De Portugese postdienst CTT staat in Have I Been Pwned na publicatie van pakketdata op een hackforum.
CTT verscheen op 19 mei 2026 in Have I Been Pwned met 468.000 unieke e-mailadressen en klantgegevens van de Portugese postdienst. De dataset zou vorige maand op een hackforum zijn gezet en bevatte ook namen, telefoonnummers en pakketnummers.
New breach: Data allegedly taken from CTT, Portugal’s postal service, appeared on a hacking forum last month. It contained 468k unique email addresses, along with name, phone number and parcel tracking number. 55% were already in @haveibeenpwned. More: https://t.co/8qusIrlSep
— Have I Been Pwned (@haveibeenpwned) May 19, 2026
Dit lek valt vooral op door de koppeling met postpakketten. Een e-mailadres en telefoonnummer zijn op zichzelf al bruikbaar, maar een pakketnummer geeft een bericht direct een herkenbare context. Ook het percentage bekende adressen is dubbel: 55 procent stond al in de database, maar bijna de helft is dus nieuw zichtbaar geworden.
Pakketnummers geven aanvallen timing
Een pakketnummer is geen wachtwoord, maar wel een sterk aanknopingspunt. Wie een naam, telefoonnummer en trackingnummer combineert, kan een bericht sturen dat lijkt te gaan over een echte zending. Dat maakt vooral sms-berichten of e-mails over invoerrechten, bezorgkosten of een mislukte levering lastig te herkennen.
Voor CTT is dat extra gevoelig omdat het bedrijf juist een vertrouwde rol heeft in het dagelijks verkeer van pakketjes en post. Ontvangers kijken vaak snel naar bezorgberichten, zeker als er al een pakket onderweg is. Een vals bericht hoeft dan niet veel gegevens te raden: het kan aansluiten op informatie die in de dataset zou staan.
Bijna de helft is nieuw
De vermelding van 55 procent bestaande adressen laat zien dat veel betrokkenen al eerder in andere datalekken voorkwamen. Dat maakt deze publicatie niet onbelangrijker. De nieuwe waarde zit in de combinatie met postgegevens, en in de groep van ongeveer 45 procent adressen die nog niet eerder in Have I Been Pwned voorkwam.
Voor die nieuwe groep kan dit de eerste keer zijn dat hun e-mailadres in een bekende lekdatabase opduikt. Zij krijgen mogelijk waarschuwingen of controles te zien die voorheen geen resultaat gaven. Voor de rest verandert vooral het profiel rond hun adres: niet alleen dat het adres bestaat, maar ook dat het aan een pakketcontact bij CTT kan hangen.
Belangrijke oorzaak blijft buiten beeld
Onduidelijk is nog hoe de gegevens bij CTT zijn buitgemaakt. De bron noemt geen aanvalsmethode, geen dadergroep en geen bevestiging van het bedrijf zelf. Daardoor blijft een belangrijk verschil open: kwam de data uit een intern systeem, een klantportaal, een leverancier of een losse export die later online is gezet?
Dat onderscheid bepaalt welke vragen nu het belangrijkst zijn. Als de gegevens uit een live systeem kwamen, moet duidelijk worden of toegang is afgesloten. Als het om een oude kopie gaat, is vooral relevant hoe lang pakketgegevens werden bewaard. Voor klanten is het ondertussen verstandig om berichten over CTT-zendingen extra te controleren via de officiële kanalen van het postbedrijf.
