Wat te doen bij een datalek hangt af van wat er gelekt is, maar de eerste stappen zijn altijd hetzelfde: ga na welke gegevens zijn gelekt, beveilig je accounts en let extra op nepberichten. Een datalek betekent niet meteen dat jij schade hebt. Wel kunnen criminelen je gegevens gebruiken om je te misleiden.
Hieronder lees je de stappen op volgorde, wat je per soort gegevens doet en waar je terechtkunt als je gegevens al misbruikt worden.
Wat moet je doen bij een datalek?
Bij een datalek ga je eerst na welke gegevens zijn gelekt, daarna beveilig je je accounts en let je extra op. Deze vijf stappen helpen je op weg:
- Vraag na wat er gelekt is. Lees de mail of brief van het bedrijf goed. Staat er niet in welke gegevens het gaat? Vraag het dan na bij het bedrijf zelf, via de website of het nummer dat je al kent.
- Verander je wachtwoord. Doe dit bij het getroffen account en overal waar je hetzelfde wachtwoord gebruikt. Begin bij je e-mail en je bank. Een wachtwoordmanager maakt voor elk account een sterk en uniek wachtwoord en onthoudt het voor je.
- Zet tweestapsverificatie aan. Dan kan iemand met alleen je wachtwoord nog niet inloggen. Lees hoe tweestapsverificatie werkt.
- Let extra op berichten en telefoontjes. Criminelen gebruiken gelekte gegevens om een bericht echt te laten lijken.
- Houd je bankrekening in de gaten. Kijk de komende maanden naar afschrijvingen en incasso's die je niet kent.
Een datalek is het per ongeluk of onrechtmatig vrijkomen van persoonsgegevens. Het bedrijf waar het lek zat, moet het melden. Jij hoeft dat niet te doen.
Hoe weet je of jouw gegevens zijn gelekt?
Of jouw gegevens zijn gelekt, hoor je meestal van het bedrijf zelf. Volgens de Autoriteit Persoonsgegevens zijn organisaties meestal verplicht om slachtoffers te informeren.
Heb je geen bericht gehad, maar vraag je je af: zijn mijn gegevens gelekt? Dan kun je zelf zoeken:
- Check je hack van de politie. Op politie.nl/checkjehack vul je je e-mailadres in om te zien of je e-mail gelekt is. Staat het in een dataset die de politie in beslag heeft genomen, dan krijg je een mail. De politie stuurt in die mail geen links.
- Have I Been Pwned. Op haveibeenpwned.com zie je in welke bekende datalekken je e-mailadres voorkomt. Deze site kijkt vooral naar internationale lekken.
Staat je e-mailadres er niet in? Dan is dat geen garantie dat je niet gehackt bent. Niet elk gelekt bestand komt bij de politie of bij Have I Been Pwned terecht.
Wat moet je doen per soort gelekte gegevens?
Per soort gelekt gegeven verschilt wat je doet: een gelekt wachtwoord verander je direct, een gelekt BSN hoef je niet te vervangen. Zoek in de tabel de gegevens op die in de melding staan.
| Gelekt gegeven | Wat kan een crimineel ermee? | Wat doe je? |
|---|---|---|
| Wachtwoord | Inloggen op je account | Wachtwoord direct veranderen, ook op andere sites met hetzelfde wachtwoord. Zet tweestapsverificatie aan. |
| E-mailadres | Nepmails sturen die op jou gericht zijn | Wees kritisch op mails met links of betaalverzoeken. |
| Telefoonnummer | Nep-sms'jes en nepbellers, bijvoorbeeld iemand die zegt van je bank te zijn | Hang op en bel zelf het nummer dat je kent. |
| Naam, adres en geboortedatum | Berichten die heel persoonlijk lijken | Extra letten op post, mail en bezoek aan de deur. |
| Rekeningnummer (IBAN) | Met alleen een rekeningnummer geen geld van je rekening halen | Controleer je afschrijvingen en incasso's. |
| BSN | Weinig: het BSN zegt niets over jou | Niets veranderen. Je BSN hoeft niet vervangen te worden. |
| Kopie paspoort, ID-kaart of rijbewijs | Proberen iets af te sluiten op jouw naam | Overweeg een nieuw identiteitsbewijs bij je gemeente. |
| Medische gegevens | Je onder druk zetten of beschamen | Ga niet in op dreigberichten, betaal niet en doe aangifte bij de politie. |
Volgens de Rijksdienst voor Identiteitsgegevens is het BSN een "informatieloos" nummer: er staat geen persoonlijke informatie in, zoals je geboortedatum. Is alleen je BSN gelekt, dan is de kans op identiteitsfraude klein. Is er een kopie van je identiteitsbewijs gelekt, dan raadt de RvIG aan om uit voorzorg een nieuw document te overwegen.
Met losse gelekte gegevens kan iemand niet zomaar een lening of telefoonabonnement afsluiten. Daarvoor zijn extra controles nodig, meldt Veiliginternetten. Het gevaar zit vooral in de combinatie van gegevens.
Hoe herken je phishing na een datalek?
Na een datalek sturen criminelen vaak berichten die echt lijken, omdat ze je naam, adres of klantnummer al kennen. Dit heet spearphishing: phishing die op één persoon gericht is. Lees meer over wat phishing is.
Zo'n nepbericht komt via e-mail, sms of WhatsApp. Let vooral op deze signalen:
- Je moet snel iets doen, bijvoorbeeld "binnen 24 uur" betalen of inloggen.
- Je krijgt een link om in te loggen of je gegevens te "controleren".
- Het bericht gaat over een factuur, een betaling of een probleem met je account.
- De afzender verwijst naar het datalek en biedt "hulp" of een vergoeding aan.
Criminelen bellen ook. Bij helpdeskfraude doet een oplichter zich voor als medewerker van een bekend bedrijf of van je bank. Volgens de Fraudehelpdesk kent zo'n beller vaak al je gegevens en soms zelfs je rekeningnummer. De beller vraagt je dan om software te installeren, zodat hij je computer kan overnemen, of om je geld over te maken naar een "veilige rekening". Een bank of overheid vraagt nooit om je pincode of wachtwoord, en vraagt je nooit om geld over te maken.
Twijfel je? Klik niet en bel niet terug op het nummer uit het bericht. Neem zelf contact op met het bedrijf, via de website of het nummer dat je al kent.
Phishing melden: stuur een verdachte e-mail door naar valse-email@fraudehelpdesk.nl, het liefst als bijlage. Een nep-sms, WhatsApp-bericht of telefoontje meld je via het meldformulier van de Fraudehelpdesk.
Wat doe je als je gegevens al misbruikt worden?
Zie je misbruik van je gegevens, neem dan direct contact op met je bank of het juiste meldpunt. Wie je belt, hangt af van wat er gebeurt:
- Geld van je rekening verdwenen: bel direct je bank. Doe ook aangifte bij de politie.
- Onbekende incasso: binnen 8 weken kun je een incasso zonder reden terugboeken via je bank. Daarna kun je een onterechte incasso tot 13 maanden na de afschrijving melden bij je bank.
- Iets afgesloten op jouw naam: meld dit bij het Centraal Meldpunt Identiteitsfraude (CMI) van de RvIG. Als er nog geen misbruik is, hoef je niets te melden bij het CMI.
- Op een link geklikt of gegevens gegeven: verander je wachtwoorden, begin bij je e-mail en je bank. Meld het bij de Fraudehelpdesk via 088 786 73 72.
Heb je recht op schadevergoeding na een datalek?
Je kunt schadevergoeding vragen als je door een datalek schade lijdt, maar je moet die schade zelf aantonen. De Autoriteit Persoonsgegevens noemt drie voorwaarden:
- Het bedrijf heeft de privacywet AVG overtreden.
- Jij hebt schade geleden.
- Die schade komt door de overtreding.
Het gaat om geldschade, maar ook om schade die niet in geld is uit te drukken (immateriële schade), bijvoorbeeld als je goede naam is geschaad. Een datalek betekent niet automatisch dat het bedrijf fout zat. De Autoriteit Persoonsgegevens beslist niet over schadevergoeding. Dat doet de rechter. Bij een bedrag tot €25.000 kun je naar de kantonrechter, zonder advocaat.
Bij grote datalekken starten stichtingen soms een massaclaim. Je meldt je dan aan bij die stichting. Er is geen vast bedrag dat je krijgt; dat hangt af van de uitkomst van de zaak.
Veelgestelde vragen over wat te doen bij een datalek
Na een datalek lopen veel mensen tegen dezelfde vragen aan: kan iemand geld van mijn rekening halen, moet ik zelf iets melden, heb ik een nieuw paspoort nodig, moet ik opzeggen en hoe lang moet ik opletten? De korte antwoorden staan hieronder.
Kunnen hackers zomaar geld van je rekening halen?
Met alleen je rekeningnummer kunnen criminelen geen geld van je rekening halen. Daarvoor hebben ze je inloggegevens nodig, of moet jij zelf het geld overmaken. Daarom proberen ze je vaak over te halen, bijvoorbeeld met een telefoontje van een nepbankmedewerker die vraagt je geld naar een "veilige rekening" over te maken. Maak nooit geld over op verzoek van iemand die jou belt.
Moet je zelf een datalek melden?
Nee, het bedrijf waar het lek zat moet het datalek melden bij de Autoriteit Persoonsgegevens, niet jij. Dat moet binnen 72 uur nadat het bedrijf het lek ontdekt. Lees meer over datalek melden.
Moet je een nieuw paspoort aanvragen na een datalek?
Een nieuw paspoort of ID-kaart is alleen zinvol als er een kopie of de gegevens van je identiteitsbewijs zijn gelekt. Is alleen je BSN gelekt, dan hoeft het niet. Een nieuw document vraag je aan bij je gemeente.
Moet je je abonnement opzeggen na een datalek?
Dat hoeft niet: opzeggen haalt je gelekte gegevens niet terug, want de gegevens zijn al buiten het bedrijf. Opzeggen kan wel als je het bedrijf niet meer vertrouwt. Na het opzeggen kun je het bedrijf vragen je gegevens te wissen. Dat recht staat in artikel 17 van de AVG. Gegevens die het bedrijf wettelijk moet bewaren, bijvoorbeeld voor de administratie, mag het houden.
Hoe lang moet je alert blijven na een datalek?
Gelekte gegevens kunnen jaren later nog misbruikt worden, dus blijf ook na de eerste maanden alert. Volgens Veiliginternetten blijft het risico meerdere jaren bestaan. Wees vooral kritisch als een bericht verwijst naar het bedrijf waar het lek zat.