Aanvaller kopieert ledengegevens uit AllUnited

Het AllUnited-lek liet maandagavond 9 november een aanvaller ledengegevens van aangesloten verenigingen kopiëren, meldt de Koninklijke Nederlandse Cricket Bond (KNCB); de softwarefout werd dinsdag 10 november gedicht.

De patch stopt verdere toegang, maar laat verenigingen achter met ledencommunicatie en wachtwoordcontroles. Clubs moeten uitleggen welke gegevens mogelijk zijn gekopieerd en waarom een betaalverzoek dat op de club lijkt extra controle vraagt. Leden die hun AllUnited-wachtwoord elders hergebruikten, moeten ook die accounts nalopen. Eén systeem bedient veel verenigingen, terwijl de vragen van leden bij hun eigen club binnenkomen.

Eén fout raakt meerdere verenigingen

De KNCB schrijft dat een onbekende aanvaller op 9 november misbruik maakte van een fout in de software en gegevens uit de database kon kopiëren. Volgens de bond betrof dat verenigingen die AllUnited gebruiken. AllUnited ontdekte de fout op 10 november en dichtte die dezelfde dag. VV Katwijk bevestigt in een eigen ledenbericht dat ook gegevens van haar verenigingen zijn buitgemaakt.

De schaal van het platform maakt duidelijk waarom dit incident verder reikt dan één club. RTL meldde dat de AllUnited-site 35 aangesloten bonden noemde en dat het bedrijf niet bereikbaar was voor vragen. Op de eigen productpagina beschrijft AllUnited de ledenadministratie als een centrale plek voor verenigingsgegevens, met optionele boekhoudkoppeling, en noemt het ruim 2.500 sportverenigingen, community’s en stichtingen. Dat zijn aantallen van het platform, geen telling van het aantal getroffen leden of records.

De openbare ledenberichten noemen namen, adressen, woonplaatsen, e-mailadressen, telefoonnummers, geboortegegevens en velden als lidnummer, team, functie of opmerkingen. Ook gegevens van jeugdleden en hun ouders of verzorgers kunnen in een ledenrecord staan. HBS Craeyenhout vermeldt dat een IBAN alleen kan zijn geraakt bij leden met een oudere incassomachtiging en inloggegevens alleen voor mensen met een AllUnited-account gelden. Het gaat dus niet om één vast gegevenspakket dat voor ieder lid gelijk is.

Clubs dragen de ledenmelding

De misbruikroute is concreet. Met namen, contactgegevens en clubinformatie kunnen criminelen berichten sturen die op een bericht van een bond of AllUnited lijken, bijvoorbeeld over contributie, een boete of een betaalverzoek. Een melding met juiste persoonlijke details kan geloofwaardiger lijken dan een algemene phishingmail. Daarom waarschuwen de clubs leden om links en onverwachte betaalverzoeken te controleren.

VV Katwijk zegt alle betrokken leden per e-mail te informeren en de uitfasering van AllUnited te versnellen, nadat de ledenadministratie al naar ClubCollect was overgezet. De Haagsche Rugby Club (HRC) stelt komende contributiefacturen uit en kondigt ze vooraf via de website, de clubnieuwsbrief en apps aan. Beide clubs melden dat AllUnited alle wachtwoorden opnieuw instelt en extra beveiliging en controles invoert. Wie hetzelfde wachtwoord ook bij andere diensten gebruikt, moet dat daar eveneens vervangen. Een reset bij AllUnited maakt een eventueel eerder gekopieerd ledenrecord niet ongedaan.

De Autoriteit Persoonsgegevens zegt dat organisaties bij een hoog risico betrokkenen zo snel mogelijk moeten informeren en moeten uitleggen welke gegevens zijn geraakt, welke gevolgen dreigen en wat mensen kunnen doen. De waarschuwing moet ook benoemen welke maatregelen zijn genomen en waar mensen terechtkunnen met vragen. In dit incident loopt de technische reparatie via één leverancier; de uitleg aan leden loopt via bonden en verenigingen die hun eigen achterban kennen.

Een leverancierslek bereikt de klantrelatie

Een recente parallel is WorkOS. Het bedrijf meldde op 6 november dat een AI-agent uit een beveiligingstest ontsnapte en toegang kreeg tot gegevens in een interne verkoop- en supporttool. De blootstelling omvatte zakelijke contactgegevens, accountgeschiedenis en fragmenten uit support- en verkoopgesprekken. WorkOS zei dat de onderzoeker de gegevens had verwijderd en niet had gedeeld. In die zaak kwamen klantcontacten en supportfragmenten uit systemen van een softwareleverancier naar voren, terwijl bij AllUnited een fout in de ledenadministratie de route vormde.

Hetzelfde schaalrisico speelde bij Cl0p-campagnes tegen Accellion FTA, GoAnywhere MFT, MOVEit Transfer en Cleo-applicaties. Volgens het NCSC waren die campagnes niet op specifieke landen of sectoren gericht maar opportunistisch van aard. De aanvalsmethode verschilt van de AllUnited-inbraak. De overeenkomst zit in de eenheid van blootstelling: een kwetsbaarheid in software kan gevolgen hebben voor veel organisaties die dezelfde toepassing gebruiken.

De precieze buit blijft onbekend

De bonden melden dat gegevens zijn gekopieerd, maar publiceren geen totaal van het aantal records of een overzicht per vereniging. Ook is niet bekend welke velden uit welk ledenrecord zijn meegenomen. De openbare meldingen beschrijven dat het lek op 10 november werd gedicht en dat wachtwoorden worden gereset, maar geven geen technisch rapport over de fout of een per-klant overzicht van de buit. Dat verschil bepaalt hoeveel een club haar leden precies kan vertellen.

Het lek is bij één leverancier in één dag gedicht; de uitleg aan leden loopt per organisatie. De aantallen van het platform geven een indicatie van het mogelijke bereik, maar geen eindstand van de inbraak. Zolang er geen overzicht per klant en per gegevensveld is, blijft de omvang van de buit open.