SAS waarschuwt: Datalek is pas het begin van fraude
Organisaties moeten een cyberaanval niet als afgerond beschouwen zodra het lek is gedicht, de systemen zijn hersteld en betrokkenen zijn geïnformeerd. Daarvoor waarschuwt SAS in het kader van Cybersecurity Month. Gestolen klantgegevens worden nog lange tijd gecombineerd met informatie uit andere bronnen en ingezet voor phishing, accountovername, identiteitsfraude en financiële transacties. Wie cybercrime en fraude als afzonderlijke problemen behandelt, verdedigt zich tegen losse incidenten terwijl criminelen een complete keten organiseren.
Volgens Europol is fraude een van de snelstgroeiende terreinen binnen de georganiseerde misdaad. Fraudenetwerken opereren steeds vaker als grensoverschrijdende industrieën, waarin technische, logistieke en financiële diensten samenkomen via zogeheten Crime-as-a-Service. Achter phishing, accountovername en identiteitsfraude gaan criminele netwerken schuil die niet stoppen bij digitale delicten, maar ook betrokken kunnen zijn bij mensensmokkel, drugshandel en uitbuiting.
Olaf Passchier (foto), Customer Advisory Lead for Fraud, Compliance and Public Security bij SAS, benadrukt dat organisaties hun verdediging nog te vaak langs afzonderlijke teams inrichten. Cybersecurity-, fraude-, KYC- en AML-teams moeten vooraf bepalen welke informatie zij delen en hoe daarop wordt gehandeld. Het toekomstige frauderisico van buitgemaakte gegevens moet vanaf het begin onderdeel zijn van de analyse, naast de directe technische en operationele schade.
Een datalek is het begin van een risicoperiode. Accountgegevens, identiteitsdocumenten, bankgegevens en medische informatie blijven lang bruikbaar. Een wachtwoord kan worden gewijzigd, maar een geboortedatum of kopie van een identiteitsdocument niet. Criminelen voegen gegevens uit verschillende bronnen samen tot geloofwaardige profielen.
Blinde vlek
De Autoriteit Persoonsgegevens liet eerder zien hoe snel die overgang verloopt: nadat bij een grote reisorganisatie klantgegevens waren gestolen, ontvingen klanten persoonlijke phishingmails met het verzoek nog een deel van hun reis te betalen. Voor de organisatie begon het als cyberincident, voor de criminelen vormden de gegevens de grondstof voor financiële fraude.
Dit legt een bredere blinde vlek bloot. De organisatie waar gegevens worden gestolen, is niet altijd de plek waar het latere misbruik zichtbaar wordt. Gegevens die lekken bij een retailer, reisorganisatie of zorginstelling kunnen elders worden gebruikt om een account over te nemen of krediet aan te vragen. Beide partijen zien daardoor slechts een deel van de criminele keten.
Om dit aan te pakken is een gecombineerde data- en netwerkanalyse nodig om afwijkende patronen tussen accounts, apparaten en betalingen te herkennen. Ook de samenwerking tussen organisaties moet volwassener worden door beveiligde risicosignalen uit te wisselen zonder de onderliggende persoonsgegevens onnodig te verspreiden.
De verhoogde urgentie blijkt uit cijfers van de Autoriteit Persoonsgegevens, waar het aantal geslaagde account-takeoveraanvallen steeg van 607 in 2024 naar 1.742 in 2025. Volgens SAS ligt de uiteindelijke verantwoordelijkheid voor een integraal risicobeeld bij de bestuurder, zoals de chief risk officer. Een cyberincident is pas werkelijk afgehandeld wanneer een organisatie ook voorbereid is op wat er na het lek met de buitgemaakte gegevens gebeurt.
Meer over Security
Over Witold Kepinski
