Gemeente Epe vervangt duizend ID-bewijzen gratis na datalek door ClickFix-aanval

De Nederlandse gemeente Epe gaat de paspoorten, rijbewijzen en ID-kaarten van meer dan duizend inwoners gratis vervangen, omdat kopieën van de ID-bewijzen zijn gestolen bij een ClickFix-aanval. Daarbij kregen aanvallers 552.000 bestanden in handen.

Van alle inwoners zijn onder meer namen, adressen, geboortedata en bsn's bij de hackers beland, meldt de gemeente. DigiD-gegevens stonden niet op de servers en zijn dus niet gestolen. Er zaten ongeveer duizend mensen bij die een voorziening hebben aangevraagd en daarvoor zat er een kopie van een ID-bewijs tussen de gestolen bestanden. Omdat kopieën bruikbaar zijn voor fraude, vervangt de gemeente die identiteitsbewijzen kosteloos. Normaal kosten die rond 53 euro voor een rijbewijs en tussen 80 en 90 euro voor een ID-kaart of paspoort.

De aanval vond 12 maart plaats door een ClickFix-aanval. Bij zo'n aanval verleiden hackers gebruikers om PowerShell-commando's in te voeren. Dat gebeurt vaak met meldingen dat er iets verouderd is of niet meer werkt en het commando is zogenaamd nodig voor de oplossing. De aanval vindt doorgaans plaats via pop-ups in browsers.

Welke malware de hackers precies installeerden, vermeldt de gemeente niet. Wel kregen ze daardoor toegang tot het netwerk, waarna ze de meer dan 550.000 bestanden hebben gedownload. De gemeente heeft onderzoek laten uitvoeren. De gemeente met in totaal rond 32.000 inwoners heeft een pagina online gezet met tips voor slachtoffers van de datadiefstal.

Voorbeeld van een ClickFix-aanval

Reacties (136)

[PtrO]

Te beginnen zou elke organisatie, sws met (veel) vertrouwelijke data, moeten voorkomen dat die en-massa in z'n totaliteit of onversleuteld kan worden verkregen (via bv download/copy).
Zo ja nodig, dit alleen dan alleen met bijbehorende vier of meer ogen. 10 bestanden of één dossier mag een ambtenaar eventueel zelf beslissen; en elke factor hoger vereist dan extra autorisatie. Te zot ook dat die gevoelige bestanden cq dossiers, het pand via welke ongecodeerde weg dan ook, konden verlaten.

Vooral mensen die meer dan alleen simpel wonen in Epe zijn hiermee beschadigd in het vertrouwen. Best vervelend te weten dat je niet weet wie er met jouw data nu of later (ooit) aan de haal kan gaan.

Dit aantal zegt ook iets over de massaliteit van gemeentelijke data(registratie/opslag). 32.000 Epenaren die (hier) daarmee 552.000 bestanden bezetten. Wanneer ik dat extrapoleer (Epe heeft 33.731 inwoners) komt dat voor Nederland neer op een kleine 3 miljard verwerkingsbestanden (160 per inwoner).

[Bas-w]

Het artikel geeft niet aan of al die bestanden aan burgers gekoppeld zijn, het kunnen natuurlijk ook gewoon beleidsdocumenten, 'hoe werk ik veilig met het netwerk.doc', etc zijn. Dus de aanname van 160 bestanden per inwoner gaat waarschijnlijk mank.

[Henkieschmenkie]

Volgens de NOS is van bijna alle bewoners het BSN gestolen, en van 1000 bewoners het kopie-ID. Los van hoeveel bestanden dat per bewoners precies is lijkt me klaarhelder dat dat niet moet kunnen door een fout van een enkele medewerker.

[Bas-w]

Idd geheel eens met wat @PtrO daar al over schreef, voor zulke acties zou een vier ogen of meer principe moeten gelden. Al zullen daar ook wel wegen omheen te vinden zijn op een bepaald niveau. Misschien gescheiden systemen voor bepaalde zaken. Omslachtig, maar veiliger.

[PtrO]

De gemeente geeft dat ook zelf niet aan noch te willen kunnen onderzoeken; en noemde het aantal bestanden hier in relatie tot burgers.
Laat ik verder hopen dat die bestanden geen vertrouwelijke bedrijfsinformatie en/of die van bv personeel betrof want dan is de olievlek in mogelijke gevolgen nog wat groter dat die nu al is.
Stel een organisatie in de "verweer" met de Gemeente Epe, kan dan op die manier benaderd worden.

[Pasteis]

Tijd om de broekriem aan te trekken en preventief elke gemeente, overheidsinstelling en semi-overheid te gaan pentesten. Het is duidelijk de laatste weken dat hackers effectiever weten te zijn. Daar moet dus nu niet decentraal en lokaal gehandeld naar worden, maar op hoger, nationaal niveau.

De storm aan hacks, commercieel en niet-commercieel, moet een duidelijk teken zijn dat we serieus cybersecurity hoog moeten gaan prioriteren.

[Reactie gewijzigd door Pasteis op 23 april 2026 13:50]

[sdziscool]

de oplossing is om het gewoon NIET door gemeentes te laten regelen, ik kan in heel drente waarschijnlijk 10 man en misschien 1 bedrijf vinden die het allemaal correct zouden opzetten, en die werken niet voor wat de gemeente ervoor kan betalen. Laat staan lange termijn onderhoud. Dit soort spul zou gewoon als centraal pakket moeten worden afgenomen door de overheid.

[Pasteis]

Eens. Veel gemeentes zijn te klein om een volwassen IT organisatie neer te zetten. Alles uitbesteden ben ik geen fan van. Vanuit een centrale overheid organiseren is een stuk beter

[GurbieV]

Ja, en dan hadden ze nu dus de gegevens van álle Nederlanders gehad.

Decentralisatie heeft ook voordelen.

[Merik]

Maar met zo'n verbond kan je wel eerder een fatsoenlijke IT-organisatie opzetten. Sommige gemeentes hebben geen gekwalificeerd (voltijd) personeel.

[MischaBoender]

Centraal organiseren hoeft natuurlijk niet te betekenen dat alle data ook centraal wordt opgeslagen. Nog een voordeel van decentralisatie is dat als 1 gemeente een probleem heeft de andere gewoon kunnen doordraaien. Maar zelfs centraal zou je kunnen denken aan compartimentering van systemen.

[jeroen79]

Je kan ook afgescheiden omgevingen opzetten en die centraal beheren.

[AWitteveen]

Ik kan alleen voor de provincie Utrecht spreken, maar daar regelen de meeste gemeenten hun ICT ook niet zelf. Dat gebeurt bijna altijd door een externe (private) partij. Daarnaast zijn er enkele gemeenten die hun krachten hebben gebundeld en samen een ICT organisatie hebben opgezet. Maar ik ken geen gemeente die het helemaal alleen doet.

[Merik]

Precies, net als Equalit , een initiatief van 12 gemeenten in West-Brabant. Dat werkt via een remote desktop-opzet, redelijk veilig maar met een kanttekening (niet schokkend). Qua situatie zoals @AWitteveen noemde.

[Webgnome]

want bedrijven in de private sector maken nooit fouten? De IT daar gaat ALTIJD goed? En er gaat met centrale pakketten nooit iets fout? Ben je chipsoft vergeten? (en zo zijn er nog wel andere datalekken in de private sector te noemen ).

Het punt hier is de eindgebruiker die in een dergelijke aanval is getrapt. Of het beter zou zijn om de IT door 1 bedrijf te laten regelen ( of landelijk for that matter ) is dus maar zeer de vraag.

[Reactie gewijzigd door Webgnome op 23 april 2026 14:06]

[sdziscool]

ja, want dan kan dit eenmaal gebeuren en daarna is het lek gedicht, door middel van extra controles of limitaties op toegang etc. Nu mag iedere gemeente gaan overwegen of dit ook bij hun kan gebeuren, en per gemeente moet er dus een hele IT heisa worden gedaan en allemaal zullen ze een mediocre oplossing verzinnen als ze al uberhaupt iets doen. Het is niet logisch om dit decentraal te hebben want dan gaat de helft gewoon zitten met een systeem uit 2008 dat draait op windows XP.

[Webgnome]

Succes met het afstemmen van alle processen en dergelijke zodat er 1 systeem kan worden gebruikt. Zou het niet beter zijn als er vanuit de landelijke / provinciale overheid wat meer regie is op dit soort dingen?

* Webgnome vind dat je nogal veel aannames doet over mediocre en oude systemen.

Een van de problemen van een 'centraal' systeem is toch wel dat als er 1 gemeente gehackt is het een klein kunstje is om andere gemeentes ook te pesten. Dat zou al een reden kunnen zijn om dingen vooral niet centraal aan te besteden.

[Reactie gewijzigd door Webgnome op 23 april 2026 14:15]

[sdziscool]

ja, dat pleit ik ook: alles centraler regelen.

En ja er bestaan uitzonderingen voor oude software, maar over het algemeen geld gewoon: oud = onveilig, oud = moeilijk te onderhouen en oud = duur. Vooral als het gaat om service applicaties.

[The Zep Man]

ja, dat pleit ik ook: alles centraler regelen.

Misschien niet alles, maar wel processen die gelijk (kunnen) zijn. Het aanvragen van ID-documenten is bijvoorbeeld geen proces dat iedere gemeente zelf moet uitvinden/optuigen. Ik schat dat 80% van de zaken bij gemeentes landelijk ingericht kunnen worden.

[Reactie gewijzigd door The Zep Man op 23 april 2026 14:30]

[B Tender]

Edit

Nevermind

[Reactie gewijzigd door B Tender op 23 april 2026 16:02]

[SPee]

maar over het algemeen geld gewoon: oud = onveilig, oud = moeilijk te onderhouden en oud = duur.

Maar ook: nieuw = onveilig.

Er zijn recent ook malafide updates geweest van software. Als je gelijk alles update, dan zat je nu ook met malware in je systeem. En zolang de software lokaal en/of in een beveiligde omgeving draait, is het risico niet zo groot.

YouTube: Stop Updating Your Software (No, Seriously)

[PepijnK]

Maar om de boel centraal te regelen moet de overheid eerst over haar eigen schaduw heen stappen en mensen met kennis ook een marktconform salaris betalen.

Ik ken genoeg mensen die na hun 40-ste de overstap hebben gemaakt van de vrije sector naar de overheid, maar de meeste van hen doen dat zodat ze hun pensioen kunnen consolideren naar het ABP. Of ze doen het omdat ze dan veel gemakkelijker kunnen terugschalen in uren als dat belangrijk is voor hun gezin.

Maar niemand doet het om het geld. Stuk voor stuk hebben ze allemaal een alternatieve reden die voor hen meer waard is om 3-4-5000 euro in de maand in te leveren.

En de jongens en meiden met goede papieren die net van de opleiding komen, die gaan al helemaal niet voor een ambtenarensalaris werken, die kijken een keer bij de gemeente of de provincie wat ze daar kunnen doen en verdienen. Komen vervolgens een vacature in de FinTech tegen waar ze 3x het bedrag kunnen verdienen en die kijken nooit meer terug.


Maar dit hele drama hebben we al eens gezien met de afbraak van de AWBZ. Vroeger had het CIZ overal wel expertise voor in huis. Toen kwam de WMO en moesten gemeentes het zelf gaan regelen. Met als gevolg dat die mensen die bij het CIZ werkten zijn gaan overnemen en nu hebben we zowel landelijk als per gemeente eigenlijk geen dekkende expertise meer.
Netto is de WMO duurder dan de AWBZ was en er wordt minder zorg geleverd, omdat gemeentes een directe financiele prikkel hebben om zaken af te wijzen, want het geld is niet geoormerkt.

Op dezelfde manier is er eigenlijk geen landelijk expertise centrum wat dit soort zaken goed kan regelen. De expertise die er nu bij gemeentes zit, die gaat de landelijke overheid niet los weken, want de salarissen zijn allemaal CAO. En uit de vrije sector gaan ze niemand vinden, want daar willen ze niet voor betalen.

[trab_78]

Het gaat niet alleen over salarissen. Ik heb van dichtbij gezien dat werken bij de overheid vaak ook gewoon niet leuk is. Door vergadercultuur, politiek gedoe en veel mensen die de kantjes eraf lopen en daar ook nog mee wegkomen.

[Iconlast]

Ja dit dus! Het ligt aan meerdere dingen, en niet alleen de medewerkers, ook degene die ICT diensten leveren. Je kan wel makkelijk zeggen dat het aan de gemeentes enzovoorts ligt maar veel bedrijven hebben hun zaken niet op orde. Zoals de vele hacks in de laatste week. En het is niet OF je wordt gehacked, het is WANNEER.

[Aldy]

Het punt hier is de eindgebruiker die in een dergelijke aanval is getrapt.

Het voorbeeld in het artikel ziet er anders gelikt uit. Er staat geen bedrijf bij, eigenlijk helemaal niets, dus het zal wel met je pc zelf te maken hebben. Je wilt ook snel doorwerken, dus even doen wat gevraagd wordt. Ik kan mij voorstellen dat menigeen erin trapt. Laten we wel zijn: De medewerkers werken wel met een computer, maar ze hoeven geen verstand van de techniek erachter te hebben.

[bart1604]

Dit is wel erg kort door de bocht. Ik snap het principe van "Slager keurt zijn eigen vlees" maar ik werk als systeembeeheer bij een grotere gemeente en kan wel echt zeggen dat wij het goed op orde hebben.

Ik kan niet praten voor andere gemeentes uiteraard, maar wij doen regelmatig pentesten uitvoeren door een externe partij. "Voeden" de gebruikers regelmatig op met cursusses, die soms geef ik toe wat te simpel zijn, maar awareness staat wel echt centraal.

Daarnaast wordt er voor security een flink budget vrijgemaakt. Hierdoor hebben we een volledige SIEM/SOC omgeving.

Ik heb vertrouwen in onze omgeving. Maar zeg natuurlijk nooit, nooit.

[sdziscool]

ja, ik heb het voornamelijk over het feit dat gemeente 'Epe' over minder budget en expertise beschikt dan een enkele wijk van jou gemeente, dat grote gemeentes het goed hebben geloof ik graag, het probleem is meer dat gemeente Epe voor een hoop dingen exact hetzelfde moet doen als jou gemeente, maar daar 10x minder geld of resources voor heeft. Een database van 40.000 inwoners bijhouden kost (ongeveer) evenveel moeite als eentje van 500.000, met dezelfde challenges.

[kdekker]

Er was ooit (lang geleden) iemand bedacht dat er een soort centraal register - ik dacht voor paspoorten of medische gegevens - moest komen. Aan de ene kant heb je gelijk dat met meer kennis en kunde de beveiliging beter op orde kan zijn. Aan de andere kant: als je zaken centraliseerd, wordt het wel een machtig aantrekkelijk doelwit (honingpot). Als er iets mis gaat, dan is de schade nog veel groter.

En om die schade af te dekken, zullen er vast boete clausules komen, waar de uitvioernde partij zich ook weer indekken zal. Kortom: dat gaat zeker weten een kostenplaatje krijgen.

Ik weet niet in hoeverre gemeentes hun eigen IT-wiel uitvinden. Decentraal opslag (voorzover gemeentes alles niet doorsluizen naar centrale systemen) zijn lastiger te kraken, maar uniformiteit in uitvoer van beveiliging en strenge regels voor security zou welkom zijn, als dat niet op orde is. Dan nog moet je rekening blijven houden met de optie dat kwaadwillenden binnenkomen. Social engineering/de mens blijft een beinvloedbare/zwakke schakel.

Maar goed: we hebben op Tweakers ook best wel vaak de houding van de beste stuurlui (aan de kant). De werkelijkheid zal complex(er) zijn. Budgetten, tijd, mankracht, kennis, het is allemaal niet onbeperkt aanwezig.

[B Tender]

Je doet voorkomen dat overheden hier een voorbeeld aan bedrijven kunnen nemen, maar de dagelijkse/wekelijkse berichten over datalekken aldaar doen anders vermoeden.

[trab_78]

Ik zeg niet dat er geen winst te halen valt door sommige zaken landelijk te faciliteren, maar álles centraliseren lijkt me ook niet gewenst. Ik weet dat gemeenten vaak samenwerkingsverbanden aangaan voor dit soort dingen. Dat lijkt me een betere oplossing.

Dat gezegd hebbende: laten we niet doen alsof dit alleen een probleem is van gemeenten. Er zijn recent ook genoeg lekken bij commerciële bedrijven in het nieuws geweest.

[De_Bastaard]

Ik kan me niet voorstellen dat dat niet al gebeurd? Bij mij op het werk maken we apps voor intern gebruik en die worden al zeer regelmatig gepentest.

[PtrO]

Je kan natuurlijk prima pentesten dat je een backup kan maken (en die intern kan meenemen).

[TommieW]

DigiD verplicht een jaarlijkse pentest.

[johnnijm]

Pentesten zijn al verplicht.
Zie: https://www.informatiebeveiligingsdienst.nl/actueel/
Meestal is het probleem dat 'er even gewacht moet worden op een update of upgrade' in verband met tijd en geld. De IT-afdeling wil wel, maar het hogere management houdt het nogal eens tegen.

[Snow_King]

Pentest op wat? Je kan niet even alles pentesten. Klinkt in de theorie leuk, totdat je echt in de details en scope van de pentest gaat duiken.

Risico's blijven er altijd en nu was het dus een gebruiker die gewoon PowerShell uitvoert waarna de aanvallers gewoon bestanden konden downloaden.

[3_s]

Ik denk dat je bedoelt dat ze de teugels moeten aanspannen, namelijk dat ze strenger moeten zijn.

Broekriem aantrekken is bezuinigen, dat lijkt me nu geen goed plan om dit te voorkomen.

[Roko]

Pentesten? Dat doen die hackers toch al gratis voor hun. Het kost jammergenoeg alleen veel meer als blijkt dat de pen positief was. 😅😉

[Oon]

Soweso toch gewoon absurd dat je moet betalen voor een ID-bewijs dat verplicht is voor allerlei doeleinden? Je kunt niet leven zonder, maar als je het geld niet hebt dan moet je hopen op een potje bij de gemeente ofzo

[The_Anarchist]

En als het gratis is zijn ook opeens de kosten weg? De prijs moet wettelijk gezien kostendekkend zijn, het is dus geen melkkoe voor de begroting.

[batjes]

Nu is het de vraag of het ook zo is. In het verleden heeft iemand wel eens de specificatie van de prijs opgevraagd via een rechter en bleek het gewoon een gok te zijn.

No way dat een bijna volledig geautomatiseerd process ~80 euro kost voor een stukje plastic.

[Reactie gewijzigd door batjes op 23 april 2026 15:23]

[GertMenkel]

Dat is toch gek? Ik ga de bak ik als ik geen ID heb, maar als ik me aan de wet moet houden moet ik wel de overheid betalen.

Trek die tienjaarlijkse tientjes van de vele duizenden aan inkomstenbelasting af zou ik zeggen. Mocht je je ID verliezen, of een los ID en paspoort willen, dan zie ik nog wel waarom je ervoor zou moeten betalen, maar ik vind het absurd dat je moet betalen om legaal op straat te mogen lopen.

[CivLord]

Ik denk dat kosteloos verschaffen voor idereen alleen maar duurder zal zijn.

Linksom of rechtsom moet er voor betaald worden. Of individueel aan de balie, of collectief via belastingen.

Zoals je al aangeeft, iedereen heeft een vorm van ID-bewijs nodig. Maar nu kan iedereen zelf kiezen welke vorm nodig is.
Mensen met een rijbewijs, kunnen deze in de meeste gevallen ook als een ID-bewijs gebruiken. Zij hebben, enkel als ID-bewijs dus niets anders nodig. Voor de rest is het een keuze tussen een ID-kaart of een paspoort.

Zou je iedereen nu een gratis duur paspoort moeten geven, terwijl ze met een gioedkopere ID-kaart of een nog goedkoper rijbewijs ook aan hun verplichtingen kunnen voldoen? Of wil je iedeen een gratis ID-kaart geven, waarna diegenen die een paspoort nodig hebben (voor buitenlandse reizen) daar alsnog voor moeten betalen (terwijl ze via de belastingen dus ook al voor die ID-kaart hebben betaald)?
Er zal weinig besparing zijn door het standaard gratis te maken. Al het baliewerk voor aanvragen en ophalen blijft gelijk. En wanneer er al meer dan de pure kostprijs betaald moet worden, dan zullen de gemiste inkomsten toch ergens anders vandaan gehaald moeten worden.

[Jeroen73]

"Een rijbewijs is niet geldig als legitimatiebewijs in het buitenland, bij grenscontrole, bij indiensttreding bij een nieuwe werkgever, of voor administratieve handelingen waarbij nationaliteit moet worden aangetoond (zoals aanvraag paspoort, belastingdienst, gemeente, IND). Het is ook ongeldig als het is verlopen of bij de politie als de bevoegdheid is ontzegd."

Je zult in de praktijk dus gewoon ook nog een id of paspoort moeten hebben, wat je dan meestal thuis kunt laten.

[CivLord]

Het enige wat van al die uitzonderingen voor een Nederlander onoverkomelijk is, is de indiensttreding bij een werknemer.
Reizen is in de meeste gevallen een eigen keuze en in vrijwel alle gevallen vallen de kosten van een paspoort in het niet bij de overige reiskosten.

[runnershigh]

Mensen met een rijbewijs, kunnen deze in de meeste gevallen ook als een ID-bewijs gebruiken.

niet in het buitenland

[CivLord]

Reizen is in de meeste gevallen een eigen keuze en in vrijwel alle gevallen vallen de kosten van een paspoort in het niet bij de overige reiskosten.

[Daoka]

Paspoort en rijbewijs zijn vrijwillige keuzes. Ja je hebt een paspoort nodig om naar het buitenland te kunnen en een rijbewijs om te rijden maar uiteindelijk wordt je niet verplicht vanuit de overheid om dit te hebben. Dat je het bijvoorbeeld wel voor werk nodig heb maakt niet uit, je kan ook ergens anders werken. Maar een id kaart is verplicht dus hiervan zou ik ook zeker vinden dat dit wel gratis mag.

Daarnaast kan het zeker wel goedkoper. Ik vind een rijbewijs eigenlijk ook onzinnig. De politie kan met je id kaart gemakkelijk even nagaan of je bevoegd ben om te rijden. Waarschijnlijk als ze om je id kaart vragen dan kijken ze toch in hun systeem voor extra informatie en daar kan makkelijk rijbevoegdheid bij staan. Er zou wel een goedkopere mogelijkheid moeten komen om dan op andere plekken kunnen bewijzen dat je een rijbewijs hebt zoals voor werk waar je moet rijden of auto huren. Of combineer rijbewijs met je id kaart. Dan hoeven ze dus maar 1 kaart te maken in plaats van 2.

[i7x]

Je kunt wel leven zonder hoor; krijg je van alles gratis.

[PjotterP]

Daar is niets absurds aan. Het leven kost geld.

[B Tender]

Hoezo is dat absurd? Het kost geld om te maken, zo'n ding komt niet uit de lucht vallen. Dat je niet kunt leven zonder lijkt me niet relevant. Je kunt het wel 'gratis' maken (met heel grote aanhalingstekens) en de gemeentelijke lasten gewoon twee tientjes per jaar omhoog gooien maar dat komt op hetzelfde neer uiteindelijk.

Je kunt ook niet zonder eten leven, en toch is het vrij evident en logisch dat je voor eten moet betalen. Als er niet voor eten betaald wordt gaat niemand de kosten maken of het risico nemen om eten te produceren, dat wordt dan heel snel een verlieslatende activiteit.

[turkeyhakan]

Zo kan het ook hé Odido.. vervelend dat de gegevens gelekt zijn bij de gemeente Epe, maar de oplossing ligt ook direct voor handen.

[japie06]

Alleen zijn bij Odido alleen de documentnummers gelekt. Daar kan je bijna niks mee. (maakt het lek van Odido niet minder kwalijk overigens)

[turkeyhakan]

Dan ben jij niet goed op de hoogte. Zelfs op de website van Odido staat:

Om welke informatie gaat het?

De e-mail die we je gestuurd hebben, is leidend voor je persoonlijke situatie. Daarin staat precies wat voor je geldt.

De betrokken informatie omvat mogelijk:

• Volledige naam
• Adres en woonplaats
• Mobiele nummer
• Klantnummer
• E-mailadres
• IBAN (rekeningnummer)
• Geboortedatum
• Identificatiegegevens (paspoort- of rijbewijsnummer en geldigheid)

[HallonRubus]

Juist, en dus niet de daadwerkelijke scans van de documenten met daarop dingen als de pasfoto.

[HakanX]

In de database staan wel lokale links naar de documenten als \map\legitimatie.jpg. Of ze zijn buitgemaakt of niet is geen bewijs voor. Odido zijn woord geloof ik niet meer na tig tegenstrijdige berichten.

Het is wel zo dat je neppe ID's kan maken met alle gegevens de wél zijn gelekt. Bij online een kopie sturen is dat geen probleem en ze weten toch niet hoe je eruit ziet.

[batjes]

Ze hebben je sofinummer en documentnummer. Daarmee kan ik in jouw naam van alles gaan regelen.

Kopie is niet nodig, die kun je telefonisch toch niet doorgeven.

[japie06]

Klopt, maar dus geen hele kopieën van paspoorten en bsn's.

[wildhagen]

Bij Odido waren de documenten zelf niet gelekt, maar "slechts" de nummers/geldigheidsdatum van die documenten. Ernstig genoeg, maar wel van net een andere orde dan bij deze gemeente.

Daarnaast kan Odido helemaal geen nieuwe ID-bewijzen uitgeven omdat zij daartoe niet bevoegd zijn, terwijl een gemeente dit wel kan. Odido had hooguit de kosten evt kunnen vergoeden, maar dan nog hadden de slachtoffers zelf een nieuw document moeten aanvragen.

Deze twee zaken maken dat beide hacks niet helemaal vergelijkbaar zijn met elkaar.

[Reactie gewijzigd door wildhagen op 23 april 2026 13:52]

[turkeyhakan]

Het ging mij om het principe, de kosten hadden kunnen worden vergoed door Odido en dat had ze gesierd. Maar daar gaat dit nieuwsbericht natuurlijk niet over.

[Gladiator5]

Op deze manier krijgen we bijna wekelijks een nieuw pasje opgestuurd...

[batjes]

Misschien wordt er dan wel wat mee gedaan.

Stel je voor dat we bedrijven eens verantwoordelijk gaan houden voor de data die ze verwerken, misschien gaan ze beveiliging serieus nemen of werken volgens het minimale-data principe.

Want niets doen werkt ook niet, dat doen we al 20+ jaar en het resultaat is nu al een paar weken vrijwel dagelijks dataleks op de Tweakers frontpage.

[CAPSLOCK2000]

Want niets doen werkt ook niet, dat doen we al 20+ jaar en het resultaat is nu al een paar weken vrijwel dagelijks dataleks op de Tweakers frontpage.

En dat zijn alleen nog de grootste lekken en (uiteraard) alleen de gevallen die ontdekt zijn. Ik denk dat er van uit moeten gaan dat de meeste lekken nooit worden ontdekt en dat er ook een hoop niet gemeld worden (ondanks de meldplicht).

[42dpi]

Bij Odido zijn niet de gehele kopiëen gelekt alleen document nummers waar in theorie geen direct fraude mee mogelijk is

En ze zullen zich wss hand om tand verzetten 1,8 miljoen id's/passpoorten te bekostigen.

[W1ck1e]

Ze beseffen waarschijnlijk wel dat wanneer ze het niet doen ze wellicht een boete moeten betalen. En 3 maal raden wie dat dan weer moet betalen. Dus dan maar meteen een grote omruil actie doen is waarschijnlijk goedkoper voor de gemeente (en daardoor voor de inwoners).

Wel de nieuwe documenten een nieuwe vervaldatum geven, niet de oude (dat zou flauw zijn, want de pasfoto's zijn niet gratis). Maar niet allemaal dezelfde datum, anders krijgt de gemeente tot in lengte van dagen een piek in de zoveel jaar dat de inwoners hun id bewijs willen verlengen. Dus spreiden over een paar maanden.

[Reactie gewijzigd door W1ck1e op 23 april 2026 14:10]

[CaDje]

Hoe kun je controleren of een paspoort / ID kaart nog geldig is? Meestal wordt het gebruikt om te verifiëren of het een echt persoon is die een dienst afsluit. Er wordt volgens mij geen check gedaan of het ID wel geldig is, het wel het laatst uitgegeven ID is.

[wildhagen]

Hoe kun je controleren of een paspoort / ID kaart nog geldig is?

Kan je zien op MijnOverheid: https://mijn.overheid.nl/...nsgegevens/reisdocumenten

Daar zie je alle id-bewijzen (identiteitskaarten, paspoorten, vreemdelingendocumenten etc) die op je naam staan/gestaan hebben en nog niet meer dan 5 jaar geleden verlopen danwel ongeldig verklaard zijn.

Documenten die meer dan 5 jaar geleden verlopen danwel ongeldig verklaard zijn kan je, zover ik weet althans, niet meer inzien.

[Reactie gewijzigd door wildhagen op 23 april 2026 14:02]

[CaDje]

Ik doel eigenlijk op bedrijven / diensten die om een kopie ID vragen. Kunnen deze ook inzien of een ID geldig is? Ik vermoed dat overheidsinstellingen dit wel kunnen, maar bijvoorbeeld banken ook?

[locke960]

Het probleem is nou net dát we overal een "kopietje" op moeten sturen voor identificatie.

Het originele ID document, dat allerlei echtheidskenmerken heeft die je op een kopietje niet kan controleren, is bedoeld om je te identificeren. Een kopietje is NIET bedoeld om je te identificeren.

Het idee was ooit "een instantie of bedrijf kijkt goed naar het origineel, stelt vast dat alles in order is, legt dat feit vast en gaat verder".

Maar combineer onze luiheid, ongeduld en neiging zoveel mogelijk bewijsmateriaal vast te leggen, en wat krijg je dan? Een land vol instellingen en bedrijven die nooit het originele document of de persoon zelf gezien hebben, die toch maar foto's of kopietjes accepteren, maar deze wel zorgvuldig bewaren als 'bewijsmateriaal'.

We doen iets fout, maar het is niet lekkende fotokopietjes van ID bewijzen.

[wjn]

Goh, je zou bijvoorbeeld zomaar bij een lokale bank kunnen binnenlopen om je te identificeren en een rekening te openen of bij het gemeentehuis in je woonplaats (niet gemeente) persoonlijk zaken kunnen regelen, dan hoef je geen kopie ID meer te maken of op te sturen. Wat overigens wettelijk maar voor een paar doeleinden mag.

Dat is sarcastisch uiteraard, maar je hebt gelijk, luiheid en zoveel mogelijk online regelen liggen natuurlijk aan de basis, niet te vergeten gebrek aan vertrouwen en ontbreken goede wettelijke maatregelen.

("Heb je het ID wel goed gecheckt?" Dan is het handig een bewijs te hebben, ook voor bedrijven die op één of andere manier een ID moeten controleren, voor leeftijd bijv..)

Met al die online zaken had de overheid je allang een digitale ID moeten geven, die de bedrijven kunnen gebruiken als bewijs dat ze je ID gecontroleerd hebben.

Maar ja, automatisering vraagstukken hebben ook bij de overheid geen prioriteit blijkbaar. We gaan liever elkaar dwarsliggen in Den Haag.

[mrmrmr]

We doen iets fout, maar het is niet lekkende fotokopietjes van ID bewijzen.

Natuurlijk is het lekken van fotokopieën ook fout. Er moeten geen kopieën worden opgeslagen, dan kunnen ze ook niet lekken. Er moet alleen worden aangetekend dat een paspoort is gecontroleerd.

De wetgever moet niet vragen om het bewaren van kopieën, scans, foto's, filmpjes, etc. van identificatiebewijzen en personen. Dat kan alleen maar uitlekken, het doet niets tegen witwassen. En organisaties die dat niet mogen moeten ze sowieso niet maken.

[ollie1965]

Die bedrijven die dit moeten (kunnen) checken hebben hier apparatuur voor.
Dit is zo'n leverancier bijvoorbeeld die ook de koppelingen naar de verschillende database kan maken voor checks.
https://www.oribi.nl/nl/producten/oribi-expertid
Dus afhankelijk waar je opereert (en soms wettelijk moet controleren) heb je mogelijkheden om dingen te checken.

[riezebosch]

Zou pas echt grappig zijn om daar een fake link te gebruiken

[CaDje]

Ik had wel even goed gekeken idd. Vooral ook omdat @wildhagen karmakeizer Malware is .

[CivLord]

Behalve aan de grens, of bij overheidsdiensten zal iemand niet kunnen controleren of het ID-bewijs waar iemand zich mee probeert te identificeren wel of niet geldig is. Een bedrijf dat een dienst aanbiedt waarvoor je je moet identificeren, kan dus niet weten of het ID-bewijs wel of niet is gestolen.

Deze actie is er dus niet om die aanbieder te beschermen tegen fraude. Het kan enkel de burger beschermen wanneer iemand fraude heeft gepleegd met gestolen ID-gegevens.
Wanneer de aanbieder van een dienst verhaal komt halen bij een burger, zal die burger in meteen ontkennen ooit die dienst afgenomen te hebben. De aanbieder probeert te bewijzen dat dat wel zo is, door met de ID-gegevens te komen. Wanneer de burger dan kan aantonen dat die gegevens gestolen zijn en dat hij een vervangend ID-bewijs heeft gekregen, voordat de dienst was afgenomen, hoeft die burger niets meer te vrezen.

[bjonker]

Tegenwoordig staat Powershell en CMD ook gewoon uit op beheerde apparaten? Althans, hier wel, gebruikers kunnen het niet meer openen hier.

[i7x]

Voor mensen die niet weten wat het is kun je het maar beter niet toestaan. Die screenshot van het artikel is echt veelzeggend. Niemand die voor zoiets zou vallen zou ooit werkelijk een terminal nodig hebben voor normaal gebruik--is enkel een risico.


Wel slim bedacht van de aanvallers overigens.

[matroosoft]

Je moet dan een soort applocker hebben die rekening houdt met wie de app opent. Want het systeem zelf is volop afhankelijk van Powershell/CMD

[Bpow]

We zijn ons steeds druk aan het bekommeren over de souvereiniteit van de diensten waar ons data zich bevinden terwijl het grote gevaar juist ligt bij de beveiliging en bewustzijn van personeel die met ons data werken.

[watercoolertje]

Je doet alsof het ene het andere uitsluit, maar we bekommeren ons om beide zaken!

Hoe makkelijk is het om alles en iedereen te beschermen tegen datalekken? Praktisch onmogelijk!
Hoe makkelijk is het om niks in de VS te hosten? Verre van onmogelijk!

[Reactie gewijzigd door watercoolertje op 23 april 2026 14:24]

[Bpow]

Hoeveel gevallen van datalekken vloeien voort uit interne fouten? Nagenoeg alle

Hoeveel gevallen zijn er dat Amerikaanse overheid ons data hebben misbruikt omdat ze in Amerika gehost worden? 0.

Ik zeg niet dat er geen aandacht er naar uit moet gaan, maar de kosten en baten die zijn totaal uit balans.

[Triblade_8472]

Een interne fout of een hacker/crimineel?

Een FTP-server met het wachtwoord Welkom2020, dat is een interne fout.
Een gebruiker die wordt misleid en op een ClickFix ingaat, is gewoon getroffen een crimineel.

Kosten gaan dadelijk alleen maar omlaag als we geen peperdure licenties van Amazon/Microsoft/Oracle nodig hebben. De balans is juist al jaren zoek en moeten we terug zien te krijgen.

[Bpow]

Een gebruiker die misleid kan worden komt voort uit onwaakzaamheid of onwetendheid van personeel. Dat stukje onwaakzaamheid en onwetendheid is te voorkomen door te blijven hameren op procedures en investeren in trainingen. Dus ja, ik vind het wel degelijk een interne fout. De meest gebruikte hack methode is nog steeds phishing.

Miljarden gaan investeren in een theoretische dreiging vind ik gewoon overdreven terwijl er nog veel stappen gemaakt kan worden in het bewust maken van veiligheidsrisico's bij bedrijven en personeel waar actief misbruik van gemaakt worden.

[Triblade_8472]

Dus als jij in een babbtruuk trapt, dan ben jij degene die fout is? Ben ik het niet mee eens.

En de dreiging is niet theoretisch, die is zelfs al uitgevoerd op iemand van het ICC in Den Haag.

[NEK]

Daar mag Odido en Rituals en alle andere bedrijven een voorbeeld aan nemen.

[SinergyX]

Verschil voor beide, die hadden enkel wat nummers/types opgeslagen, niet de volledige kopie van een ID bewijs. Met enkel een nummer/naam/type kan je nog steeds bar weinig, met een kopie echter.. best veel.

[Llopigat]

Wat ik heel goed vind aan dit geval is dat de gemeente en burgemeester het in dit geval eens een keer wel serieus neemt, en ook echt wijst op de gevaren zoals dat met die huurauto. In sterk contrast met het "Poeh poeh eigenlijk is er niks aan de hand" van Odido in hun FAQ toen het gebeurde.

Ook goed dat je gratis nieuwe documenten aan kan vragen als die buitgemaakt zijn, alleen is het wel belangrijk om te realiseren dat de originelen nog wel gebruikt kunnen worden. Bij bijv. een huurauto huren gaan ze niet online checken of het ID niet toevallig is ingetrokken dus het blijft bruikbaar tot het eind van de geldigheidsduur, helaas. Daar zou eigenlijk een makkelijk te checken internationale database voor moeten zijn.

[Reactie gewijzigd door Llopigat op 23 april 2026 15:07]

[Moraelyn]

Mijn ervaringen met huurauto's tot nu toe zijn dat ik altijd met een creditcard moet betalen die op dezelfde naam staat als de huurder van de huurauto. M.a.w. je moet niet alleen een vals ID overleggen, maar ook een gestolen creditcard.

[NicoHF]

Ze krijgen geen nieuw BSN, het is dus bijna een nutteloze actie.

De overheid zou een keer moeten implementeren dat er ook een nieuw BSN gegeven kan worden na een lek.

[ollie1965]

Een BSN is niets anders dan een zoekmiddel (ID) om in database sneller (lees uniek) resultaat te hebben.
Voordat een instantie met een BSN aan de slag gaat (lees kan/moet gaan)zijn er al andere controle mechanisme geweest.

https://www.autoriteitper...n/voorwaarden-gebruik-bsn
https://wetten.overheid.nl/BWBR0022428/2025-11-11
https://www.rvig.nl/autorisatielijst-bsn-gerechtigden

Alleen een BSN hebben stelt niets voor. Sterker nog wil je een nieuw BSN creëren doe dan maar even de ELF proef oké diegene die de controles doen weten of het een geldig uitgegeven (en/of niet ingetrokken) BSN is.

[NicoHF]

Welke andere controle mechanisches zouden criminelen niet kunnen gaan doen met de beschikbare gegevens die inmiddels van bijna alle Nederlanders bekend zijn?

Wat is er gelekt:

NAW, Email adressen, telefoonnummers, documentnummers/rijbewijsnummers, kopieën van identificatie documenten, verval datums, rekeningnummers en BSN.

En vast nog wel meer.

Het middel waarmee je communiceert met de overheid is het BSN nummer en ook die is nu kennelijk van een hoop personen gelekt.

[ollie1965]

Ik denk dat ik niet duidelijk genoeg ben geweest.
Een BSN wordt (kan!) alleen gebruikt worden door die personen die er ook verder iets mee kunnen/moeten.

Een BSN aanleveren is geen methode van identificatie maar een hulpmiddel om na de identificatie met een geldig identificatiemiddel het BSN pas te gaan gebruiken in de systemen. Eerder mag een partij niet met een BSN aan de slag.
Alle partijen die niet gebruik kunnen maken van de systemen waar een BSN in gebruikt wordt heeft een getal in handen wat voldoet aan de ELF proef wat mogelijk een geldig BSN nummer is.
Alle partijen die een BSN nummer gebruiken maar dat niet mogen (en dus ook niet kunnen controleren in de systemen) volgens de wetgeving snappen de materie dus niet.

"Het middel waarmee je communiceert met de overheid is het BSN nummer en ook die is nu kennelijk van een hoop personen gelekt."
Dit is je denkfout, je communiceert niet met een BSN als identificatie met de overheid (of andere organisatie). Als je digitaal wil communiceren met de overheid legitimeer je jezelf eerst (inlog met een middel volgens eIDAS model > dat is DigiD bij ons).
Door de inlog weet Logius wie je bent en levert aan de partij waar je mee wil communiceren de kerngegevens (laten we zeggen het BSN nummer) van jou aan de partij waar je wilde inloggen. En vervolgens wordt je toegelaten en weet men precies welk dossier geopend moet worden of welke velden er al ingevuld kunnen worden in het invulformulier. Dat organisaties die velden in een aanvraagformulier al voor je invullen komt omdat in een wet bepaald is dat als je geïdentificeerd hebt we niet weer opnieuw gegevens van je mogen vragen als we die al van je weten (o.a. in de basisregistraties).

Hoop dat je nu snapt dat een BSN een gegeven is wat sec alleen een nummer (met ELF proef) is maar er heel veel waarborgen zijn voordat een organisatie aan de slag kan gaan met dit nummer als een betrouwbaar gegeven.

[trab_78]

Ik snap niet zo goed waarom je zo de nadruk legt op die elf-proef. Dat is gewoon een openbaar algoritme om de geldigheid te kunnen controleren. Meer bedoeld om typefouten en omdraaiingen te voorkomen.

[ollie1965]

Om te duiden dat iedereen een BSN nummer kan genereren, het is maar een getal wat een ID is niets meer niets minder. Veel mensen denken er hun identiteit aan te kunnen hangen en vinden daarom dat ze maar een nieuw BSN moeten krijgen als deze bekend is geworden. Een nieuw BSN verkrijgen is een zeer moeilijk proces en wordt niet vaak gehonoreerd.
Zie hiervoor https://www.rvig.nl/nieuws/17-09-2025-bsn-wijzigen-mag-dat
https://www.rvig.nl/cmi

[NicoHF]

Het komt over alsof het in jou ogen niet zo heel veel uitmaakt dat een BSN gelekt is?

Een BSN icm alle gegevens die al gelekt zijn/of nog gaan lekken kunnen kwaadwillende enorm veel mee doen.

Criminelen kunnen met een Burgerservicenummer (BSN), vaak in combinatie met andere persoonsgegevens (zoals naam, adres, geboortedatum), identiteitsfraude plegen. Ze kunnen contracten afsluiten, abonnementen of leningen op jouw naam openen, onterechte toeslagen aanvragen of diensten als huurauto's boeken. Het leidt vaak tot onverwachte schulden, BKR-registraties of valse beschuldigingen van oplichting

[ollie1965]

Zeker het is niet leuk en kan wel eens tot problemen leiden omdat bedrijven de basis niet op orde hebben en niet weten hoe men moet identificeren (men te laks is en niet wil investeren in tijd en apparatuur?).

Hoe sluit jij een lening af? Oprecht ik weet het niet, maar even vanuit mijn vakgebied geredeneerd.
Om de identiteit vast te stellen om echt een waardevol contract aan te gaan (lees bijvoorbeeld leningen aangaan). Moet men deugdelijk de identiteit vast stellen, dat doet men door een persoon in natura met een identiteitsbewijs te goed te controleren. Dat is dus niet een kopie van iets afgeven, dus als je dat wel op je naam krijgt heb je er last van in eerste aanleg, dus ja je moet aanvechten en dat geeft gedonder. Maar daar is (mede) CMI voor om je te helpen (zie mijn eerdere link).

En sorry, maar toeslagen, echt? Ook hier, ik heb het niet dus weet niet hoe het proces hier is maar......
Toeslagen is onderdeel van de blauwe enveloppenfabriek, hoe handel je ook alweer met zo'n overheidspartij? Was het niet eerst inloggen met DigiD?

Nogmaals de problemen ontstaan omdat partijen niet handelen zoals ze zouden moeten handelen als ze de boel op orde hebben (afhankelijk van type/waarde contract deugdelijk de identiteit vast stellen). En ja het is vervelend dat jij daar last van krijgt.

[trab_78]

“Vervelend” is nogal een understatement. De gevolgen van identiteitsfraude kunnen verstrekkend zijn. Stel: iemand huurt een auto op jouw naam en gebruikt die bij een overval of zo. Toon dan maar eens aan dat jij dat niet was…

En… criminelen weten natuurlijk precies welke routes ze moeten bewandelen om de paspoort-check te omzeilen. Ze weten precies welke organisaties dat zijn, die “hun zaakjes niet helemaal op orde hebben.”

Dus, ik vind dat je er wel wat luchtig over doet.

[Franckey]

Ze krijgen geen nieuw BSN, het is dus bijna een nutteloze actie.

De overheid zou een keer moeten implementeren dat er ook een nieuw BSN gegeven kan worden na een lek.

Dat is wel heel veel gedoe om alle instanties die je BSN moeten hebben die wijziging door te geven. Een betere oplossing is zorgen dat het BSN minder belangrijk wordt, zodat een ander daar niets aan heeft.

[NicoHF]

Waarom zou dat heel veel moeite moeten kosten als het centraal geregelt kan worden?

Verder mee eens hoor.

Ik zelf vind gegevens zoals een NAW, telefoonnummer en inmiddels ook een BSN een achterhaalde methode om te identificeren, ze moeten een ander iets gaan verzinnen, want deze gegevens liggen allang op straat.

Een DigiD bv lijkt mij veel veiliger om te gebruiken bij contracten bv zoals telefoonabonnementen of energiecontracten.