Risico's datalek sportclubs groter dan je denkt: "Niet zomaar een accountje"

In dit artikel:

Sportverenigingen in Noord-Holland waarschuwen hun leden na een datalek bij AllUnited, het bedrijf dat voor veel clubs en sportbonden de ledenadministratie verzorgt. Cybercriminelen drongen maandagavond binnen; AllUnited ontdekte het lek dinsdag en heeft het inmiddels gedicht. Daarbij zijn onder meer persoonsgegevens, rekeningnummers en inloggegevens van AllUnited-accounts gestolen.

De verenigingen vrezen dat criminelen de informatie gebruiken voor gerichte phishing. Zij kunnen zich bijvoorbeeld voordoen als de club en leden benaderen met verzoeken om contributie, boetes of andere betalingen. A.V. Edam benadrukt dat de club zelf nooit betaallinks per e-mail verstuurt. Tennis- en Padelvereniging Badhoevedorp adviseert leden hun bankrekening te controleren en onbekende incasso’s terug te draaien. Bij A.V. Startbaan moeten alle leden een nieuw wachtwoord instellen.

Cybersecurity-experts Kevin van den Eshof van Tozetta Ethical Hacking en Arnoud Bruinsma van BSM Cyber Security noemen het lek ernstig. Losse gegevens kunnen samen een uitgebreid profiel vormen, waarmee criminelen later ook toegang tot andere accounts kunnen proberen te krijgen of geld en identiteitsdocumenten kunnen buitmaken. De gegevens kunnen bovendien worden doorverkocht en nog jaren misbruikt worden.

Leden krijgen het advies om wachtwoorden te wijzigen, zeker wanneer die ook elders worden gebruikt, en waar mogelijk tweestapsverificatie in te schakelen. Ze moeten verdachte links en berichten kritisch beoordelen, geen kopieën van identiteitsbewijzen opsturen en bij twijfel rechtstreeks contact opnemen met hun vereniging.

Volgens AllUnited kwam de aanvaller waarschijnlijk binnen via een onvoldoende beveiligd inschrijfformulier op de website van een sportclub. Via kwaadaardige code kreeg de aanvaller toegang tot de achterliggende database. Volgens de woordvoerder is vanuit de betrokken verenigingen nog geen misbruik van de gestolen gegevens gemeld.