Na een datalek is stilte geen bewijs dat het meeviel

Van de 61 phishingmails die twee gelekte Odido-adressen in vijf maanden binnenkregen, sprak er precies één de ontvanger bij naam aan. De andere zestig openden met "Geachte heer/mevrouw", of zetten het e-mailadres zelf als aanhef bovenaan: "Geachte odido@". Dat leest als geruststelling. Het is het tegenovergestelde.

Wie na een lek de stilte optelt bij de slordige phishing en daaruit afleidt dat het meeviel, meet de verkeerde grootheid. Je meet dan niet hoe veilig je bent, maar hoe goedkoop de eerste ronde was. Een datalek is geen gebeurtenis met een einddatum, maar een blijvende wijziging van je risicoprofiel. De maat die telt is niet hoe lang het incident duurde, maar hoe lang de gelekte velden bruikbaar blijven.

De eerste golf is de goedkoopste golf

Beveiligingsbedrijf Hackify kon iets meten wat vrijwel geen slachtoffer zelf kan meten. Twee medewerkers stonden in de Odido-dataset en gebruiken een catch-all-domein waarop elke organisatie een eigen adres krijgt. Het ene adres was alleen bij Odido achtergelaten, het andere alleen bij Tele2. Elk bericht dat daar sindsdien binnenkomt is dus met zekerheid herleidbaar tot dit ene lek.

De teller stond na 150 dagen op 61 phishingmails, verdeeld over naar schatting dertig afzonderlijke campagnes. Het eerste bericht kwam op 12 maart 2026, elf dagen nadat de volledige dataset op het dark web verscheen. De drukste week was die van 22 juni. Na 3 juli kwam er niets meer binnen.

Interessanter dan wat de afzenders gebruikten, is wat ze lieten liggen. Geen woonadres, geen telefoonnummer, geen rekeningnummer, terwijl in de eerste tranche op het dark web naast 430.000 personen ook gegevens van 290.000 bedrijven en 275.000 IBAN's zaten. Het e-mailadres alleen was blijkbaar de moeite van het uitsnijden en doorverkopen waard. De rest van het dossier nog niet.

Dat verklaart ook waarom 28 van de 61 berichten op allebei de adressen binnenkwamen en 33 op maar één. Er is geen vaste verzendlijst. Er zijn selecties die rondgaan, en per selectie een andere afzender die er iets goedkoops mee probeert. De stilte na 3 juli is daarmee geen eindstreep, maar de bovengrens van de goedkoopste manier om een gestolen bestand te gelde te maken.

Gelekte gegevens verouderen anders dan je denkt

Het beste bewijs daarvoor komt niet uit Nederland. In 2024 herleidde Mandiant een campagne tegen Snowflake-klantomgevingen, waarvoor ongeveer 165 mogelijk getroffen organisaties zijn gewaarschuwd, naar inloggegevens die grotendeels uit oude infostealer-besmettingen kwamen. De vroegste besmetting die aan zo'n gebruikte inlog te koppelen was, dateerde van november 2020, en die inloggegevens waren jaren na de diefstal nog steeds geldig omdat niemand ze had vervangen. Bij minstens 79,7 procent van de misbruikte accounts was eerder al een inlog gelekt.

Vier jaar tussen diefstal en gebruik. Dat is geen uitzondering die je met een boze blik naar de beheerder oplost, dat is de normale houdbaarheid van gestolen materiaal dat niemand actief ongeldig maakt. Verizon telde in het Data Breach Investigations Report van 2026 dat van de ransomware-slachtoffers met een voorafgaand inloglek de helft dat lek binnen 95 dagen vóór de aanval opliep. De andere helft dus langer daarvoor. De afstand tussen buitmaken en inzetten wordt in maanden gemeten, niet in dagen.

En dat gaat nog alleen over gegevens die je kúnt vervangen. Een wachtwoord verander je, een sessietoken trek je in, een bankpas laat je blokkeren. Je geboortedatum niet. Je BSN niet. Je woonadres, je klantnummer en de aantekening van de klantenservice dat je in maart boos belde over een factuur: die velden hebben geen vervaldatum. Zij bepalen de horizon, en die horizon staat volledig los van je incidentrapport. Odido biedt klanten van Odido en dochtermerk Ben zelf twee jaar gratis digitale bescherming aan. Dat is een eerlijker getal dan de twee weken die het onderwerp in het nieuws stond.

Binnen je eigen muren is snelheid nog het spel: hoe eerder je een overgenomen account opmerkt, hoe kleiner de schade. Data die al buiten ligt kun je niet meer detecteren. Daar bestaat alleen nog blootstellingsduur.

Losse velden zijn het probleem niet, de samenvoeging wel

De Autoriteit Persoonsgegevens zegt het in haar eigen voorlichting aan slachtoffers zonder omhaal: met losse gegevens, zoals alleen een BSN, kan een crimineel niet veel, en het risico neemt pas toe wanneer criminelen meerdere gegevens met elkaar combineren. Daar zit de reden waarom een lek gevaarlijker kan worden naarmate het ouder wordt in plaats van minder gevaarlijk.

Jouw organisatie staat namelijk zelden in één bestand. Lidl lekte de gegevens van Nederlandse en Belgische webshopklanten na een hack bij een van zijn IT-dienstverleners. Suno lekte de gegevens van ruim 55 miljoen gebruikers, inclusief tienduizenden Stripe-betaalrecords met deels zichtbare kaartgegevens. Elk bestand op zich is een puzzelstuk. Wie er drie koopt en op e-mailadres matcht, houdt een profiel over dat in geen van de drie afzonderlijke lekken stond.

Er is nog een reden waarom je zelf geen einddatum kunt zetten: meestal weet je niet eens precies wat er weg is. Een jaar na de hack bij laboratorium Clinical Diagnostics, dat onderzoeken uitvoert voor het bevolkingsonderzoek baarmoederhalskanker, weten getroffen deelnemers nog altijd niet welke testaanvragen en uitslagen van hen zijn gestolen, terwijl ze dagelijks phishingmails en frauduleuze telefoontjes melden. Een risico waarvan je de omvang niet kent, kun je niet afsluiten. Je kunt hooguit doen alsof.

Om eerlijk te zijn: permanent alert zijn is geen plan

Het sterkste tegenargument is niet dat het allemaal meevalt. Het is dat waakzaamheid geld kost en slijt. Verreweg de meeste gelekte records worden nooit tegen een specifiek persoon ingezet. Een organisatie die na elk lek voor onbepaalde tijd op scherp gaat staan, heeft binnen een kwartaal alarmmoeheid, en moeheid is zelf een kwetsbaarheid. De afschrijving is bovendien echt: een lijst die niets oplevert brandt op, filters en blokkeerlijsten vangen het goedkope werk weg, en de meting bij Hackify laat de kraan letterlijk droogvallen.

Dat klopt allemaal. Alleen pleit ik niet voor permanente alertheid. Ik pleit voor een horizon die door de gelekte velden wordt bepaald in plaats van door de nieuwscyclus. De fout is niet dat mensen ontspannen. De fout is dat ze ontspannen op het moment dat de media-aandacht wegzakt, precies wanneer het bestand aan zijn tweede leven begint.

Dat valt uiteen in twee dingen die weinig met elkaar te maken hebben. In maand één draait alles om wat je kunt intrekken: wachtwoorden, tokens, koppelingen, rechten van vertrokken partijen. Dat is afgebakend werk, en voor de melding is zelfs wettelijk vastgelegd dat een datalek via je IT-leverancier binnen 72 uur bij de Autoriteit Persoonsgegevens ligt. Vanaf ongeveer maand drie verschuift de waarde naar iets veel saaiers: je verificatieprocedure. De aanval verandert namelijk van vorm. Niet langer een massamail met een aanhef die niemand aanspreekt, maar iemand aan de telefoon die je klantnummer kent en je laatste factuur noemt.

Zo begon het bij Odido zelf ook. De aanvaller praatte een klantenservicemedewerker de tweetrapscodes afhandig en kwam daarmee in de omgeving met klantgegevens. Dat was geen technisch lek maar een gesprek dat overtuigend genoeg klonk. En een verificatieprocedure die niet meebeweegt met wat je tegenstander inmiddels over je weet, is precies zo sterk als de eerste keer dat iemand haar serieus test.

Wat je meet, bepaalt wanneer je stopt

Die ene ABN AMRO-imitatie van 1 juli, die de ontvanger met voorletter en achternaam aansprak, is geen uitschieter in een verder onschuldige reeks. Het is de enige mail in vijf maanden waarin iemand de moeite nam om twee velden aan elkaar te knopen. Daarmee is het het scherpste beeld dat er nu is van hoe de volgende ronde eruitziet.

Een incident heeft een sluitingsdatum. Het onderzoek is af, de melding is gedaan, de toezichthouder trekt zijn conclusie en het dossier gaat dicht. Blootstelling kent die datum niet. Zolang je alleen het eerste meet, sluit je een dossier dat aan de andere kant nog gewoon openligt.