Weer miljoenen gevoelige data op straat

Je zou denken dat de publiciteit over grote gegevenslekken bij LinkedIn en zeker bij Yahoo - dat een deel van zijn overnamesom erdoor in rook zag opgaan - mensen voorzichtiger zou maken. Maar dat is dus een naïeve veronderstelling. Kort achter elkaar zijn er weer twee bestanden met gevoelige persoonsinformatie uitgelekt in de VS.

Jelle WijkstraMeer van deze auteur

De meest kwalijke van de twee is het uitlekken van gegevens van duizenden militairen van de Amerikaanse luchtmacht. Die gegevens stonden onversleuteld op een back-upschijf die zonder beveiliging aan het internet was gehangen. De luitenant in kwestie realiseerde zich dat niet.

Daardoor kan jan en alleman gevoelige gegevens over Amerikaanse militairen bemachtigd hebben. Daarbij gaat het niet alleen om persoonlijke gegevens die voor identiteitsfraude en chantage bruikbaar zijn, zoals naam, adres, social-securitynummer en gegevens van de partner, maar ook overzichten van de bevoegdheden om geclassificeerd materiaal in te zien. Er zat zelfs een overzicht tussen van onderzoeken naar vermeend wangedrag door luchtmachtpersoneel, inclusief naam, rang en locatie en de geuite beschuldiging.

Het lek is niet zo omvangrijk als het uitlekken van gegevens van 22 miljoen Amerikaanse ambtenaren en militairen, in april 2015. Daar wezen de sporen toen op een Chinese hack. Of de nu gevonden gegevens ook in verkeerde handen zijn gevallen, is onduidelijk. Het lek is gevonden door onderzoekers van MacKeeper, en de schijf is na melding offline gehaald.

33,7 miljoen Dun & Bradstreet-gegevens gelekt

Amerikaanse bedrijven en overheidsinstellingen mogen zich zorgen maken over een tweede lek, ditmaal van gegevens die voor commerciële doeleinden zijn verzameld door Dun & Bradstreet. In dat bestand staan 33,7 miljoen contactgegevens van Amerikaanse werknemers. De gegevens zijn afkomstig van NetProspex, dat Dun & Bradstreet in 2015 overnam.

Dun & Bradstreeet zegt geen idee te hebben, hoe deze gegevens uitgelekt zijn. Het geeft toe dat de bestanden eruit zien alsof ze van Dun & Bradstreet afkomstig zijn, maar houdt vol dat de systemen van Dun & Bradstreet niet gehackt zijn.

Het soort gegevens dat nu op straat ligt, is in principe gewoon te koop voor marketingdoeleinden. En wie daar echt werk van maakt, kan ze eventueel ook nog wel zelf verzamelen. Toch moet je de risico's van het uitlekken van dit soort informatie op deze schaal niet onderschatten, zegt Troy Hunt, die de data heeft ingezien. Er schuilen voor bedrijven allerlei risico's in als van hun medewerkers voornaam, achternaam, functie en contactgegevens op straat liggen.