In 2024 werden bij de Autoriteit Persoonsgegevens bijna 38.000 datalekken gemeld. Dat is een stijging van bijna vijftig procent ten opzichte van het jaar ervoor. Een record, en geen prettige.
Wat opvalt als je naar de oorzaken kijkt: de meeste incidenten zijn geen geavanceerde cyberaanvallen, maar simpele menselijke fouten. Brieven naar verkeerde adressen, e-mails met de verkeerde bijlage, wachtwoorden als “Welkom2020”. De gemeente Hof van Twente betaalde de prijs voor dat laatste: maandenlang platgelegd, meer dan vier miljoen euro aan herstelkosten. De gemeente Alkmaar verloor ruim twee ton doordat een medewerker een netfactuur overmaakte op verzoek van een valse CEO.
Ransomware: geen branche is veilig
Mediamarkt, de KNVB, RTL, Colloseum Dental, de Universiteit Maastricht: grote namen die in de afgelopen jaren allemaal werden geraakt door ransomware. De gevraagde losgeldbedragen lopen in de tientallen miljoenen. Soms wordt er betaald. Soms lekt de data alsnog. En vrijwel altijd blijkt achteraf dat de aanval mogelijk was geworden door een vermijdbare zwakheid: geen tweefactorauthenticatie, een onveilige externe toegang, of een leverancier zonder afdoende beveiliging.
Ketenaanvallen: het risico zit ook bij anderen
Een van de meest ingrijpende lekken van de afgelopen jaren was het incident bij softwareleverancier Nebu. Door dat ene lek kwamen de persoonsgegevens van 2,5 miljoen mensen op straat te liggen, waaronder klanten van NS en VodafoneZiggo. In 2024 veroorzaakte een aanval op klantcommunicatiebedrijf AddComm meer dan 1,5 miljoen slachtoffers. En de hack bij Odido resulteerde in een van de grootste lekken in de Nederlandse geschiedenis.
Het patroon is steeds hetzelfde: organisaties worden geraakt via hun leveranciers. Niet omdat ze zelf nalatig zijn, maar omdat ze geen zicht hadden op de beveiligingsopties van de partijen waarmee ze samenwerken.
Zorg en overheid als zorgenkinderen
De gezondheidszorg kende in 2024 bijna 7.000 datalekmeldingen. Een hack bij het laboratorium achter het bevolkingsonderzoek baarmoederhalskanker resulteerde in de diefstal van 300 gigabyte aan medische dossiers van meer dan 850.000 vrouwen. Het openbaar bestuur volgt op enige afstand met bijna 5.000 incidenten, waaronder een lek waarbij 60.000 e-mailadressen van studenten met een studieschuld op straat belandden.
Dit zijn sectoren met veel vertrouwelijke gegevens, beperkte budgetten en grote afhankelijkheid van externe leveranciers. Een combinatie die vraagt om structurele aandacht, niet om incidentele maatregelen.
Wat dit vraagt
De cijfers laten zien dat informatiebeveiliging een governance- en continuïteitsvraagstuk is, geen IT-kwestie. De meeste incidenten hadden voorkomen of beperkt kunnen worden met beter beleid, bewustere medewerkers, controle op leveranciers en een helder incident response plan.
Dat vraagt om structuur, overzicht en onafhankelijk toezicht. Niet om meer technologie.
Over TT3P
TT3P helpt organisaties grip te houden op informatiebeveiliging, privacy en leveranciersrisico’s, met onafhankelijk toezicht, praktische governance en structurele verbetering. Op de hoogte blijven van alle updates rondom cybersecurity? Volg dan onze LinkedIn-pagina.
