Een datalekmelding lezen: wat formuleringen over de omvang, wachtwoord-hashes en timing werkelijk verraden
Een datalekmelding is een vreemd genre: geschreven door advocaten, gepubliceerd onder regelgevingsdruk, ontworpen om zo weinig mogelijk te bevestigen. Toen Marks & Spencer klanten in mei 2025 mededeelde dat bij de aanval, die de webshop al weken gesloten hield, enkele persoonlijke klantgegevens waren meegenomen, zat er meer informatie in die zin dan de lengte ervan doet vermoeden. Elke melding beantwoordt drie vragen: hoe ver de indringing reikte, hoe bruikbaar de gestolen gegevens zijn en hoe lang de organisatie het al weet.
Taal over de omvang: de werkwoorden vertellen het verhaal
Het meest informatieve woord in elke melding is het werkwoord. Een onbevoegde partij zou toegang kunnen hebben gehad betekent dat het onderzoek nog niets heeft bevestigd. Gegevens zijn gekopieerd of geëxfiltreerd betekent dat forensisch onderzoek gegevensverkeer zag. Toezichthouders dekken zich op dezelfde manier in: de Californische wet treedt in werking wanneer onversleutelde persoonsgegevens zijn verkregen — of er redelijke grond is om aan te nemen dat die zijn verkregen — door een onbevoegde persoon. Die kloof tussen bewijs en aanname is precies waar de meeste meldingen leven.Californië vereist melding wanneer onversleutelde persoonsgegevens "zijn verkregen, of redelijkerwijs als verkregen worden beschouwd, door een onbevoegde persoon" (Office of the Attorney General).Het woord datalek zelf rekt verder dan mensen denken. Have I Been Pwned definieert het als een incident waarbij gegevens onopzettelijk openbaar worden in een kwetsbaar systeem, meestal door ontoereikende toegangscontroles; geen inbraak nodig. Dezelfde FAQ scheidt ongeverifieerde datalekken, waarbij de gegevens echt lijken maar de echtheid niet kon worden vastgesteld, van gefabriceerde lekken, samengesteld uit andere bronnen. Ook de omvang groeit. Zacks kondigde in december 2022 een datalek aan waarover vroege berichten het over 820.000 klanten hadden; in juni 2023 verscheen een corpus van bijna 9 miljoen accounts op een hackersforum; in februari 2025 publiceerde een cybercrimineel een dataset van naar verluidt 12 miljoen records. Geen enkele melding van het bedrijf bevestigde ooit de grotere cijfers. Beschouw het eerste getal als een ondergrens, niet als een feit.
De wachtwoordzin bepaalt hoe snel je handelt
Als wachtwoorden betrokken zijn, is het opslagformaat de urgentieknop. Hashes beschermd door bcrypt, scrypt of Argon2 zijn opzettelijk traag te raden; bij verstandige work factors zoeken de meeste aanvallers een makkelijker doelwit. Ongezouten MD5, SHA-1 of één keer SHA-256 valt op consumentenvideokaarten met miljarden pogingen per seconde. Platte tekst hoeft helemaal niet gekraakt te worden. De Zacks-corpus is het schoolvoorbeeld: ongezouten SHA-256-hashes, terwijl het bedrijf klanten had gerustgesteld dat aanvallers toegang kregen tot versleutelde wachtwoorden, maar alleen in versleuteld formaat. Versleuteld is een geliefd corporatiewoord. Gezouten is het woord dat jou beschermt. Als een leak-aankondiging platte tekst claimt, behandel die als het catastrofale geval en vraag je tegelijk af of de aankondiging zelf overeind staat. De vermeende dump van 47,9 miljoen records van de Koreaanse bezorgapp FLY, die we in augustus behandelden, claimde wachtwoorden in platte tekst en actieve betaalsleutels en bleef bij publicatie ongeverifieerd. Ongeverifieerd betekent niet onschadelijk; het betekent onbewezen, en Have I Been Pwned stelt het bot: afwezigheid van bewijs is geen bewijs van afwezigheid. In beide gevallen: ga uit van een gecompromitteerd wachtwoord en vervang het overal waar het hergebruikt was.Wat betaalgegevens betekenen en wat niet
Betaalinformatie was betrokken klinkt alarmerend en is dat vaak niet. De uitdrukking dekt alles, van volledige kaartnummers met CVV, direct gevaarlijk, tot gemaskeerde of afgekorte cijfers waarmee niets kan worden afgeschreven. Winkiers bewaren vaak nooit het volledige nummer; dat doen betaalverwerkers. Toen M&S bevestigde dat klantgegevens waren meegenomen, meldde het dat de gegevens geen bruikbare betaal- of kaartgegevens bevatten, omdat het bedrijf die niet bewaart op de getroffen systemen, en ook geen accountwachtwoorden. Anders gelezen: contactgegevens en bestelgeschiedenis waren weg, brandstof voor overtuigende phishing in plaats van kaartfraude. Pas je reactie aan op de gegevensklasse, niet op het woord betaling.Waarom de melding weken te laat komt
De kloof tussen ontdekking en openbaarmaking is structureel, niet noodzakelijk verhulling. Forensisch onderzoek kost tijd, de omvang groeit naarmate logs worden gelezen, en toezichthouders zetten er hun eigen klokken bovenop. De Britse ICO verplicht organisaties haar zo snel mogelijk en, waar haalbaar, binnen 72 uur na bekendheid te informeren, met details later. Californië verplicht een voorbeeldexemplaar van elke klantmelding aan meer dan 500 inwoners bij de staat in te dienen; daarmee wordt die database een openbaar archief van echte meldingen. De incidentresponsiegids van NIST, bijgewerkt in april 2025, behandelt indamming, bewijsbewaring en gecoördineerd herstel als één opzettelijk traag proces. M&S hield de webshop al meer dan drie weken gesloten toen op 13 mei werd bevestigd dat klantgegevens waren meegenomen. De stilte was de afstand tussen vermoeden en iets dat een bedrijf op schrift kan stellen.Wat eerst doen en wat negeren
Het eerste uur na een relevante melding telt zwaarder dan de compensatiebon. In volgorde:- Zet een uniek wachtwoord op het getroffen account en verander het overal waar het oude hergebruikt was.
- Dwing sessies af te lopen: een wachtwoordwijziging doet dat meestal, maar trek ook gekoppelde aanmeldingen en API-tokens in waar dat aangeboden wordt.
- Zet multi-factorauthenticatie aan zolang je nog ingelogd bent.
- Volg de gegevensklasse: volledige kaartnummers betekent let op je bank, niet op de winkier; contactgegevens betekent reken op phishing die je bestelgeschiedenis citeert.