Datalek bij telefonieleverancier RingCentral raakt 1,6 miljoen accounts

Het datalek bij zakelijke telefonieleverancier RingCentral omvat 1,6 miljoen accounts, met namen, e-mailadressen, telefoonnummers en woonadressen, meldt datalekdienst Have I Been Pwned na analyse van het gepubliceerde archief.

RingCentral levert cloudtelefonie, berichten en voicemail aan ruim 600.000 bedrijven in 46 landen, Nederland daaronder. Voor een afnemer hier gaat het daarom niet om de omvang van het lek, maar om twee vragen die je zelf moet beantwoorden: staan jouw mensen of klanten in dat bestand, en bij wie ligt de meldplicht als dat zo is. RingCentral zegt alleen getroffen klanten rechtstreeks te benaderen, dus je hoort het van je leverancier of je hoort het niet.

Van een claim van 623 gigabyte naar 1,6 miljoen bevestigde adressen

Afpersgroep ShinyHunters zette RingCentral op 27 juli op zijn lekwebsite en claimde 623 gigabyte aan data te hebben gestolen. Een dag later bevestigde het bedrijf een incident. Toen RingCentral weigerde te betalen, publiceerde de groep een gecomprimeerd archief van 280 gigabyte op zijn darkwebsite. Have I Been Pwned nam het lek op 13 augustus op in zijn database.

In de mededeling van 28 juli op zijn eigen trust center noemt RingCentral het incident het gevolg van een "geraffineerde social-engineeringcampagne" die data raakte van "een beperkt deel" van de klanten. Het kernplatform bleef buiten schot en wie geen bericht krijgt, is niet getroffen, stelt het bedrijf daarbij. Het zegt de ongeautoriseerde toegang direct te hebben gestopt en samen met een extern forensisch bureau onderzoek te doen. Een aanvaller wordt in die mededeling niet genoemd. Dat beperkte deel telt in het gepubliceerde archief 1,6 miljoen unieke e-mailadressen.

RingCentral koos daarbij voor een weggestopte melding op de eigen site in plaats van een persbericht, constateert vakblad ITchannelPRO.

De meldplicht ligt bij jou, niet bij je leverancier

Of hier voor jouw organisatie een eigen verplichting uit volgt, hangt af van wiens gegevens in het archief staan. Verwerkt RingCentral persoonsgegevens namens jou, dan ben jij de verwerkingsverantwoordelijke. De Autoriteit Persoonsgegevens scherpte die tekst in juni 2026 aan: gebeurt het lek bij je verwerker, dan meld je het zelf bij de AP, tenzij je die verwerker schriftelijk hebt gemachtigd dat namens jou te doen. Ook met zo'n machtiging blijf je wettelijk verantwoordelijk. Je hebt er 72 uur voor na kennisname van het lek.

Dat maakt de praktische vraag deze week klein en concreet. Staat RingCentral, of de partij die RingCentral voor jou levert, in je verwerkersregister? En staat in die verwerkersovereenkomst wie meldt?

Vanaf 15 augustus telt je leverancier ook onder de Cyberbeveiligingswet

Voor organisaties in een van de sectoren die onder de Cyberbeveiligingswet vallen komt er vanaf 15 augustus een tweede laag bij. De zorgplicht van die wet noemt als vierde maatregel de beveiliging van de toeleveringsketen, inclusief de beveiligingsaspecten in de relatie met directe leveranciers en dienstverleners. Een lek bij een telefonieleverancier is dan niet alleen een privacykwestie, maar ook een punt waarop een toezichthouder je kan bevragen. Terwijl op 13 augustus 2.942 organisaties in het entiteitenregister stonden van de minstens achtduizend die eronder vallen, begint voor veel bedrijven deze week alles tegelijk.

Waarom deze buit langer meegaat dan het incident

Het patroon achter de aanval is bekend. ShinyHunters kwam het afgelopen jaar bij honderden Salesforce-klanten binnen door medewerkers telefonisch een frauduleuze koppel-app te laten goedkeuren in plaats van wachtwoorden te kraken. Social engineering, precies het woord dat RingCentral zelf gebruikt.

De waarde van deze buit zit in wat erin staat. Namen, telefoonnummers en zakelijke e-mailadressen van de klanten van één leverancier zijn de grondstof voor een overtuigend telefoontje of een mail die van die leverancier lijkt te komen. Dat is geen theorie: in juli landden er al phishingmails die zich voordeden als afzender service@ringcentral.com in inboxen die het domein van hun leverancier hadden vrijgesteld, aangeboden door een phishingdienst die deze route voor 289 dollar per maand verkoopt. Met 1,6 miljoen geverifieerde adressen erbij wordt zo'n campagne goedkoper en gerichter.

De rekening van een leverancierslek komt daarom zelden binnen in de week van de melding. Die komt in de maanden erna, bij organisaties die zelf nooit gehackt zijn.