omroep flevoland

Paspoort-kopieën, bankgegevens en zelfs informatie over ziekmeldingen en salarissen: allemaal ligt het op straat na een hack bij Albert Heijn-franchisenemer Bun. Hackers zullen vooral hopen op losgeld, want op het dark web zijn persoonsgegevens niet veel waard.

"Hackers gaan voor afpersing", weet cyber-security expert Daan Keuper. De gegevens die hackers bij Bun hebben buitgemaakt, waren heel persoonlijk: kopieën van ID-kaarten en paspoorten en zelfs documenten over ziekteverzuim. Maar hoewel paspoortgegevens iets meer waard zijn dan andere soorten persoonsgegevens, zullen mensen op het dark web er niet al te veel voor betalen, denkt Keuper.

De echte 'winst' zit in het losgeld dat hackers vragen. Dat kan gaan om tonnen en soms zelfs een paar miljoen. "Criminelen zitten er echt in voor het geld, en ze gaan proberen om druk uit te oefenen. Soms worden directeuren zelfs persoonlijk opgebeld om de druk op te voeren."

Drukmiddel
Zo'n twintig procent van de data die is gestolen, is al gepubliceerd op het dark web, meldt RTL Nieuws. Ook dat is een drukmiddel, volgens Keuper. "Als slachtoffer weet je dan 'dit is serieus'."

Dat persoonsgegevens niet bijzonder veel waard zijn op het dark web, betekent niet dat het onschadelijk is voor slachtoffers dat hun gegevens daar nu te vinden zijn. Die kunnen worden gebruikt voor identiteitsfraude, en dat kan grote financiële gevolgen hebben voor slachtoffers.

"Bij digitale inbraken denken mensen al snel dat een bedrijf de zaakjes niet op orde had"

Verantwoordelijkheid
De vakbond FNV laat weten dat zich daar nog geen bezorgde medewerkers hebben gemeld. Bestuurder Michiel Al roept medewerkers op dat wel te doen als ze zich zorgen maken.

Hij vindt het te vroeg om te vingerwijzen naar Bun. "Ik ken de beveiligingssystemen van Bun niet, en we horen vaker dat dit soort dingen gebeuren." Feit blijft dat bedrijven "te allen tijde verantwoordelijk zijn voor het veilig opbergen van persoonsgegevens", vindt de vakbondsbestuurder.

Ook Keuper wil niet te snel de schuld in de schoenen van Bun schuiven. "Als er bij een bedrijf wordt ingebroken, zegt iedereen 'wat vervelend, dat kan je overkomen'. Maar bij digitale inbraken denken mensen al snel dat ze de zaakjes niet op orde hadden."

Toch is Keuper kritisch: "Gezien de gevoeligheid van de gegevens moet je je wel realiseren dat je die veilig op moet slaan."

Schuld afkopen
Of ondernemingen een dwangsom betalen, verschilt per geval. "In Nederland betalen bedrijven vaker dan in het buitenland. Een bedrijf kan dan zeggen dat ze er alles aan hebben gedaan om erger te voorkomen. Het is een vorm van afkopen."

Overigens is niet bekend of er in het geval van Bun daadwerkelijk een dwangsom is gevraagd. De franchisenemer wil alleen schriftelijk reageren en schrijft dat er na het ontdekken van de hack "direct actie is ondernomen en een gespecialiseerd extern cybersecurity- en forensisch onderzoeksteam is ingeschakeld."