Je boekt een vakantie, ontvangt een bevestiging en kijkt uit naar vertrek. Enige tijd later krijg je een bericht dat er iets mis is met de betaling. In het bericht staan jouw naam, camping, reisdata en zelfs het bedrag dat je hebt betaald. Dat zal dan wel kloppen… toch? Of ben je gehackt?
Bij campingboekingssysteem Secureholiday werden gegevens buitgemaakt van bijna 42.000 Nederlandse reserveringen. Criminelen gebruikten namen, e-mailadressen, bestemmingen, boekingsdata en betaalde bedragen om zeer geloofwaardige phishingberichten te versturen via e-mail en WhatsApp. Voor zover bekend werden veertien mensen daadwerkelijk opgelicht, onder wie zes Nederlanders.
Dit incident laat iets belangrijks zien: een camping kan de eigen website prima hebben beveiligd en tóch getroffen worden. Het lek zat namelijk bij het externe boekingssysteem dat door honderden campings werd gebruikt.
Ook lokale ondernemers verwerken waardevolle gegevens
Een datalek lijkt misschien vooral een probleem van grote bedrijven. Toch verwerken vrijwel alle ondernemers en organisaties in Utrecht, Stichtse Vecht, Hilversum en omgeving dagelijks persoonsgegevens. Een kapper heeft namen, telefoonnummers en afspraken. Een restaurant verwerkt reserveringen en mogelijk allergieën. Aannemers en loodgieters bewaren woonadressen, offertes, facturen en soms foto’s van woningen. Verenigingen beschikken over ledenlijsten, geboortedata, bankgegevens en informatie over kinderen. Stichtingen verwerken gegevens van vrijwilligers, donateurs en soms kwetsbare doelgroepen. Sommige informatie valt onder de bijzondere persoonsgegevens uit de AVG. Denk aan gezondheidsinformatie, allergieën, religie of gegevens waaruit iemands afkomst kan blijken. Juist deze gegevens kunnen grote gevolgen hebben wanneer ze verkeerd terechtkomen. Meer hierover staat op onze themapagina AVG en privacy.
Waarom klanten en leden zo kwetsbaar worden
De gegevens uit een datalek zijn vaak niet direct het einddoel. Criminelen gebruiken ze om een volgende aanval veel overtuigender te maken.
- Phishing is een vorm van digitale oplichting waarbij iemand zich voordoet als een betrouwbare organisatie of bekende. Via e-mail, WhatsApp, sms, telefoon of een nagemaakte website probeert de aanvaller geld, wachtwoorden of betaalgegevens te bemachtigen.
- Social engineering gaat nog een stap verder. Daarbij wordt niet zozeer de computer aangevallen, maar de mens. De crimineel gebruikt vertrouwen, herkenning, angst en tijdsdruk om iemand snel te laten handelen.
Een willekeurige mail over een mislukte betaling valt misschien op. Maar een bericht met de juiste naam, reservering, datum en het exacte bedrag voelt betrouwbaar. Dit heet ook wel gerichte phishing of spearphishing. Persoonlijke informatie uit een datalek maakt zulke aanvallen veel moeilijker te herkennen.
“Met ruim 30 jaar ervaring in de ICT zie ik dat criminelen niet alleen systemen aanvallen. Ze vallen vooral het vertrouwen van mensen aan. Hoe meer echte klantgegevens ze hebben, hoe overtuigender hun verhaal wordt.” — Sander Jonker, eigenaar BeenThere DoneThat en docent ICT
Het slachtoffer kan geld verliezen, maar ook stress, schaamte en onzekerheid ervaren. De Autoriteit Persoonsgegevens waarschuwt dat een datalek zelfs kan leiden tot afpersing, reputatieschade of ander persoonlijk misbruik.
Je gebruikt een online platform. Wie is dan verantwoordelijk?
Veel kleine bedrijven en verenigingen gebruiken SaaS-diensten: software die via internet wordt aangeboden. Denk aan reserveringssystemen, online agenda’s, kassasystemen, boekhouding, nieuwsbrieven, ledenadministratie, cloudopslag en webshopplatformen. Dat is handig en vaak professioneel ingericht. Maar het maakt jouw organisatie ook afhankelijk van andere partijen. Wanneer jij bepaalt waarom klant- of ledengegevens worden verzameld, ben jij meestal de verwerkingsverantwoordelijke. Het SaaS-bedrijf verwerkt de gegevens dan vaak in jouw opdracht. De leverancier moet zijn platform beveiligen, maar jij blijft verantwoordelijk voor de keuze van de leverancier, de gemaakte afspraken en de gegevens die je daar opslaat. Weet jij bijvoorbeeld waar jouw gegevens technisch staan? Bevinden ze zich in Nederland, ergens anders in Europa of buiten Europa? Welke andere leveranciers hebben toegang? Hoe snel word je geïnformeerd bij een incident? Kun je de gegevens terugkrijgen wanneer je opzegt? En worden ze daarna echt verwijderd? “Het staat veilig in de cloud” is geen volledig antwoord.
Wat gebeurt er met het vertrouwen?
Angst is na een datalek aan beide kanten aanwezig. De klant vraagt zich af welke gegevens zijn gestolen en of er nog meer verdachte berichten komen. Een lid wil weten of ook gegevens van kinderen, bankgegevens of medische informatie zijn gelekt. De ondernemer denkt ondertussen aan omzetverlies, juridische verplichtingen, negatieve publiciteit en mogelijke opzeggingen. Komt de naam van jouw restaurant, kapsalon, vereniging of webshop in het nieuws vanwege een datalek, dan blijft dat bericht mogelijk jarenlang zichtbaar in Google en op sociale media. Mensen kunnen best terugkomen na een incident. Maar dan moet een organisatie snel, eerlijk en professioneel reageren. Klanten pas informeren nadat zij zelf zijn opgelicht, zoals bij een deel van de Secureholiday-gebruikers gebeurde, beschadigt het vertrouwen verder.
Wat kan een incident kosten?
Neem een klein restaurant, installatiebedrijf of kapsalon dat drie dagen niet bij afspraken, klantgegevens of e-mail kan. Alleen het omzetverlies kan dan al enkele duizenden euro’s bedragen. Tel daar spoedhulp door een ICT-specialist, onderzoek naar het datalek, juridisch of privacyadvies, herstel van accounts, extra klantcontact en mogelijke terugbetalingen bij op. Een relatief beperkt incident kan zo gemakkelijk €5.000 tot €10.000 kosten. Bij langdurige uitval loopt dit bedrag veel verder op. Dit is een rekenvoorbeeld en geen vast marktgemiddelde. De daadwerkelijke schade hangt af van de omvang van het bedrijf, de getroffen gegevens en de herstelduur. Voor een kleine ondernemer kan zelfs €5.000 al een serieuze aanslag zijn op de financiële reserves. In uitzonderlijke gevallen kan een aanval zelfs het einde van een bedrijf betekenen. Het Britse KNP Logistics raakte na een ransomwareaanval failliet, waarbij ongeveer 730 banen verloren gingen.
Een relatief beperkt incident kan zo gemakkelijk €5.000 tot €10.000 kosten.
Waarom hosting, technisch beheer en monitoring nodig zijn
Een professionele website is de digitale voordeur van jouw organisatie. Klanten en leden moeten erop kunnen vertrouwen dat formulieren, accounts en koppelingen zorgvuldig zijn ingericht. Een mooie website is echter niet automatisch een veilige website. Goede hosting vormt de technische basis. Daar horen veilige verbindingen, stabiele servers, logbestanden en betrouwbare back-ups bij. Technisch beheer zorgt ervoor dat software, plug-ins, accounts en beveiligingsinstellingen actueel blijven. Kwetsbaarheden worden regelmatig pas ontdekt nadat een website al online staat. Zonder onderhoud blijft zo’n zwakke plek bestaan. Monitoring is het alarmsysteem. Het helpt om uitval, verdachte inlogpogingen, onbekende wijzigingen en andere afwijkingen vroeg te ontdekken. Zonder monitoring kan een aanvaller langere tijd actief blijven voordat iemand iets merkt. Geen enkele leverancier kan eerlijk beloven dat een website nooit wordt gehackt. Goede hosting, beheer, monitoring en back-ups verkleinen wel de kans op een incident en zorgen ervoor dat sneller kan worden ingegrepen.
Weet waar jouw gegevens staan
Digitale veiligheid begint met overzicht.
- Welke gegevens verzamel je?
- In welke website, mailbox of SaaS-dienst staan ze?
- Wie kan erbij?
- Wie onderhoudt het systeem?
- En wie handelt wanneer het misgaat?
Bij een datalek moet snel worden onderzocht wat er is gebeurd. Wanneer het incident waarschijnlijk risico’s oplevert voor betrokken personen, geldt in beginsel een meldtermijn van 72 uur bij de Autoriteit Persoonsgegevens. Dat is bijzonder kort wanneer je eerst nog moet uitzoeken waar alle gegevens staan.
BeenThere DoneThat helpt kleine bedrijven, starters, verenigingen en stichtingen met veilige websites, hosting, technisch beheer en monitoring. Niet door onrealistische garanties te geven, maar door risico’s inzichtelijk te maken en de digitale basis goed te organiseren. Want software kun je opnieuw installeren en een website kun je herstellen.
Het vertrouwen van klanten en leden terugwinnen is vaak veel moeilijker.
