Gegevens van werknemers van voetbalbond KNVB zijn gelekt door 'cyberinbraak'

De Koninklijke Nederlandse Voetbalbond is getroffen door een 'cyberinbraak'. Daarbij zijn persoonsgegevens van werknemers gestolen. Over de oorzaak van het lek is nog niets bekend, evenals de omvang ervan.

De KNVB schrijft op zijn website dat er een 'cyberinbraak' heeft plaatsgevonden. Dat gebeurde specifiek bij de KNVB Campus, het opleidingsinstituut van de voetbalorganisatie. De KNVB schrijft in een kort bericht dat er persoonlijke gegevens van een onbekend aantal werknemers van de KNVB zijn gestolen. Het is niet bekend of er ook gegevens van leden zijn getroffen bij de aanval, maar daar zegt de KNVB in ieder geval niets over.

De exacte oorsprong en omvang van de aanval zijn eveneens niet duidelijk. De KNVB zegt dat 'de primaire bedrijfsvoering niet in gevaar komt'. Ook e-mailsystemen zijn niet getroffen. "Het voetbal gaat dus gewoon door zoals gepland", schrijft de bond. De KNVB was niet direct beschikbaar voor een reactie of meer uitleg.

Reacties (58)

[CAPSLOCK2000]

De eerste melding van een groot datalek... vandaag. Er zullen er nog wel een paar volgen en natuurlijk nog veel meer die niet in het nieuws komen. Het zou me verbazen als er nog iemand over is wiens data niet gelekt is. Het lijkt er meer op dat over iedere burger wel wat uitlekt op wekelijkse basis. (Dan heb ik nog niet niet eens over de data die verzameld wordt door Facebook & Google).

We moeten nú in radicaal grijpen anders heeft het geen zin meer. Als het al niet te laat is, maar hoe langer we wachten hoe groter het probleem wordt.

Het is allemaal zeer voorspelbaar want we zien steeds hetzelfde patroon: een bedrijf huurt een partij in om klantgegevens te verwerken en vervolgens lekt het daar. De reden is simpelweg dat er geen kwaliteitseisen zijn en praktisch geen gevolgen (voor de lekker) als er iets mis gaat. Dat is dus een race naar de bodem waarbij de goedkoopste aanbieder wint gevolgt door de aanbieder met de mooiste praatjes. Ondertussen is iedereen die security wel serieus neemt te duur.

Het is overigens niet zo dat er helemaal geen standaarden zijn maar dat de meeste software zelfs niet voldoet aan de meest basale standaard. Het doet er niet toe welke standaard je kiest maar tenminste 90% voldoet niet. En je moet niet denken dat de 10% die wel voldoet daarmee immuun is voor datalekken.

Het echte probleem zit ook niet in het bedenken van standaarden maar in het controleren daarvan, helemaal als je een onafhankelijke beoordeling wil.

In praktijk zijn er drie vormen van controle: broncode, pentest, beleid.
Met broncode bedoel ik dat een onafhankelijke controleur de broncode. Het probleem daarvan is dat het al snel net zo duur is als het ontwikkelen van de applicatie zelf. Daarnaast willen veel bedrijven niet dat anderen in hun brocode kijken ̇
Met pentest bedoel ik dat een ingehuurde hacker gaat proberen in te breken. Een oefeninbraak dus.
Dat is ook niet goedkoop en erg afhankelijk van de creativiteit van de ingehuurde hacker. Daar komt bij dat het risico bestaat dat er iets stuk gemaakt wordt. Zo'n test kun je dus ook niet doen zonder volledige medewerking van de leverancier in kwestie.
Tenslotte is er een inspectie van beleid en afspraken. Goed beleid helpt om constante kwaliteit te leveren en problemen te voorkomen. Beleid kun je wél eenvoudig controleren en daar zijn ook mooie standaarden voor. Een stuk lastiger wordt het als je wil weten of beleid ook echt wordt uitgevoerd.
Ik heb nog nooit iemand zien sneuvelen op gebrek aan beleid of het niet uitvoeren daarvan. Desgewenst wordt dat zou uit een boekje gehaald. Wat mij betreft is dit dus de minst nuttige vorm van controle. Helaas is het in praktijk wel (relatief) eenvoudig en goedkoop, dus dat is wat je het meeste ziet.

Owja, wees altijd heel kritisch op papierwerk want er wordt graag geschermd met niet-relevante standaarden zoals dat alle developers een EHBO-diploma hebben en dat de koffie gezet wordt volgens ISO-zus-en-zoveel.

Resumerend, security is gillend duur, alleen de controle is al peperduur. Omdat er toch geen standaarden worden afgedwongen en de gevolgen van een lek marginaal zijn is het aantrekkelijker om niet aan security te doen en dat af te dekken met wat theater. De klant is niet bereid om de prijs te betalen en kan het verschil toch niet zien.

[nout77]

Ik vrees inderdaad dat dit de kern van het beveiligingsprobleem is! Niet al te rooskleurig. Hier moet wat mee gedaan worden.
Mogenlijk subsidie geven voor verbeteringen ten behoeve van de digitale veiligheid. En externe security audits verplicht maken en deels vergoeden. Vervolgens deze certificering afdwingen waarbij beleid en procedures worden meegenomen en dit alles meer onder de aandacht brengen zodat de hele keten van subleveranciers dit certificaat moet hebben.

[dutchnltweaker]

Nederlandse voetbalbond KNVB lekt gegevens van werknemers na 'cyberinbraak'

Staat de Titel nu wel of niet goed? Als ik het nu lees, dan komt het over dat de KNVB zelf de gegevens heeft gelekt.

[Silent7]

Nederlandse voetbalbond KNVB lekt gegevens van werknemers na 'cyberinbraak
Nederlandse voetbalbond KNVB meldt lek gegevens van werknemers na 'cyberinbraak'

[kodak]

Hoe vervelend het ook is, als het een bedrijf of organisatie niet lukt om de wettelijk verplichte controle te houden dan lekt het ook zelf. Natuurlijk is er hier verschil tussen crimineel kopiëren en als organisatie de wet niet naleven, maar dat maakt hoe het is niet anders.

[Marcel Br]

Nee,dat doen ze niet zelf.
Als ik mijn deur niet op slot doe (en daardoor bestolen wordt) ben ik mijzelf niet aan het bestelen.

[copi]

Als een vat druppelt, is een vat toch lek? Het vat lekt in dat geval...

[jorikc]

Ja, maar een object dat lekt is toch wat anders dan een persoon of organisatie die gegevens lekt. Van Dale noemt het ook een andere betekenis:
https://www.vandale.nl/gr...derlands/betekenis/lekken

[kodak]

Alleen lekt het systeem van de organisatie. Dus als de organisatie zelf niet opzettelijk lekt, dan lekt hun systeem. En dan valt het nog prima lekken te noemen. De verantwoordelijkheid maakt dat het lekken daarmee ook op de organisatie slaat.

[gladius1983]

Precies. Als iemand een gaatje maakt in dat vat, dan lekt het vat. Niet de persoon die het gaatje maakt.

[kodak]

Het lekken slaat in dit geval niet op stelen. Het lekken slaat op het als organisatie iets nalaten zodat er een lek is en gegevens naar buiten gaan. En of ze nu de gegevens zelf publiek beschikbaar hebben gemaakt of onbewust gedaam hebben, dat heet lekken. Het lekken wat een crimineel doet is wat anders dan het lekken wat de organisatie doet. Beide is daarbij wettelijk niet toegestaan, daarom heet het lekken zelfs al zou het niet bewust gedaan zijn.

[Reactie gewijzigd door kodak op 22 juli 2024 19:30]

[Devalno]

De terminologie in het artikel veroorzaakt verwarring.

Volgens het artikel was er een "cyberinbraak" en zijn de gegevens "gestolen", dan waren de gegevens dus in meer of mindere mate wel afgeschermd (anders zou je niet hoeven inbreken) en was het bedrijf niet aan het lekken. Aan de andere kant: als het bedrijf zelf aan het lekken zou zijn, dan had er niet ingebroken hoeven te worden om er bij te komen.
Nu zou dit allemaal tegelijk zijn gebeurd, maar dat kan dus niet.

Ook kun je je afvragen of "gestolen" de goede term is, het is eerder "illegaal gekopieerd", want bij diefstal zou de oorspronkelijke eigenaar de gegevens vervolgens kwijt zijn.

[Reactie gewijzigd door Devalno op 22 juli 2024 19:30]

[WouterL]

Er is sprake van een datalek, dus de getroffen partij “lekt” gegevens. Ben het met je eens dat het er ongelukkig staat.

[dutchnltweaker]

Nee ja dat snap ik, maar toen ik de titel las dacht ik van he? Waarom zou de KNVB de gegevens nog lekken? Lekken ze de gegevens van diegene die de cyberinbraak heeft gedaan, misschien werknemers die dit gedaan hebben? Dat kan toch beter zo vermeld worden: KNVB meldt lek gegevens van werknemers na cyberinbraak.

[Reactie gewijzigd door dutchnltweaker op 22 juli 2024 19:30]

[HenkEisDS]

Haha alsof ze na het lekken iedereen een mail (niet bcc) hebben gestuurd met een waarschuwing en een excelbestand met hierin de getroffen medewerkers.

[Nelis13]

@dutchnltweaker ] Volgens jouw definitie lekt de KNVB gegevens. Maar de KNVB heeft niks veranderd de afgelopen weken. Dus lekten ze vorige week ook al gegevens? Dan klopt de titel alsnog niet, tenminste het gedeelte ' na cyberinbraak.

[Reactie gewijzigd door Nelis13 op 22 juli 2024 19:30]

[WouterL]

Ja, het staat er inderdaad wat ongelukkig. Het is overigens niet mijn definitie, maar de definitie van de AVG.

"inbreuk in verband met persoonsgegevens": een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens;

In principe is alleen gehacked worden al genoeg om te spreken van een 'datalek'. Het is dan verder niet eens relevant (voor de definitie) of de gegevens verder nog ergens terecht zijn gekomen, buitgemaakt zijn etc.

[Bergen]

Het hangt van de definitie van "lekken" af. Met "lekken" wordt vaak bedoeld dat vertrouwelijke gegevens moedwillig openbaar worden gemaakt, maar dat hoeft natuurlijk niet moedwillig te zijn. Als de KNVB vorige week al een lek in de beveiliging had, dan waren de gegevens blijkbaar "publiek toegankelijk" in de zin dat de hacker (die ook onderdeel is van "het publiek") er toegang tot had. In die zin waren de data vanwege het beveiligingslek publiek toegankelijk/gepubliceerd, maar dan wel voor een heel select publiek.

Er was vorige week dus ook al een lek, maar (om binnen de analogie te blijven) er stroomde nog niets uit.

[dutchgio]

"Nederlandse voetbalbond KNVB' is dan ook wat dubbelop aangezien KNVB staat voor de 'Koninklijke Nederlandse Voetbalbond'. Misschien de hele titel even herzien...

[CPV]

Dat is al eerder gedaan door de Algemene Bank Nederland Bank.

[NoSugar]

Als er iets duidelijk is geworden de laatste maanden is dat alle privacywetten niks voorstellen: gezien het gemak waarmee gegevens op straat komen te liggen.

[Olifant1990]

Dat is makkelijk praten, het kan ook gaan om geoorloofde data die er wel moet staan om mee te kunnen werken. Misschien was het alleen niet goed genoeg beveiligd, heeft niks met de privacywetten te maken in dit geval

[veltnet]

Ja het is makkelijk praten, maar daarmee niet minder waar. Gegevens komen te makkelijk op straat te liggen.

[CH4OS]

De AVG wetgeving zou toch juist moeten waarschuwen en zorgen dat bedrijven en instellingen hun informatiebeveiliging beter op orde hebben. Dit soort berichten laat zien dat hier en daar behoorlijk laks ermee omgesprongem wordt.

Natuurlijk kun je zeggen dat een inbraak een incident is en dat er van alles kan zijn waardoor dit gebeurd (linkje in foute mail, social engineering, you name it). Maar dat doet niet af aan het feit dat het blijkbaar nog écht gemakkelijk is om informatie te stelen...

[grasmanek94]

Ook op een systeem waar beveiliging op orde is kan het gewoon fout gaan, denk bijvoorbeeld aan cookie stealing software zoals bij Linus Tech Tips is gebeurd (over het algemeen zie ik Google als iemand die beveiliging op orde heeft, complex passwords, MFA, suspicious action re-login etc..). Er is achteraf altijd meer en betere beveiliging te implementeren, en er zijn genoeg slimmeriken die met unieke aanvallen komen die bijna niemand van te voren bedacht had.

[Reactie gewijzigd door grasmanek94 op 22 juli 2024 19:30]

[CH4OS]

Ik wilde inderdaad nog toevoegen aan mijn bericht dat bewustwording en verantwoordelijkheidsgevoel ook een belangrijk aspect is, bij welke (derde) partij dan ook, maar nu een ondergeschoven kindje lijkt te zijn bij met name grote partijen. De gehele keten moet te vertrouwen zijn, dat is immers zo sterk als de zwakste schakel. En natuurlijk kan het wel eens mis gaan, maar zo vaak als het nu fout gaat, kan mijns inziens ook niet de bedoeling zijn.

[grasmanek94]

Zorgt de meldplicht niet dat we standaard juist meer van zulke berichten lezen? Eerst werd er nooit iets gemeld tenzij het echt niet anders kon..

[CH4OS]

De melddplicht zorgt daar zeker voor, gelukkig! Toch denk ik wel dat het goed is dat deze meldplicht er is. Zonder de meldplicht zou het niet inzichtelijk zijn hoe groot dit eigenlijk is en hoe vaak het gebeurd (en hoeveel er dus onder het tapijt geschoven wordt). Helaas zorgt het niet per se voor een betere bewustwording en verantwoordelijkheidsbesef partijen en bedrijven.

[Reactie gewijzigd door CH4OS op 22 juli 2024 19:30]

[SirLenncelot]

Meldplicht zorgt er dan iig voor dat dit niet onder het tapijt geveegd wordt.

[veltnet]

Was het maar zo. De AP werkt niet heel erg snel. Heb 3 meldingen uitstaan die nog steeds niet zijn behandeld vanwege drukte bij het AP.

[CH4OS]

Voor de huidige problematiek is de AP dan ook zwaar onderbemensd, helaas.

[Quintiemero]

Alle strafrechtelijke wetten doen er ook niet toe gezien de delicten die er worden gepleegd…. Huh.

[Tomatoman]

Het is een illusie dat de werkelijkheid altijd zal veranderen door wetten in te voeren. Inbraak is al sinds mensenheugenis strafbaar en toch vinden er nog altijd volop inbraken plaats. Hetzelfde geldt voor privacywetgeving: die veranderen niet spontaan de werkelijkheid dat datalekken nu eenmaal (ongewild) plaatsvinden.

[litebyte]

De wetten stellen op zichzelf vaak dan wel wat voor, maar het schort vaak in de naleving en uitvoering. Die zijn net zo belangrijk als de wetgeving zelf.

[veltnet]

De uitvoering is zelfs belangrijker dan de wet. Met een goede uitvoering heb je geen wet nodig.

[Verwijderd]

Je gaat een wet uitvoeren die geen wet is?

[Willy89]

Ik snap alle commentaar op de melding niet. Ik heb als medewerker in al die "GDPR trainingen" altijd gehoord dat wanneer er een data lek is, ook wanneer bijvoorbeeld een klantenbestand door een medewerker wordt verstuurd, het bedrijf verplicht is dit te melden.

Nu is deze situatie door de KNVB gemeld en wordt er lacherig over gedaan. Ik vind het erg netjes van de KNVB dat ze het melden!

[MrMonkE]

Wettelijk verplicht te melden?

[veltnet]

Ja

[DiaZ_1986]

Nou en of:

Melding van een inbreuk in verband met persoonsgegevens aan de toezichthoudende autoriteit

1. Indien een inbreuk in verband met persoonsgegevens heeft plaatsgevonden, meldt de verwerkingsverantwoordelijke deze zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen, aan de overeenkomstig artikel 55 bevoegde toezichthoudende autoriteit, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Indien de melding aan de toezichthoudende autoriteit niet binnen 72 uur plaatsvindt, gaat zij vergezeld van een motivering voor de vertraging

Artikel 33 van de AVG

[Reactie gewijzigd door DiaZ_1986 op 22 juli 2024 19:30]

[nout77]

Is dit anno 2023 nog een serieuze vraag voor veel mensen..? Dat verbaast mij, die wet is er al enkele jaren en een meldplicht is het minste wat je kunt doen nadat het mis is gegaan.

Sterker nog, ik ben voorstander om bedrijven veel meer verantwoordelijk te houden voor het lekker van gegevens. Alleen dan wordt het prioriteit voor de directie. En wordt er meer ruchtbaarheid aan gegeven omdat het dan in het nieuws komt dat bedrijf X is vervolgt wegens het niet naleven van de minimale digitale veiligheidsvereisten. En dan boel ik niet alleen een boete vanuit de AP maar ook echt strafrechtelijke vervolging.

[MrMonkE]

Ja ik bedoelde meer dat het verplicht is en melden niet 'netjes' is maar 'normaal'.
Verder met je eens. De tijd van 'niet iedereen begrijpt het' is voorbij. Iedereen heeft tijd genoeg gehad de juiste mensen in te huren en op te leiden. Laat er maar wat consequenties tegenover staan.

consequenties; De beste motivator ooit!

[litebyte]

Een ...'cyber' inbraak? Dus een inbraak in de cyberruimte...of cyber space?

Er is dus ingebroken op computers en er zijn persoonsgegevens gestolen (al dan niet door onoplettendheid van medewerkers.).

[Ralph84]

Wat gebruiken dit soort organisaties om al hun data te beheren en administratie te doen?
Windows 7 nog steeds ofzo?

[xfj]

Het platform maakt niet uit wanneer iemand vraagt om het wachtwoord en dat krijgt van iemand die niet oplet. Het platform kan ook volledig up-to-date zijn, maar wanneer applicaties op het gebruikte platform niet ge-sandboxed zijn kan iemand ook een e-mail met 'contract.exe' sturen met een PDF icoontje, en omdat Windows standaard extensies van bestanden verbergt kan iemand zonder erg een PDF openen die op de achtergrond het browserprofiel met alle ingelogde sessies uploadt.

Natuurlijk zijn onbeveiligde computers geheid lek, maar elk platform heeft een zwakste schakel.

[Quintiemero]

Iemand heeft een Linus filmpje gezien.

[Sissors]

Daarvoor hoef je geen Linus filmpjes bekijken hoor . Het is gewoon heel lastig om alles volledig te beveiligen als mensen simpelweg hun login gegevens achterlaten. 2FA kan helpen natuurlijk, maar als je een 2FA vraag krijgt en gewoon op "Ja" drukt, zijn ze daar ook langs.

Overigens voor je een contract.exe met PDF icoontje opent, komt er nog wel een hele grote rode melding in je Windows te staan. En dat is het lastige, als mensen die melding negeren, dan gaat het zien van .exe het ook niet meer veranderen.

[Nelis13]

Ja, maar nu staat het er alsof er na de inbraak de KNVB gegevens lekt. Maar de inbreker lekt de gegevens na de inbraak.

[WouterL]

Het binnenkomen of gehackt worden is naar de letter van de wet al gegevens lekken, omdat er sprake is van onrechtmatige toegang tot.

[Reactie gewijzigd door WouterL op 22 juli 2024 19:30]

[Johnny D]

Als er bij jou ingebroken wordt dan heb jij toch niets gelekt
Of is de kop alleen om meer kliks te krijgen ?

[RCBL]

Al met al komt er in deze digitale wereld steeds meer en meer op straat te liggen.....Triest

[pbruins84]

Waarom staat 'cyberinbraak' hier tussen aanhalingstekens? Is het geen echte cyberinbraak, maar iets wat er op lijkt?

Andere media spreken gewoon over een cyberinbraak.

[PommeFritz]

misschien was het wel een klassieke inbraak en hebben ze een usb stick meegegrist ....

[CAPSLOCK2000]

Waarom staat 'cyberinbraak' hier tussen aanhalingstekens? Is het geen echte cyberinbraak, maar iets wat er op lijkt?

Andere media spreken gewoon over een cyberinbraak.

Het voorvoegsel 'cyber' betekent zoveel als: "de schrijver weet niks van computers".

Het heeft eigenlijk nooit waarde om ergens 'cyber' voor te plakken. Dat wordt vooral gedaan omdat mensen het wel stoer vinden klinken en om hun gebrek aan kennis te te verbergen. Het enige echt nut van dat woord is als rode vlag, bij het woord 'cyber' zie springt mijn bullshit-detector aan.

Ja, er zijn uitzonderingen maar het is niet nodig te benoemen. If you've got to ask you will never know.

[CivLord]

Het voorvoegsel 'cyber' betekent zoveel als: "de schrijver weet niks van computers".

Dat geldt misschien voor tweakers. Voor het grote publiek is het meteen duidelijk dat het iets met internet en computers te maken heeft.
Bij computerinbraak kunnen mensen misschien enken dat er fysiek ingebroken is en dat er computers gestolen zijn.

'Cyber' is voor iedereen in de ICT, en iedereen die er iets van af weet, een betekenisloze term omdat het te vaag is en niet genoeg bepaald. Voor de rest van het publiek is het vaag genoeg om voldoende te snappen waar het ongeveer iets mee te maken heeft. Elke meer specifieke aanduiding is alleen maar verwarrend.

Maar uiteindelijk komen we wel terug bij de vraag waarom deze term op Tweakers gebruikt is, want hier horen we beter te weten.

[litebyte]

Het is eigenlijk een nontitel...alle media hebben het (van elkaar) over getiept, waarschijnlijk de knvb informatie.

Het is 'gewoon' een computerinbraak..of misschien nog niet eens dat maar nog eerder een 'computerinsluiping'. alleen klinkt dat veel minder spannend. Het heeft dus niets te maken met de zogenaamde cyber space. Het enige wat de knvb dus zeker weet is dat er persoonsgegevens verdwenen zijn.