Ben je lid van een sportclub, dan is de kans reëel dat je naam, adres, geboortedatum en rekeningnummer sinds deze week bij een onbekende liggen. Bij AllUnited, een bedrijf uit Noordwijk dat de ledenadministratie van sportclubs en bonden beheert, zijn gegevens uit de database gekopieerd. De NOS meldde het in de nacht van 10 op 11 november, na berichtgeving van RTL Nieuws, en noemde toen de cricketbond KNCB en voetbalclub VV Katwijk. Inmiddels is duidelijk dat het om veel meer clubs gaat.
Wat er bij AllUnited is gebeurd
AllUnited heeft zelf een uitleg over het beveiligingsincident online gezet. Op maandagavond 9 november misbruikte iemand een fout in de software. Via het inschrijfformulier op een clubwebsite kwam hij op een van de servers en kopieerde hij gegevens uit de database. AllUnited ontdekte het lek op 10 november en dichtte het dezelfde dag. Het bedrijf heeft het gemeld bij de Autoriteit Persoonsgegevens en aangifte gedaan bij de politie.
Het belangrijkste zinnetje staat er zonder omhaal: het gaat om de gegevens van alle clubs en bonden in AllUnited. Het is dus niet een paar verenigingen die pech hadden. Op zijn eigen website noemt AllUnited meer dan 2.500 aangesloten verenigingen en gemeenschappen en 35 bonden, van atletiek, hockey en tennis tot turnen, rugby, karate en wielrennen. Ook een paar organisaties buiten de sport werken ermee.
Welke gegevens op straat liggen
Voor gewone leden gaat het volgens AllUnited om naam, adres, geboortedatum, telefoonnummer, e-mailadres en IBAN, plus wat er verder in je ledenrecord staat. Dat kan ook een vrij tekstveld met opmerkingen zijn. De KNCB noemt in haar bericht aan de leden ook geboorteplaats, lidnummer, team en functie. Ben je ouder van een jeugdlid, dan gaat het ook om de gegevens van je kind.
Heb je je ooit via de website van een club ingeschreven, dan zijn ook die gegevens meegenomen: naam, e-mail, telefoon, geboortedatum en IBAN. En voor vrijwilligers die de administratie doen, zoals een secretaris of penningmeester, gaat het om naam, mail, telefoonnummer en het versleutelde wachtwoord.
Waarom je wachtwoord ook telt
Wachtwoorden waren versleuteld opgeslagen, maar AllUnited schrijft dat de aanvaller ook heeft kunnen zien hoe die versleuteling werkt. Daardoor kunnen ze op termijn alsnog gekraakt worden. Tijdelijke wachtwoorden die leden nog niet hadden veranderd, stonden zelfs leesbaar in het systeem. AllUnited zet daarom alle wachtwoorden opnieuw. Gebruik je hetzelfde wachtwoord ook voor je mail, een webwinkel of iets anders, verander het daar dan nu. Criminelen proberen gelekte combinaties van mailadres en wachtwoord vaak ook bij andere diensten uit.
Hoe weet je of jouw club erbij zit?
Omdat alle clubs in het systeem geraakt zijn, is de vraag simpel: gebruikt jouw vereniging AllUnited? Dat herken je meestal aan een paar dingen. Je logt voor je ledengegevens of contributie in op een pagina van AllUnited, je club heeft de ClubApp van AllUnited, of je krijgt facturen en mails die via dat systeem worden verstuurd. Twijfel je, vraag het dan bij je club na via een telefoonnummer of adres dat je zelf opzoekt.
Clubs krijgen zelf ook huiswerk. AllUnited vraagt verenigingen en bonden het lek binnen 72 uur na de mail van het bedrijf in eigen naam bij de Autoriteit Persoonsgegevens te melden en hun leden te waarschuwen. Krijg je de komende dagen een bericht van je club over het datalek, dan is dat dus normaal. Let wel op dat zo’n bericht je niet naar een link stuurt om iets in te vullen of te betalen.
Welke phishing je nu kunt verwachten
Een lek als dit is vooral gevaarlijk door wat erna komt. Wie je naam, adres, geboortedatum en rekeningnummer kent, kan een nepbericht heel echt laten lijken. AllUnited, de KNCB en VV Katwijk waarschuwen er alle drie voor, en de KNCB geeft drie voorbeelden van hoe zo’n bericht eruit kan zien.
- Een mail of betaalverzoek van “de club”. Je contributie zou niet zijn afgeschreven of je hebt een boete, en je moet snel betalen via een link. Het afzenderadres lijkt op dat van de club maar klopt net niet.
- Een sms of WhatsApp-bericht. Er zou iets mis zijn met je gegevens, bijvoorbeeld je geboortedatum, en je moet inloggen om dat te controleren.
- Een telefoontje van “de bank”. De beller noemt je naam, adres en rekeningnummer en zegt dat er verdachte afschrijvingen zijn. Daarna vraagt hij om een code of om geld over te maken naar een veilige rekening.
Dat laatste lijkt op trucs die we al eerder zagen, zoals bij oplichters die een bankpas aan hun eigen telefoon koppelen. Het verschil is dat de oplichter nu echte gegevens van je heeft. De KNCB zegt het zo: dat iemand je persoonlijke gegevens kent, bewijst niet dat het bericht echt is. Hetzelfde risico speelde eerder na de hack bij een leverancier van Belgische gemeenten.
Wat je nu doet
Een paar dingen kun je meteen regelen. Verander je wachtwoord via “wachtwoord vergeten” zodra je weer inlogt, en overal waar je hetzelfde wachtwoord gebruikte. AllUnited waarschuwt dat de mails om je wachtwoord opnieuw in te stellen door de drukte vertraagd binnenkomen. Vraag er dus niet steeds een nieuwe aan, dat maakt de wachtrij alleen langer.
Kijk de komende weken je bankrekening na op afschrijvingen die je niet kent. Een incasso waar je geen zin in hebt kun je volgens de KNCB binnen acht weken zonder reden terugdraaien in je bankapp, en binnen dertien maanden als je er nooit toestemming voor gaf. Klik niet op links in onverwachte berichten over contributie of je lidmaatschap, maar ga zelf naar de site van je club of bel even.
Heb je toch iets betaald of ingevuld, bel dan direct je bank en meld het bij de Fraudehelpdesk. Wat er daarna met zo’n melding gebeurt, lees je in ons eerdere stuk. Met vragen over het lek zelf kun je terecht bij je eigen club of bij AllUnited.
