Datalek

Apollo Global Management bevestigt dat aanvallers tussen 6 en 10 juli via social engineering in zijn cloudplatforms zaten en persoonsgegevens stalen, waaronder huisadressen en sofinummers. De eerste bevestigde buit uit de afpersgolf tegen financiële partijen.

Alation bevestigt een cyberaanval op een van zijn systemen, twee dagen na een storing bij klanten. Aanvalsmethode en aantallen ontbreken, terwijl de catalogus de weg wijst naar alle data van een organisatie.

CareCloud stelde het aantal getroffenen van zijn maartlek bij van ongeveer 350.000 naar 3.756.469. De Amerikaanse toezichthouder registreert het bedrijf als verwerker, en dat verplaatst de meldplicht naar zijn klanten.

CEVA meldt huidig en oud-personeel dat ook hun burgerservicenummers en salarisgegevens zijn gekopieerd, en bol mailde woensdag een grotere groep klanten. Drie weken na de inbraak groeit de omvang van dit ketenlek nog steeds.

Een verkoper biedt 3,6 miljoen medewerkersgegevens aan uit de Azure-omgevingen van negen grote bedrijven, opgehaald met gestolen inloggegevens. Niet Azure is gehackt, maar de standaardrechten in Entra maken één account genoeg voor de hele adreslijst.

Twee weken na de inbraak bij CEVA kan bol nog altijd geen datum noemen waarop het distributiecentrum aan de Veerweg hervat. About You bevestigt intussen dat ook zijn magazijnwerk is geraakt.

Have I Been Pwned bevestigt 1,6 miljoen accounts in het gelekte RingCentral-archief, met namen, telefoonnummers en adressen. Wat een Nederlandse afnemer nu moet nalopen in zijn verwerkersregister en zijn meldplicht.

Een framework van samenwerkende AI-agents kraakte in vier dagen 85 accounts bij de Taiwanese overheid en stal 2.564 personeelsdossiers. De gaten waren alledaags: open API's, debug-endpoints in productie en wachtwoorden uit personeelsnummers.

Hudson Rock kreeg het buitgemaakte archief van de LiteLLM-aanval in handen en koppelt 118.829 gedumpte CI/CD-runners aan 2.488 bedrijfsdomeinen. Op de slachtofferlijsten staan ook Philips en TomTom.

Drukkerijbedrijf Simian bevestigt dat bij een datalek ook creditcardgegevens van een kleine groep klanten zijn buitgemaakt. Drukland, Reclameland en Flyerzone zijn alle drie geraakt en het lek ontstond bij een externe dienstverlener.

Het aanmeldformulier van Klaviyo stuurde wachtwoorden en bedrijfsgegevens van nieuwe klanten naar 31 externe hostnamen, vond onderzoeksbureau Melurna. Een tweede fout stuurde klantprofielen van webshops door naar Sift, Gainsight en Google Analytics.

LexisNexis bouwt de systemen achter Nexis Diligence, de Metabase API en Newsdesk opnieuw op in een nieuwe omgeving na verdachte activiteit bij een externe leverancier. Voor Wwft-plichtige instellingen stokt daarmee de klantacceptatie.

Bestel je vandaag bij De Bijenkorf, dan komt het pakket pas vanaf 4 september. De bezorgbelofte schoof in vijf dagen ruim twee weken verder op, terwijl CEVA nog altijd zwijgt over het herstel.

Een zeroday met de maximale CVSS-score van 10.0 in analysetool Metabase legde de klantgegevens van laptopmaker Framework bloot. Zelf gehoste installaties vanaf versie 1.58 zijn nog steeds kwetsbaar en moeten direct bijwerken.

Het datalek bij CEVA Logistics raakt acht locaties in verschillende Europese landen. Na bol, De Bijenkorf en ING waarschuwen nu ook Ajax en brillenketen Ace & Tate hun klanten en melden bij de toezichthouder.

ING meldt dat gegevens van klanten van ING Punten mogelijk zijn ingezien bij een inbraak op de systemen van een logistieke partner. De buit van dezelfde hack wordt volgens RTL Nieuws inmiddels op het dark web verkocht.

De Bijenkorf meldt een beveiligingsincident bij een logistieke partner: namen, contactgegevens en bestelgegevens van webshopklanten zijn mogelijk ingezien. De melding bij de Autoriteit Persoonsgegevens ligt bij het warenhuis, de inbraak zat bij de leverancier.

Beveiligingsbedrijf Hackify volgde twee e-mailadressen uit het Odido-datalek en telde in 150 dagen 61 phishingmails, verdeeld over ongeveer dertig campagnes. De rijkste gelekte gegevens bleven daarbij vrijwel ongebruikt.

Futurism trof medische dossiers, klinische onderzoeksresultaten met patiëntnamen en telefoonnummers van basisschoolkinderen aan in geïndexeerde Claude-chats. Anthropic kondigde geen technische fix aan en gepubliceerde artifacts blijven volgens de robots.txt van claude.ai gewoon crawlbaar.

Gedeelde Claude-gesprekken waren dit weekend via Google vindbaar, met juridische stukken, code en volgens melders ook API-sleutels. De links zijn grotendeels uit de index, maar de oude URL's werken gewoon door.

Een hack kostte muziekwinkel Atelier Pfeiffer uit Rijswijk zijn Facebook-pagina, en Meta blijkt geen aanspreekbaar loket. Wat de officiële herstelroute echt biedt, en welke voorzorg wel in eigen hand ligt.

Domeinbeheerder SIDN toonde sinds april 2024 via zijn publieke RDAP-dienst meer registratiegegevens van zakelijke .nl-houders dan toegestaan, waaronder contact-e-mailadressen. De stichting meldde het lek zelf en informeerde de Autoriteit Persoonsgegevens.

Een datalek bij AI-muziekgenerator Suno legde de gegevens van ruim 55 miljoen gebruikers bloot, inclusief e-mailadressen, adressen en Stripe-betaalrecords. Wat er precies lekte en wat het betekent voor bedrijven die Suno voor marketing gebruiken.

Twee gelekte Odido-adressen kregen in 150 dagen 61 phishingmails, waarvan er precies één de ontvanger bij naam aansprak. Dat is geen geruststelling, maar de bovengrens van de goedkoopste golf.

Zelfs de Belastingdienst, die het BSN bij wet mag gebruiken, moet ermee stoppen waar het niet nodig is. Welke identiteitsgegevens je app uitvraagt is geen technisch detail, maar de grootste knop op je eigen aansprakelijkheid.

Bij Accenture kwamen broncode en cloudsleutels te koop te staan. De les zit niet in het certificaat van je IT-leverancier, maar in de accounts en sleutels die zijn mensen in jouw systemen hebben.

De privacy-instelling op je domein schermt een persoon af, niet je bedrijf. Het SIDN-lek toonde twee jaar te veel zakelijke .nl-gegevens, en bewijst dat vrijwel niemand zijn registrar als leverancier behandelt.

Je screent de beveiliging van je IT-leverancier, maar je accountant beheert dezelfde gevoelige data met vaak zwakkere beveiliging en blijft buiten je risicoanalyse. De Ernst & Young-hack laat zien waarom dat het echte gat is.

Een vertrekker houdt de laptop en de telefoon. Dit is de volgorde waarin je ze terugkrijgt zonder je bewijs, je data of je gelijk weg te gooien: vastleggen, inventariseren, veiligstellen, vergrendelen, sommeren, en pas dan de rechter.

Je komt niet meer in je Facebook-pagina, Instagram of Google Workspace. Dit is de uitvoerbare herstelroute per platform, in de volgorde die bepaalt of je het terugkrijgt, plus het opruimwerk daarna.