Bedrijven massaal gehackt, consument maakt het weinig uit: 'We zijn datalekmoe'

Betalen, anders belanden je klantgegevens op het dark web. Met die dreiging zetten de hackers achter de aanval op thuisbezorgdienst Flink vorige week klanten onder druk. Hun inzet: per persoon 10 tot 15 euro aan cryptogeld, samen goed voor een gehoopte opbrengst van meer dan twee ton. Het resultaat: niemand betaalde. De schrik voor een datalek lijkt bij veel consumenten flink afgesleten.

Cybersecurity-expert Paul Pols ziet vooral vermoeidheid rond gestolen persoonsgegevens. Veel mensen rekenen er inmiddels op dat hun informatie ergens uitlekt, of nemen aan dat dat allang is gebeurd. Consumentenpsycholoog Patrick Wessels herkent die houding: berichten over hacks blijven voorbijkomen, terwijl mensen zelf vaak weinig directe gevolgen merken. Dan voelt ingrijpen niet dringend. Toch is schouders ophalen te makkelijk, waarschuwt Rejo Zenger van digitale burgerrechtenorganisatie Bits of Freedom. Voor mensen die bijvoorbeeld met huiselijk geweld te maken hebben, kan een openbaar geworden telefoonnummer of e-mailadres juist ernstige gevolgen hebben. Wat voor de één een vervelende melding is, raakt voor de ander aan persoonlijke veiligheid.

Flink is ondertussen bepaald niet het enige doelwit. Dit jaar werden al tientallen grote organisaties gehackt, waarbij honderdduizenden klantgegevens zijn gestolen. Ook drogisterijketen DA, reisapp Polarsteps en de logistieke partner van Bol en de Bijenkorf kregen onlangs een cyberaanval te verwerken. Bij Flink kozen de daders volgens de bron voor een nieuwe aanpak: voor het eerst benaderden hackers individuele klanten rechtstreeks. Experts adviseerden om niet op de betaalverzoeken in te gaan. Ook na betaling heb je namelijk geen garantie dat de criminelen je gegevens echt wissen.

Dat Nederlanders de risico’s kennen, betekent bovendien niet dat ze hun gedrag aanpassen. Het meest recente onderzoek van Alert Online, dat jaarlijks voor het ministerie van Economische Zaken de digitale weerbaarheid onderzoekt, laat die kloof zien. Mensen weten doorgaans hoe ze zichzelf online kunnen beschermen. Maar vraagt dat meer inspanning dan opletten, dan zakt de motivatie. Wessels wijst op twee mechanismen: mensen denken dat problemen vooral anderen treffen, en mogelijke schade ligt vaak verder in de toekomst. Het risico is bekend, maar voelt niet dichtbij genoeg om meteen iets te veranderen.

Pols verwacht daarom weinig succes van rechtstreekse afpersing van consumenten: wie nauwelijks schrikt van uitgelekte persoonsgegevens, trekt ook niet snel de portemonnee. Eerder zetten hackers vooral bedrijven klem met ransomware, waarbij systemen worden geblokkeerd en betaling wordt geëist om weer toegang te krijgen. Geld blijft volgens hem het doel; publiciteit en reputatieschade zijn extra drukmiddelen. Voor consumenten blijft vooral belangrijk wát er is gestolen. Controleer dat bij een melding over een datalek, adviseert Pols. Een gelekt rijbewijsnummer of gelekte bankgegevens vragen nadrukkelijk aandacht vanwege identiteitsfraude. Bij een gestolen rijbewijsnummer zou hij zelf een nieuw rijbewijs aanvragen. Gebruik daarnaast voor verschillende accounts unieke combinaties van gebruikersnaam en wachtwoord. Zo voorkom je dat één buitgemaakte combinatie ook elders toegang geeft.