Gegevens van 90.000 KNWU-leden zijn gestolen bij datalek

De gegevens van tienduizenden leden van de Koninklijke Nederlandse Wieler Unie zijn gestolen bij een datalek. Het gaat onder andere om namen en contactgegevens, maar ook om betaalgegevens. Het is niet duidelijk wat er precies is gebeurd.

De gegevens kwamen uit een oude database van de KNWU, schrijft de organisatie in een bericht. Het zou gaan om 'alle data uit een oude MijnKNWU-omgeving'. Een woordvoerder zegt tegen NU.nl dat het gaat om gegevens van 90.000 leden. Hoewel de KNWU het zelf alleen over namen en contactgegevens heeft, zegt de woordvoerder dat er ook adressen, geboortedatums en betaalgegevens zijn buitgemaakt.

De organisatie zegt niet wat er precies is gebeurd. Daarover doet zij nog verder onderzoek. De KNWU zegt dat de data is gestolen vanuit een oude omgeving. Die werd begin dit jaar gemigreerd naar een nieuwe omgeving, maar de oude was wel nog intern toegankelijk. De hackers zouden losgeld hebben gevraagd om de data niet vrij te geven. De KNWU zegt dat het dat niet betaalt, omdat dat geen zekerheid geeft dat de hackers de data daadwerkelijk zullen verwijderen.

De KNWU waarschuwt leden dat ze moeten opletten voor phishingmails en nepfacturen. Ook raadt de organisatie gebruikers aan hun wachtwoord te veranderen. De organisatie heeft aangifte gedaan bij de politie en melding gemaakt bij de Autoriteit Persoonsgegevens. Dat laatste is verplicht. Gebruikers zouden geen problemen moeten hebben met het verlengen van lidmaatschappen.

Reacties (59)

Het is niet alleen van leden, maar ook van oud leden. Wij zijn al meer dan zes jaar geen lid meer, maar toch zijn onze gegevens gestolen. Volgens mij gaat daar nog meer mis in het kader van de AVG.

Bedrijven moeten voor de belastingdienst hun administratie 7 jaar bewaren. Zal voor verenigingen niet heel anders zijn.

edit: 7 jaar geldt voor de financiële administratie, persoonsgegevens 2 jaar.

[Reactie gewijzigd door Geim op 30 november 2020 09:31]

Persoongegevens van leden behoren zover ik weet niet bij de administratie. Er is geen enkele grond om die gegevens zo lang te bewaren.

[Reactie gewijzigd door bonzz.netninja op 30 november 2020 09:32]

Klopt, maximaal 2 jaar, fiscale gegevens 7 jaar.

Bij de fiscale gegevens horen de volledige facturen, inclusief adres.
Dus adres gegevens horen 7 jaar in de DB. Als facturen per email zijn gestuurd, hoort daar ook het email adres bij.

Bij de fiscale gegevens horen de volledige facturen, inclusief adres.
Dus adres gegevens horen 7 jaar in de DB. Als facturen per email zijn gestuurd, hoort daar ook het email adres bij.

Dan nog is er geen enkele reden om deze gegevens online toegankelijk te bewaren. Deze zouden in een gescheiden database die enkel door interne infra te benaderen is, bewaard moeten blijven.

Natuurlijk. Of op een off-line disk in een kluis met etiket dat de data miv. 1 jan 2022 vernietigd dient te worden... Nog beter een encrypted disk in de kluis bij een secretaris en een envelop met key bij de voorzitter.

Als je via verenigingenweb je site maakt, dan is alles geïntegreerd. Site, boekhouding, ledenadministratie. Voor kleine verenigingen zou dat ideaal kunnen zijn. Ik heb er eens voor een vereniging naar gekeken. Het was alleen wel erg duur.

Dat klopt. Echter zijn financiële administraties en gebruiker administraties iets anders en ze horen ook apart van elkaar opgeslagen te worden.

Dat lijkt mij een vreemde eis. Zeker voor kleine verenigingen is dat niet te doen..

Boekhouding met separaat een leden administratie.
Na 2 jaar moeten records uit de leden administratie. De facturen etc. zitten dan nog in de boekhouding.
Een factuur bevat ook een adres (evt. inclusief email) dus voor evt. incasso is dat ook geen probleem.

Ik zie dat probleem niet zo voor geen enkele vereniging.

Dus je moet twee stukken software aanschaffen om dit bij te houden...
Terwijl de meeste organisaties het allemaal in 1 ERP pakket doen?

Wat is 'apart van elkaar opgeslagen'?
Dus deze club voldoet niet aan de wetgeving want die bied facturatie en leden administratie in 1 stuk software...

Als ze het goed gebouwd hebben kan een stuks software met verschillende DB's overweg.
Het KAN goed gedaan worden.

Dus je moet twee stukken software aanschaffen om dit bij te houden...
Terwijl de meeste organisaties het allemaal in 1 ERP pakket doen?

Of één softwarepakket wat dit wel op degelijke wijze gescheiden op kan slaan.

Daarnaast:
Als 'de meeste' organisaties dit met één pakket afhandelen, wat deze gegevens niet correct scheidt, dan doen 'de meeste' organisaties het dus niet goed en zouden ze door de AP aangepakt moeten worden.

Als 10 man van een brug afspringen, spring jij er dan ook af?

De KNWU is niet klein. het is een overkoepelende organisatie. Hier is geen enkel excuus voor te verzinnen.

Ik heb het helemaal niet over de KNWU, ik heb het over een vreemde eis.

Dit zijn 2 verschillende eisen. De data hoeft niet adres gegevens te bevaten.
Maar alleen data die het grootboek bevestigd. Als jij die data anoniem maakt is dat voldoende voor de belastingdienst.
Dus je kan prima aan beide regels voldoen

Niet helemaal waar.
De belstingdienst eist bv van een factuur da die integer en authentiek is.
Wat oa wil zeggen dat als er een controle van de BD is dat ze facturen kunnen nalopen of hetgeen daadwerkelijk gefactureerd is geweest, dan heb je wel gegevens nodig om te bepalen of de ontvanger fysiek bestaat en geen frauduleuze transactie is geweest.

Ook niet helemaal waar ;-)
De informatie hoeft niet opgeslagen te worden. De bank heeft de betalingsgegevens en die zijn bewijs genoeg voor de belastingdienst waarbij alleen de banktransactie hoeft te worden opgeslagen. Alleen bij contante betalingen (bij abonnementen b.v.) zou dit nog tot discussie kunnen leiden maar dat gebeurt eigenlijk niet meer. En een kassa storting van contant geld hoeven de mensen die dat geld erin gestopt hebben niet vermeld te worden. (niemand registreert voor de belasting wat ik gekocht heb in een winkel) daar heb je een balans voor van de voorraad t.o.v. verkoop.

Dus in een financieel systeem hoeft geen GDPR gevoelige data te staan en kan je het gewoon purgen als het er wel instaat na 2 jaar. (einde garantie tijd). Het mag er wel in staan maar dan moet je je wel aan de regels houden.

[Reactie gewijzigd door COW_Koetje op 30 november 2020 17:33]

goed punt.

dan voldoet daar geen enkel ERP pakket aan... ook de grote aanbieders niet.

Maar moet je die online bewaren?

Niet per see.

Archivering is een geldige reden om de data niet te verwijderen. Voor sommige gegevens zoals facturen (en daarbij behorende persoonsgegevens) geld een bewaarplicht. Ook mag een vereniging een oud-ledenbestand bijhouden (met daarbij behorende regels).

De AVG vereist alleen dat deze gegevens niet voor meer gebruikt worden dan nodig is voor archivering en alleen voor de juiste doeleinden geraadpleegd mag worden.

[Reactie gewijzigd door jorisvergeerTBA op 30 november 2020 09:37]

Persoonsdata dient OOK uit archieven verwijderd te worden als dat gevraagd wordt.
Een archief moet ook adequaat beveiligd worden opgeslagen.

Archivering is een geldige reden om de data niet te verwijderen.

Gegevens moet zo opgeslagen worden dat betrokkenen niet langer identificeerbaar zijn dan strict noodzakelijk is voor het verwerkingsdoeleinde waarvoor ze verzameld zijn. Bij archivering moet dus sprake zijn van degelijke pseudonimisering. (Art 5.1e)

Voor sommige gegevens zoals facturen (en daarbij behorende persoonsgegevens) geld een bewaarplicht.

Niet helemaal correct. Voor facturen geldt een bewaarplicht in de zin dat de belastingdienst traceerbaarheid van transacties eist. Dat mag ook door een traceerbaar elektronisch ID te koppelen aan een factuur. Bijv. een uniek betaalkenmerk wat verderop in de keten bij een banktransactie te valideren is. In dat geval zijn persoonsgegevens niet een vereiste.

Een vereiste voor volledige identificatie dmv compleet uitgespecificeerde facturen is vziw alleen van toepassing bij bepaalde typen van transactie (bijv. vastgoed); boven bepaalde bedragen; en bij koop op afstand van/naar buiten de Unie.

Ook mag een vereniging een oud-ledenbestand bijhouden (met daarbij behorende regels).

Dat mogen ze alleen als ze leden bij het uitschrijven verzoeken of de gegevens behouden mogen blijven of als ze vooraf aan inschrijving duidelijk vermeld hebben aan hun aspirantleden dat ook lange-termijn verdere verwerking van hun gegevens als onderdeel van een oud-ledenbestand onderdeel is van de eisen van het lidmaatschap.

En dan nog dient men de leden te wijzen op hun recht op gegevenswissing waarmee men alsnog moet kunnen bewerkstelligen dat alle niet-essentiële gegevens vernietigd worden.

[Reactie gewijzigd door R4gnax op 30 november 2020 20:14]

Ik zie nergens staat hoelang de gegevens wel bewaard blijven en of je dus na bijv. 2 jaar wel verwijderd bent uit de database. Waarop baseer jij precies dat gegevens van zes jaar geleden ook onderdeel zijn van deze hack?

Omdat wij al langer dan zes jaar geen lid meer zijn maar wel een mail hebben ontvangen van de KNWU dat onze gegevens gestolen zijn.

idem dito hier

Ook ik heb de email gehad en ben al zeker 4 jaar geen lid meer. Quote uit de mail "De data uit de oude MijnKNWU-omgeving is gestolen." doet ook vermoeden dat het om de oude data gaat.

Dat wel, maar ik heb zelf de mail niet ontvangen (hoewel het mij niet eens meer bijstaat wanneer ik voor het laatste iets gedaan heb met de KNWU ;-)).

Nee hoor. Ze zijn verplicht dit voor x jaar te bewaren voor de belasting. Ik weet niet exact hoeveel jaar dit is.

Edit: Geim was me al voor.

[Reactie gewijzigd door Lagonas op 30 november 2020 09:29]

Username en ww buitgemaakt zal me een zorg zijn (want uniek, random ww via pasaword-manager).
Het erge aan dit lek vind ik dat er ook pasfoto's zijn buitgemaakt. Die moest elk lid die een licentie wil aanvragen namelijk uploaden naar zijn/haar account. Geen pasfoto = geen licentie = geen wedstrijden rijden.

Het erge aan dit lek vind ik dat er ook pasfoto's zijn buitgemaakt.

Oef! Ook een pasfoto... Dat wordt samen met NAW en geboortedatum toch wel gevaarlijk verleidelijk voor identiteitsdiefstal.

Ik heb zelf ooit bij een sportbond gewerkt, en ben daardoor ook met veel andere sportbonden in aanraking geweest. Ik heb nooit een branch meegemaakt die zo anti AVG is. Man wat een anti-privacy cultuur. "Ik heb niks te verbergen".

Het is goude data. Je hebt niet alleen persoonsdata, maar ook data wie mensen kennen en zo via whatsapp geld kunnen aftroggelen. "Hey ik <persoon waar je mee sport>, ik app via de telefoon van een vriend. Ik sta met pech ergens en kan de anbw niet betalen" Effectief? Ik denk net iets te vaak

Er werd bij verschillende bonden ongelovelijk onzorgvuldig omgegaan met de data. Ettelijke gigabytes aan persoonsgegevens met bankrekening nummer gaat gewoon elke dag de trein op de werklaptop in zonder encrypted disks. Val een keer in slaap en gegevens liggen op straat. Genoeg druk voor mij om niet in te slaap te vallen, voor andere niet. Sportbonden hebben per definitie een monopoly op hun sport, je kan er niet omheen als je ook maar iets doet.

De AP richt zich nogal graag op commerciële bedrijven als het gaat om checks, maar in werkelijkheid kunnen zij veel beter dit soort stichtingen, verenigingen en instellingen af gaan. Want als er ergens wat scheelt aan beveiligingen en bewaarplichten etc zijn het dit soort partijen wel.
Commerciële bedrijven hebben vaak het geld en de middelen wel om hun zaakjes op orde te krijgen. Ze kunnen zich vaak ook niet veroorloven om dat niet te hebben. Dit soort stichtingen daarentegen hebben 0 incentive om zich ook maar iets ervan aan te trekken.

Dat kan maar dan is de vraag hoe groot een vereniging moet zijn voordat het voor de AP interessant is. Is een clubje van 50 man dan al voldoende voor een controle en boete als het fout gaat?

Neemt niet weg dat ik het met je eens ben. Iedere club die persoonsgegevens verzameld zou van mij aan een aantal eisen moeten voldoen.

Ik kan me er niet helemaal in vinden dat clubs geen belang hebben het niet correct beveiligen van die gegevens. Een datalek is tenslotte zeer slechte publiciteit.

Het probleem is alleen dat bij verenigingen de boete gewoonlijk in de contributie wordt doorberekend, zodat de leden dubbel de klos zijn.

Dat doen ze toch al.

nieuws: Autoriteit Persoonsgegevens deelt AVG-boete van 525.000 euro uit aan ...

Volgens mij stond die oude omgeving nog intern online on oude data (uitslagen etc.) in te kunnen zien. Deze zijn niet gemigreerd naar de nieuwe omgeving.

klopt helaas niet. Als hij alleen intern stond dan kan je er vanaf buiten niet bij. De data zal wel in een submap hebben gestaan op de webserver. (= een aanname) Er wordt nergens aangegeven dat het interne netwerk van de KNWU gecompromitteerd is.

Waar ik vooral benieuwd naar ben zijn de wachtwoorden. Het bericht van de KNWU (pers, naar leden) rept namelijk niet over het al dan niet versleuteld opslaan van de wachtwoorden.

Ik neem aan gewoon MD5 hashes, dus ja zo goed als onversleuteld. Waarom neem ik dit aan? Het gaat om een oude database en die is ook niet gisteren ontwikkeld dus waarschijnlijk nog uit de tijd dat MD5 "prima" was, met een beetje pech ook nog unsalted.

salted / unsalted is niet relevant als ww in de data staan staat de salt er noodgedwongen ook bij.
Het is maar een klein beetje meer werk, zeker als de salt enekele keren voorkomt.

Dat maakt toch niets uit als je netjes overal een ander, uniek wachtwoord gebruikt? Voor de zekerheid ook nog wijzigen, en door.

Dit betekent dat je jouw gebruikersnaam en wachtwoord niet hebt hoeven wijzigen. Het is belangrijk dat je dit alsnog zo snel mogelijk doet.

Dit staat trouwens in de mail die ik heb. Best practice is sowieso om dit altijd te doen, ook al gebruiken ze de beste en veiligste hashing. Je weet immers nooit wat voor onbekende attacks in omloop zijn.

Verder naar onder bij de tips:

1. Verander je wachtwoorden en gebruik wachtwoordzinnen en/of een passwordmanager.

[Reactie gewijzigd door DataGhost op 30 november 2020 11:28]

Voor je eigen acties maakt het geen verschil, inderdaad wachtworoden wijzigen en door. Het maakt wél uit voor de wijze waarop we met de KNWU moeten omgaan...

Mijn mening neigt naar dat wachtwoorden best plaintext in de database opgeslagen mogen als je zelf fatsoenlijke wachtwoorddiscipline hebt. Je stuurt namelijk elke keer dat je inlogt je wachtwoord naar een site die al dan niet gecompromitteerd is, door hackers, een malafide (oud-)werknemer of een bug dus die kan op enorm veel manieren uitlekken waarbij de manier van opslaan in de database niets uitmaakt. Als je zelf geen wachtwoorden hergebruikt blijft alle "schade" beperkt tot alleen die site. Iemand die aan jouw inloggegevens kan komen via die site, heeft deze gegevens hoogstwaarschijnlijk niet eens nodig om als jou binnen te komen. Admins hebben hun eigen manier en evt hackers hebben die dan waarschijnlijk ook kunnen gebruiken. Doorgaans de enige interessante buit bij dit soort datahacks zijn wachtwoorden die hergebruikt worden.

Ik ga zelf bij elke site ervan uit dat deze slecht beveiligd is en zorg ervoor dat de impact van een inbraak voor mij minimaal is. Met mijn gegevens kunnen ze alleen maar inloggen op mijn KNWU. That's it.

[Reactie gewijzigd door DataGhost op 30 november 2020 11:38]

Nog beter, overal unieke mail adressen gebruiken.
Dan kan een gekraakt mail adres gelijk naar een anti spamlist door gezet worden in het kader van voorkomen van meer ellende.

True, dat doe ik ook. Kan je ook mooi zien hoe en waar gelekt wordt. Mijn Facebook-mailadres is bijvoorbeeld gevonden in de Myspace-leak. Maar ik kan dat vanwege een eigen domein *zonder* catch-all, voor de meeste mensen is het te hoog gegrepen om effectief uit te voeren. Als ik kwade intenties had als leaker zou voor bekende diensten de mailadressen sanitizen, bijv. bij gmail gewoon de + en alles daarachter en alle punten weglaten zodat het lastiger te herleiden is waar het vandaan komt, en niet te blokkeren. Als spammer zou ik hetzelfde doen. Neemt niet weg dat het een beetje kan helpen.

Dat pleit dus voor het hoofd account als een van de catch-all / spamtraps ( op het eigen domein )... ;-)

Hoe bedoel je dat precies?

Als er iets van de naam afgesloopt wordt voor subaddressing dan komt het vanzelf in de spamtrap.
als het "hoofd account" een trap is.

[e-mail] is hoofd account
[e-mail] is het mail adres voor whatever...
[e-mail] is dan voor vrienden (of beter iedereen een eigen adres).
als iemand dan denkt slim te zijn door blabla@.. te gebruiken komt het gelijk in de afval bak.

Ah, ja dat kan ook werken inderdaad, als je het zo in kan stellen dat het "hoofd-adres" altijd spam is.

Ik snap persoonlijk die focus niet zo op wachtwoordopslag als het aankomt op zeg maar even de slachtoffers van de buitgemaakte data. Elke keer komt dat naar boven bij dit soort nieuwsbericht.
Hoe veranderd dat iets voor je?
Het advies om gewoon even een nieuw wachtwoord te genereren blijft staan, ook als de laatste opslagnormen gebruikt zijn.
Er is geen enkel scenario waar het verstandig is buitgemaakte wachtwoorden te blijven gebruiken.
En ook nergens voor nodig met dat leger aan wachtwoordmanagers die je hebt tegenwoordig.

Koude wachtwoordopslag is echt veel te veel op ingezoomd in dit soort gevallen. Als jij als hacker op applicatieniveau ergens tussen komt kan je op invoerniveau al data onderscheppen en dan maakt het voor je veiligheid geen snars meer uit hoe dat in een database staat...
Ik zou me echt meer zorgen maken om overige buitgemaakte data als je gewoon zelf goed met je beveiliging bezig bent.

[Reactie gewijzigd door Polderviking op 30 november 2020 12:34]

Eerst zeggen ze dit:
"Hoewel de KNWU het zelf alleen over namen en contactgegevens heeft, zegt de woordvoerder dat er ook adressen, geboortedatums en betaalgegevens zijn buitgemaakt." "Hoewel de KNWU het zelf alleen over namen en contactgegevens heeft, zegt de woordvoerder dat er ook adressen, geboortedatums en betaalgegevens zijn buitgemaakt."

En dan dit:
"De KNWU zegt dat de data is gestolen vanuit een oude omgeving. Die werd begin dit jaar gemigreerd naar een nieuwe omgeving, maar de oude was wel nog intern toegankelijk."

Dan hadden ze dus toegang tot meer gegevens.

Ik vraag mij af waarom een oude omgeving nog intern online staat. Als die al is overgezet verwacht ik dat ze die ergens beveiligd hebben opgeslagen.

[Reactie gewijzigd door workermaster op 30 november 2020 09:28]

Ik kan me er wel wat bij voorstellen. De migratie naar een nieuw platform is klaar, op wat kleine puntjes na. Misschien wat applicaties die nog door enkele medewerkers worden gebruikt, die iets doen met data uit het oude systeem en nog aangepast moeten worden. Je bent geneigd dit als low prio te bestempelen, maar als je er niet bovenop zit kan dat zo jaren duren voor de oude omgeving helemaal uitgefaseerd is. Natuurlijk kwalijk als de beveiliging in het geding is, en helemaal als het om persoonsgegevens gaat.

Meestal om de historische data te raadplegen. Enkel de actieve klanten worden gemigreerd, heb je toch nog iets ouders nodig, kan je het nog gaan opzoeken.

Alles migreren is meestal niet zinnig.

Omdat zoals alles bij IT er iemand verantwoordelijk voor is die er geen zin in heeft. Een tweaker zal goed zorgen voor zijn eigen spul, een geirriteerde devops dude die maar ja te knikken heeft? eh, good luck.

Verbaasd me niks dat ze hun zooitje niet goed op orde hebben. Zit semi-noodgedwongen bij dit clubje omdat ik zo een verzekering kon afsluiten voor m'n racefiets. Ik betaal dus lidmaatschapgeld via de verzekering. Krijg ik alsnog een factuur of ik ff wil betalen voor m'n lidmaatschap. En dit jaar precies hetzelfde gedonder...

Die hackers fietsen rondjes om die wielervereniging! ;-)

Wat onsportief van je.