We slaan steeds meer data digitaal op en vertrouwen bedrijven onze meest persoonlijke informatie toe, maar dat gaat niet altijd goed. Zo was er onlangs een datalek bij Facebook, Google+, British Airways en Tomorrowland.

Hoe bescherm je jezelf tegen een datalek? Daarover hadden we het met Stan Hegt in onze livestream, die je hier terug kan kijken.

Wat is een datalek?

'Bij een datalek zijn gegevens van jou, mij of iemand anders op straat komen liggen. Dat kan komen doordat iemand per ongeluk gegevens online zet, maar meestal komt het omdat gegevens van jou, mij of iemand anders bij een bepaalde website gehackt zijn. De hacker besluit dan om die gegevens online te zetten.'

Wie kunnen daar dan bij?

'Dat hangt natuurlijk af van waar het online gezet wordt. Het kan zijn dat een hacker besluit om het alleen met zijn hackervrienden te delen. Het kan ook voorkomen dat een hacker het op een besloten forum plaatst en alleen deelt met een groep mensen die hij kent. Het komt veel voor dat een hacker besluit om die gegevens open en bloot op internet te plaatsen, zodat ze voor iedereen toegankelijk zijn. Waarom dat gebeurt, kan verschillende redenen hebben. Zo kan het zijn dat de hacker stoer wil doen. Hij kan het ook doen als een stukje marketing voor zichzelf. ‘Kijk eens wat ik heb kunnen hacken.''

Zijn dat dan gegevens zoals je adres of bankrekeningnummer?

'Nou, je moet eens nagaan welke gegevens je invult bij een gemiddelde website. Vaak gaat het om een e-mailadres, wachtwoord en gebruikersnaam. Bij sommige websites moet je ook je adresgegevens invullen. Soms gaat het zelfs om betaalgegevens, zoals je creditcard. Al die informatie wordt opgeslagen op een website. Als die site zijn beveiliging niet op orde heeft en een hacker daar kan binnendringen, kan hij besluiten om die gegevens online te zetten. Dan heb je dus een datalek.

Is er altijd sprake van cybercrime?

'Nee, maar vaak wel. Het kan ook voorkomen dat een medewerker van een bedrijf of overheidsinstantie per ongeluk een bestand met persoonsgegevens naar de verkeerde instelling of persoon stuurt. Dat lees je nog wel eens in het nieuws. Meestal is het zo dat er toch ergens gehackt is, de hacker de gegevens online heeft geplaatst en daar misbruik van gemaakt kan worden.'
Dit weekend was er een datalek bij Tomorrowland waarbij de gegevens van 64.000 mensen die in 2014 het festival hebben bezocht, zijn gelekt. Is het zo erg dat hackers weten dat je bij een feestje bent geweest?

'Het gaat de hackers niet om op welk feestje jij bent geweest, maar om de informatie die gelekt is. Die kan weer op andere plaatsen misbruikt worden. Zo kunnen hackers uit gaan zoeken of je hetzelfde wachtwoord gebruikt op verschillende websites. Ze kunnen jouw e-mailadres ook misbruiken om bijvoorbeeld phishingberichten te sturen of berichten met een kwaadaardige bijlage om je computer te openen. Aan zulke dingen moet je denken. Het misbruik vindt dus niet alleen plaats bij Tomorrowland. De hackers stelen een hele schatkist aan informatie en vervolgens wordt er gekeken wat ze er mee kunnen en waar ze dit kunnen gebruiken.'

Wat als ik een van die slachtoffers ben?

'Dan is het natuurlijk als eerste heel vervelend dat jouw gegevens gehackt zijn. Het is goed om te beseffen wat een hacker kan met die gegevens. Het belangrijkste gegeven is jouw wachtwoord. Gebruik je die ook op belangrijke plaatsen, zoals je e-mail, je DigiD of internetbankieren? Dan moet je er echt voor gaan zorgen dat je je wachtwoord verandert.'

Wordt er altijd misbruik gemaakt van gegevens als er een lek is?

Kijk, als er een kwetsbaarheid is (een website kan gehackt worden en een hacker kan bij gegevens) heel veel hackers zijn goedaardig met de beste bedoelingen en die doen vervolgens een melding bij zo'n organisatie en geeft de tip om het lek te dichten. Dat gebeurt heel veel, maar er zijn natuurlijk ook kwaadaardige hackers. Die kunnen besluiten om de gegevens online te zetten. Zodra dit gebeurt zien we dat er op groot schaal misbruik gemaakt wordt. Er zijn gewoon webwinkels die zich specialiseren in dit soort gelekte data. Een van de grootste websites op dit gebied heeft zo'n 5,6 miljard e-mailadressen met bijbehorende wachtwoorden en andere gegevens. Op die website kun je voor 25 dollar per maand onbeperkt zoeken in die data. Het is een soort Google voor wachtwoorden.

Heeft aangifte doen zin? En waarom is dat vaak zo moeilijk?

'Aangifte doen is in ieder geval belangrijk en dat heeft te maken met hoe ons rechtssysteem werkt. Het is niet zo dat als er van jou of mij een wachtwoord gestolen is, dat het meteen de hoogste prioriteit heeft. Er zijn waarschijnlijk belangrijkere zaken. Als jouw wachtwoord of andere gegevens aantoonbaar misbruikt zijn, krijgt de zaak meer prioriteit. Ook als de zaak uiteindelijk niet opgepakt wordt, is aangifte belangrijk. Waarom? Alle aangiftes komen bij de Officier van Justitie terecht en die kan zien hoe groot het probleem is en of er bijvoorbeeld meer capaciteit vrijgemaakt moet worden voor dit probleem. Daar ben jij niet mee geholpen, maar toekomstige slachtoffers wel.'
Vinden datalekken altijd bij organisaties plaats of kan het ons ook overkomen?

'Het overgrote deel van de informatie komt van gehackte websites en bedrijven. Dat is echter niet de enige bron. Ik gaf net al aan dat het ook voor kan komen dat een medewerker een foutje maakt. Wat óók wel eens gebeurt, en dat betekent dat het inderdaad ook bij onszelf kan gebeuren, is dat we op een verkeerde link in een mailtje klikken, illegale software hebben gedownload of een verkeerde bijlage hebben geopend. Zo komt er kwaadaardige software op je computer: malware. Dit is een kwaadaardig programma dat op je computer meedraait en alles opslaat wat jij intypt, zoals je creditcardgegevens en wachtwoorden. Dat zien we echter niet op grote schaal.'

Kun je zelf iets doen om datalekken te voorkomen?

'We gaan natuurlijk niet over de beveiliging van websites, dus daar kunnen we weinig aan doen. Wat we wel kunnen doen is de impact voorkomen als onze data bij een bepaalde website gehackt wordt. Wat kan een hacker daarmee? Dan gaat het met name om wachtwoorden. Een hacker hoopt dat wanneer hij een wachtwoord van jou vindt, je dat wachtwoord ook op andere websites gebruikt. Hij heeft daar gewoon programma's voor die hij een dag kan laten lopen en daarmee probeert hij het gehackte wachtwoord op andere websites uit. Dat is allemaal geautomatiseerd.Wat je dus kan doen is er voor zorgen dat je wachtwoord niet bruikbaar is voor die hacker. Dat kun je doen door je wachtwoord niet te hergebruiken. Dat is voor veel mensen lastig, om veel verschillende wachtwoorden te onthouden. Daar heb je wachtwoordmanagers voor. Die houden op je computer je wachtwoord op een veilige manier beveiligen. Die zijn natuurlijk ook niet honderd procent veilig, maar wel een stuk veiliger dan een wachtwoord voor alle websites gebruiken. Wat nog beter is, is tweestapsverificatie. Voor al jouw belangrijke websites kan je instellen dat je niet alleen met een wachtwoord inlogt, maar ook een code ontvangt op je telefoon. Als je wachtwoord dan voorkomt in een datalek, kan die niet misbruikt worden op belangrijke plaatsen. De hacker heeft dan jouw tweede code nodig die op je telefoon binnenkomt. Facebook en Google bieden deze dienst gratis aan. Weet je niet hoe je dit moet instellen? Dan kan je kijken op veiliginternetten.nl'

Wat kan je doen als je gegevens gelekt zijn?

'Het eerste wat je moet doen is checken of je gegevens inderdaad gelekt zijn. Dit kan op haveibeenpwnd.com. Die website heeft alle grote datalekken van de afgelopen jaren in kaart gebracht. Het is niet zo dat je kan zoeken naar een e-mailadres en dan gelijk gegevens vindt, maar je kan zien je gegevens al op straat liggen of niet. Als dat wel zo is, moet je direct actie ondernemen.Ook als je er niet in voorkomt, is de kans heel groot dat ergens in de toekomst wel een keer een website gehackt wordt waar je een wachtwoord hebt. Als je bij vijftig of zestig websites een wachtwoord hebt, is het gewoon een kwestie van de grote getallen: een paar van de sites hebben hun beveiliging niet op orde. Een hacker komt er binnen en zet die gegevens dan online. Bereid je voor op het feit dat ergens van jou wel eens data gaat lekken. Nogmaals: voorkom wachtwoordhergebruik en gebruik tweestapsverificatie.'