy-databases die moeilijk te inventariseren en nog moeilijker veilig te verwijderen zijn.

Hier zijn bewaartermijnen net zo belangrijk als perimeterverdediging. Firewalls, monitoring en toegangscontroles verkleinen de kans op een inbraak. Maar als een aanvaller er toch doorheen komt, is de schade evenredig aan wat er is opgeslagen. Gegevens die geen doel meer dienen, zijn een puur risico: ze kunnen niemand helpen, maar kunnen de mensen die ze beschrijven nog steeds schaden.

De vondst van 1978 is een duidelijk voorbeeld. Iemand die decennia geleden met het rechtsbijstandsysteem te maken had, heeft misschien aangenomen dat hun dossier allang weg was of irrelevant. Een datalek laat het tegendeel zien.

Wat getroffenen nu kunnen doen

Als je ooit rechtsbijstand hebt aangevraagd, of als je gegevens deel kunnen hebben uitgemaakt van een zaak, zijn er praktische stappen die de moeite waard zijn. Geen ervan vereist paniek.

  • Let op officiële kennisgevingen. Let op brieven of e-mails van de LAA, en controleer elk bericht aan de hand van de gepubliceerde richtlijnen van het agentschap voordat je reageert. Datalekken lokken vaak phishingpogingen uit die de betrokken organisatie imiteren.
  • Ken je rechten. Onder de Britse gegevensbeschermingswetgeving kun je over het algemeen een organisatie vragen welke persoonsgegevens zij over je heeft en zorgen uiten over hoe ermee is omgegaan. Overweeg een verzoek tot inzage in persoonsgegevens (data subject access request) als je duidelijkheid wilt.
  • Wees voorzichtig met onverwacht contact. Behandel telefoontjes, sms'jes of e-mails die verwijzen naar je juridische verleden met wantrouwen, vooral als ze je onder druk zetten om snel te handelen of financiële gegevens te delen.
  • Houd je rekeningen en krediet in de gaten. Let op bankafschriften en kredietrapporten voor alles wat onbekend is.
  • Versterk je logins. Gebruik unieke wachtwoorden en schakel tweefactorauthenticatie in waar beschikbaar, vooral voor e-mail.
  • Zoek advies als je je zorgen maakt. Organisaties zoals de Law Society hebben informatie gepubliceerd voor getroffenen, en een juridisch adviseur kan je opties uitleggen.

Wat een VPN wel en niet kan doen na een datalek

Het is de moeite waard hier eerlijk te zijn. Een VPN versleutelt je internetverkeer tussen je apparaat en de VPN-server, wat kan helpen op onbetrouwbare netwerken en kan beperken wat je internetprovider ziet. Dat is nuttige algemene hygiëne.

Maar een VPN maakt een datalek niet ongedaan. De LAA-gegevens zijn gestolen uit de systemen van het agentschap, niet uit jouw verbinding, dus geen enkel consumentenhulpmiddel kan ze terughalen of weer veilig maken. Een VPN stopt ook geen phishing, identiteitsfraude of misbruik van informatie die al in handen van criminelen is.

Zie een VPN als één kleine laag in je bredere privacygewoonten, niet als een reactie op een incident zoals dit.

Wat dit voor jou betekent

De belangrijkste les is dat je blootstelling niet alleen wordt bepaald door wat je vandaag deelt. Het hangt er ook van af wat instanties waar je jaren of decennia geleden mee te maken had, nog steeds bewaren. Je kunt het bewaarschema van een overheidsinstantie niet controleren, maar je kunt nieuwe blootstelling verminderen: deel alleen wat nodig is, vraag waarom informatie wordt verzameld en oefen je inzage- en verwijderingsrechten uit waar ze van toepassing zijn.

Er is ook een breder beleidspunt. Organisaties die gevoelige records bewaren, zouden moeten kunnen rechtvaardigen waarom ze die houden, en verwijderen wat ze niet kunnen rechtvaardigen. Het idee dat je kunt bewijzen wie je bent of waar je recht op hebt zonder een volledige geschiedenis over te dragen, krijgt steeds meer aandacht. Ons stuk over hoe tools voor digitale identiteit privacy kunnen versterken onderzoekt hoe privacyvriendelijke verificatie de hoeveelheid opgeslagen gegevens in de eerste plaats kan verminderen.

Belangrijkste punten

Het datalek bij het Britse Legal Aid Agency laat zien dat oude gegevens riskant blijven zolang ze bestaan. Als je denkt dat je getroffen kunt zijn, neem dan deze stappen:

  1. Let op officiële communicatie van de LAA en verifieer deze onafhankelijk.
  2. Overweeg een inzageverzoek om te weten wat er over je wordt bewaard.
  3. Wees waakzaam bij ongevraagd contact dat verwijst naar juridische zaken.
  4. Gebruik unieke wachtwoorden en tweefactorauthenticatie.
  5. Deel minder gegevens waar je kunt, en geef de voorkeur aan diensten die beperken wat ze bewaren.

Controleer je rechten op datalekkennisgevingen, verminder de persoonsgegevens die je overdraagt, en lees onze gids over digitale identiteit en privacy voor context over het bewijzen wie je bent zonder je volledige dossier prijs te geven.