De Autoriteit Persoonsgegevens (AP) meet opnieuw een explosieve toename van het aantal meldingen van datalekken veroorzaakt door cyberaanvallen. Dit aantal is in 2021 bijna verdubbeld ten opzichte van het jaar daarvoor.

In totaal kreeg de AP vorig jaar bijna 25.000 datalekmeldingen. Hiervan is 9 procent ontstaan door cyberaanvallen. Vorig jaar was dat 5 procent. Dat blijkt uit de ‘Rapportage Datalekken 2021’ die AP-voorzitter Aleid Wolfsen vandaag, op de verjaardag van de Algemene Verordening Gegevensbescherming (AVG), naar de Tweede Kamer heeft gestuurd. De AVG is sinds 25 mei 2018 van toepassing.

IT-leveranciers gewild doelwit Wolfsen: “Vorig jaar luidden wij de noodklok al toen het aantal datalekken door datadiefstal met dertig procent was toegenomen. Maar in onze meest recente meting ging het aantal van dit soort meldingen door het dak en steeg met 88 procent, dus bijna het dubbele.” Wolfsen merkt op dat criminelen zich steeds vaker richten op IT-leveranciers. “Die leveren bijvoorbeeld op maat gemaakte software, digitale werkplekken of opslagruimte aan organisaties. Er zijn bij die leveranciers heel veel persoonsgegevens van meerdere organisaties op één plek, waardoor zij een gewild doelwit zijn.”

Vergroten van de schade
De AP ziet vaak dat getroffen organisaties dan eerst de systemen herstellen. En pas veel later de mensen achter de persoonsgegevens op de hoogte brengen. Waardoor de schade nóg groter kan worden, omdat de slachtoffers zichzelf dan ook pas veel later kunnen beschermen tegen de gevolgen. Op basis van de datalekmeldingen schat de AP in dat cyberaanvallen bij IT-leveranciers het afgelopen jaar minimaal 7 miljoen slachtoffers hebben gemaakt. Met grote risico’s, ook als er alleen namen en e-mailadressen zijn buitgemaakt. Gestolen persoonsgegevens kunnen in combinatie met eerder gelekte informatie gebruikt worden om toegang te krijgen tot gebruikersaccounts bij bijvoorbeeld banken of webshops. Wolfsen: “Dit soort gegevens kunnen criminelen ook misbruiken om heel gericht nieuwe spam- en phishingaanvallen uit te voeren. Waarna zij makkelijk spullen op iemands naam en rekening kunnen bestellen of bankrekeningen kunnen leeghalen.”

Onnodig verzameld
Bij cyberaanvallen wordt bovendien nog vaak data buitgemaakt die organisaties onnodig verzameld of te lang bewaard hebben. Wolfsen: “Organisaties zouden veel kritischer moeten zijn op de hoeveelheid persoonsgegevens die ze bijhouden. Wat je niet opslaat, kan ook niet worden gestolen. Veel schade kun je zo gemakkelijk voorkomen.” Het afgelopen jaar zag de AP bij 7.000 datalekmeldingen een hoog risico. Naar 36 hiervan is de AP een onderzoek gestart, waarvan 14 gericht op IT-leveranciers. Wolfsen: “Het is met ons budget en onze bezetting onmogelijk om iedere melding met een hoog risico grondig te onderzoeken. We zijn genoodzaakt om keuzes te maken.”