Privacywaakhond ziet explosieve toename hacks en datadiefstal

De Autoriteit Persoonsgegevens (AP) meet een explosieve toename van het aantal hacks, gericht op het buitmaken van persoonsgegevens. Het aantal meldingen steeg in 2020 met maar liefst 30 procent ten opzichte van vorig jaar. Dat blijkt uit de ‘Rapportage Datalekken 2020’.
Steeds vaker krijgt de AP meldingen van hacking, phishing of malware. Dat persoonsgegevens steeds vaker het doelwit zijn van criminelen is zeer verontrustend. Want door diefstal van persoonlijke – en vaak gevoelige – informatie kunnen mensen veel schade ondervinden. Bijvoorbeeld als criminelen de persoonsgegevens gebruiken voor identiteitsfraude of oplichting. Dergelijke oplichting kan mensen jarenlang achtervolgen en de schade kan tot in de duizenden euro’s lopen. Mensen kunnen zo al hun spaargeld kwijtraken.
Hackers
Criminelen gaan volgens de privacywaakhond zeer geraffineerd te werk. Ze richten zich vooral op organisaties die veel persoonsgegevens verwerken. Steeds vaker ontstaat daar een datalek nadat criminele hackers al langere tijd in het netwerk aanwezig zijn. De criminelen gebruiken deze tijd om het netwerk van de organisatie te verkennen en in kaart te brengen. Ze proberen om meer bevoegdheden te krijgen in het netwerk, bijvoorbeeld door ‘systeembeheerders-rechten’ te verwerven, waarna persoonsgegevens gestolen worden of er een ransomware-aanval wordt uitgevoerd.
Opnieuw stijging
In 2020 ontving de AP maar liefst 1.173 meldingen van dergelijke datalekken, waarbij hacking, malware of phishing werd ingezet om persoonsgegevens te stelen. Dit is een stijging van 30 procent ten opzichte van 2019. Ook in 2019 nam dit soort meldingen al met 25 procent toe. Door een tekort aan personeel en budget zegt de AP slechts bij een beperkt deel van de gemelde datalekken in actie te kunnen komen.
Betere beveiliging
Datadiefstal is volgens de AP vaak te voorkomen door betere beveiliging. Naar schatting werden er in 2020 tussen de 600.000 en 2.000.000 personen getroffen door een datalek in systemen waarvoor slechts één stap nodig was om in te loggen. Ook zijn complete systemen vaak beveiligd met slechts één wachtwoord. Vooral bij datalekken door hacking, malware of phishing had ‘meerfactorauthenticatie’ de schade vaak kunnen beperken of voorkomen. Bij meerfactorauthenticatie moet een persoon of systeem op minimaal twee verschillende manieren inloggen om toegang te krijgen. Bijvoorbeeld met een wachtwoord én met een code die per sms wordt ontvangen.
Minder datalekmeldingen
Wolfsen: “Mensen vertrouwen hun persoonsgegevens toe aan organisaties, ervan uitgaande dat die er zorgvuldig mee omgaan. Helaas is dat niet altijd het geval en had groot leed gemakkelijk voorkomen kunnen worden met goede beveiliging. Meerfactorauthenticatie is een heel eenvoudige beveiligingsmaatregel die verplicht is bij de verwerking van gevoelige persoonsgegevens, maar die organisaties eigenlijk overal standaard zouden moeten doorvoeren. Dat zou veel leed kunnen voorkomen.”
Behalve de explosieve groei van het aantal datadiefstallen bij datalekken, is het totaal aantal datalekmeldingen (24.000) gedaald ten opzichte van 2019 (27.000). Dit aantal bestaat vooral uit incidenten zonder kwade opzet. De daling (11 procent) komt doordat incassobureaus hun werkwijze hebben verbeterd, waardoor er minder betalingsherinneringen bij verkeerde ontvangers terechtgekomen.