Persoonlijke datalekken nemen toe en treffen dagelijkse diensten: telecomoperators, mutualiteiten, online handelsplatforms. Elk incident stelt miljoenen identificaties, postadressen en soms IBAN’s bloot. Het beschermen van je gegevens en je privacy online beperkt zich niet tot het kiezen van een goed wachtwoord. De vraag is nu wat er gebeurt na een lek, over de nieuwe regelgevingseisen en de mechanismen die maar weinig gebruikers daadwerkelijk activeren.
Reageren na een datalek: het drie-stappenplan dat de CNIL formaliseert
De meeste online gegevensbeschermingsgidsen richten zich op preventie. De recente aanbevelingen van de CNIL en Cybermalveillance.gouv.fr voegen een zelden gedetailleerd aspect toe: het beheer na een incident.
Het aanbevolen traject is georganiseerd in drie fasen. Eerst, bewaar en analyseer de melding van de schending die je per e-mail of post hebt ontvangen. Dit bericht geeft aan welke categorieën gegevens zijn blootgesteld. Vervolgens, verander onmiddellijk de gecompromitteerde wachtwoorden en activeer de dubbele authenticatie op de betrokken accounts. Tot slot, houd actief toezicht op je bankrekeningen, actieve sessies, hersteladressen en e-maildoorstuurinstellingen gedurende meerdere weken.
Dit toezicht moet zich uitstrekken over een periode van maximaal dertig dagen na het incident. Aanvallers maken niet altijd onmiddellijk gebruik van de gestolen gegevens. Een vertraging van enkele weken tussen het lek en de eerste poging tot fraude is gebruikelijk. De secties gewijd aan de beveiliging op Geek Gazette beschrijven verschillende van deze dagelijkse toezichtmechanismen.
Fraudes na een lek: oplichting die je eigen gegevens uitbuit
Een recent fenomeen bemoeilijkt de situatie voor slachtoffers van datalekken. Frauduleuze e-mails bieden aan om de gelekte informatie te laten verwijderen, tegen betaling of via een procedure. Deze berichten bevatten soms daadwerkelijk gestolen gegevens (postadres, IBAN) om geloofwaardig te lijken.
Sommige oplichters doen zich voor als het telefoonnummer van de CNIL om de illusie te versterken. De CNIL raadt expliciet aan om niet op deze verzoeken te reageren, geen enkele link te klikken en geen aanvullende bewijsstukken te verstrekken.
Dit soort oplichting richt zich op mensen die al kwetsbaar zijn door een lek. De natuurlijke reflex, het verlangen om de controle over je gegevens terug te krijgen, wordt tegen het slachtoffer gebruikt. Het systematisch controleren van de echte afzender van een e-mail en nooit in de haast handelen blijven de twee meest betrouwbare beschermingen tegen deze pogingen.
Multifactorauthenticatie: wat de verscherpte regelgeving in de praktijk verandert
Multifactorauthenticatie (MFA) staat al lange tijd in de beveiligingsaanbevelingen. Wat verandert, is het niveau van institutionele eisen. De CNIL versterkt haar controles op de activatie van MFA voor externe toegang tot grote databases. Deze eis geldt niet alleen voor werknemers van een organisatie, maar ook voor partners, onderaannemers en externe dienstverleners.
Het ontbreken van MFA kan nu bijdragen aan het openen van een sanctieprocedure door de CNIL. Voor een particulier is de directe consequentie eenvoudig: online diensten die grote hoeveelheden persoonlijke gegevens beheren, zijn verplicht om dubbele authenticatie aan te bieden. Het activeren ervan is niet langer een comfortoptie, het is een schakel die door de toezichthouder wordt verwacht.
In de praktijk bestaan er drie vormen van MFA:
- De code die per SMS wordt verzonden, de meest voorkomende maar kwetsbaar voor SIM-swapping-aanvallen
- De authenticatie-app (TOTP), die een tijdelijke code genereert op de telefoon zonder gebruik te maken van het mobiele netwerk
- De fysieke beveiligingssleutel (FIDO2/WebAuthn), die de hoogste weerstand tegen phishing biedt omdat deze het domein van de site controleert
De keuze hangt af van het gevoeligheidsniveau van het account. Voor de hoofd-e-mail en bankdiensten, het geven van voorkeur aan een TOTP-app of een fysieke sleutel vermindert het risico aanzienlijk.
Bescherming van de privacy van minderjarigen: een veranderend regelgevend kader
De bescherming van de gegevens van minderjarigen online wordt een afzonderlijke regelgevingsas, zowel aangedreven door de AVG als door de Digital Services Act (DSA). De standaard privacy-instellingen van platforms zijn niet voldoende om een publiek te beschermen dat niet altijd de reikwijdte van zijn publicaties begrijpt. De gegevens die over minderjarigen worden verzameld, voeden advertentiesprofielen vanaf het moment dat het account wordt aangemaakt, vaak zonder dat ouders daarvan op de hoogte zijn.
Voor gezinnen zijn er twee concrete acties die naar voren komen:
- Controleer de privacy-instellingen van bestaande accounts, met name de zichtbaarheid van het profiel, het delen van locatie en de toestemmingen die aan derde apps zijn verleend
- Gebruik de ouderlijk toezicht-tools die zijn ingebouwd in mobiele besturingssystemen, waarmee downloads kunnen worden beperkt en de schermtijd per app kan worden beperkt
- Bespreek regelmatig met minderjarigen wat ze publiceren, want geen technische filter vervangt het begrip van de risico’s van het delen van persoonlijke informatie
De toename van datalekken, de gerichte oplichting die daaruit voortvloeit en de verscherpte regelgeving schetsen een landschap waarin de bescherming van de online privacy voortdurende waakzaamheid vereist. Het activeren van dubbele authenticatie, het monitoren van je accounts na een incident en het controleren van de privacy-instellingen van de gebruikte diensten vormen een minimaal fundament. Het wettelijke kader evolueert, maar de dagelijkse verantwoordelijkheid blijft grotendeels individueel.
