ShinyHunters lekt data van miljoenen patiënten bij kankerscreeningbedrijf

ShinyHunters heeft de gegevens van miljoenen patiënten van kankerscreeningbedrijf Exact Sciences online gezet. Het lek bevat onder meer vertrouwelijke medische data. Exact Sciences verkoopt onder meer de Cologuard-test, waarmee mensen zich thuis kunnen screenen op darmkanker.

Have I Been Pwned meldt dat het datalek 10,9 miljoen unieke e-mailadressen van klanten, patiënten en zorgverleners bevatte. Verder zijn volgens het bedrijf namen, adressen, telefoonnummers en medische dossiers in de database te vinden. Volgens The Register heeft ShinyHunters ook een miljoen bsn's gelekt.

Have I Been Pwned heeft het datalek als gevoelig aangemerkt, waardoor gebruikers moeten inloggen om te zien of zij getroffen zijn. 75 procent van de getroffen e-mailadressen stond volgens de organisatie al in de database.

Abbott, dat Exact Sciences eerder dit jaar overnam, erkende eerder deze week dat 'sommige van de getroffen bestanden persoonlijke informatie en/of persoonlijke gezondheidsinformatie bevatten'. Het bedrijf analyseert de gegevens nu en belooft betrokken personen te informeren.

Abbott maakte ook bekend dat ShinyHunters toegang tot de data wist te krijgen door een 'vishingaanval', oftewel een telefonische phishingaanval. Dat gebeurde eerder dit jaar al bij de hack op Odido, die ShinyHunters ook uitvoerde.

ShinyHunters-hackers hebben onder meer medische gegevens gestolen van Exact Sciences.
Bron: Curly_Photo/Moment/Getty Images (afbeelding ter illustratie)

Reacties (137)

[Homeland]

Zullen we maar gewoon accepteren dat in elk geval BSNs niet zo gevoelig meer zijn en ons daaraan aanpassen?

[killercow]

helaas is een BSN wel gevoelig en kun je die niet aanpassen, met dank aan de archaïsche regelgeving daar omtrent.

[Sissors]

Het is een beetje gevoelig, en het zou verminderd moeten worden door het minder te gebruiken als identificatie middel.

En BSN dan maar gaan aanpassen elke keer dat hij mogelijk gelekt is, lijkt mij ook geen fatsoenlijke optie. Gebruik gewoon dingen als DigiD voor identificatie wanneer nodig.

[Reactie gewijzigd door Sissors op 7 augustus 2026 21:25]

[laurxp]

Het zou (deels) opgelost kunnen worden door een instantie-specifiek derivaat te gebruiken.

Waarom zouden zowel de ING als het UWV gebruik moeten maken van een BSN van 12345, als we ook de ING 18e4c92bf673e481dd46aa0d860fbf88 kunnen geven en het UWV c3edcbe1cd193f4f204e4a8eb81cbd51?

Een DigiD-achtige dienst zou je vervolgens kunnen gebruiken voor een éénmalig "vertaal BSN X naar een ING-ID" en een later "behoort ING-ID X bij BSN Y?", en voor een "maak van ING-ID X een tijdelijke transportvorm die ik naar het UWV kan sturen / maak van de tijdelijke transportvorm die ik van ING heb gekregen een UWV-ID" om communicatie tussen instanties mogelijk te maken.

Als je het een béétje slim opzet kan je die vertaling zelfs geheel stateless maken, dus je hoeft niet eens bang te zijn dat er een enorme koppel-database gelekt kan worden.

[Gr4mpyC3t]

Ja, of leg de authenticatie/verificatie bij de overheid neer. Bedrijven blijven maar data dupliceren omdat dit moet voor de dienstverlening. Maar vaak is een ja/nee antwoord voldoende. Denk aan leeftijdscontrole: is Gr4mpyC3t meerderjarig? Een ja/nee-antwoord is voldoende.

Zou mooi zijn als ik inlog met DigiD via de bank, en daarmee aangeklopt kan worden bij een API-endpoint van de overheid die dit ja/nee-antwoord teruggeeft.

Dan hoeft een bank mijn geboortedatum ook niet op te slaan.

[n4m3l355]

Ik ben geen ITer maar is een centrale overheids oplossing het antwoord? Uiteindelijk is nergens data veilig en bestaat de kans dat de overheid onze data ook verliest. We hebben dan ook een oplossing nodig die niet alleen de strict noodzakelijke data met andere platformen deelt, maar zelfs een complete "overhaul" functie wanneer de master-data is gestolen.

Wat voor mij net zo belangrijk is, data, fotos enz dienen eigenlijk geen waarde meer te hebben. Als iemand mijn gegevens gebruikt, wellicht een deep fake, is het nagenoeg onmogelijk het tegendeel te bewijzen.

Dus al wordt de centrale data gestolen, zou dat eigenlijk geen impact op mij meer moeten hebben.

[japie06]

Ik ben geen ITer maar is een centrale overheids oplossing het antwoord?

De overheid slaat die data sowieso al op. Met een een dergelijke oplossing minimaliseer je juist het risico op lekken.

In plaats van een bedrijf je NAW + BSN je te geven, zou het bedrijf bij de overheids ID-dienst kunnen opvragen over persoon X daadwerklijke die persoon is. ID-dienst geeft dan alleen een ja of nee terug. Niet nodig om NAW + BSN dubbel op te slaan. Hiermee verklein je juist het risico op het lekken van gegevens, omdat die maar op één plek wordt opgeslagen.

[Gr4mpyC3t]

Precies. Het is een gegeven dat persoonsinformatie ergens opgeslagen moet worden en dan kan dat maar beter bij zo min mogelijk partijen liggen. Het elimineert het risico nooit 100%, maar het zorgt er in ieder geval wel voor dat het niet bij allerhande partijen komt te liggen die dat misschien niet eens nodig hebben en/of slecht beveiligen.

[nervwrecker]

De overheid beheert en is de data eigenaar van de brp/bag/woz ect dus die zijn daar uiteindelijk verantwoordelijk voor. De overheid vereist ook dat de burger zichzelf moet identificeren.

Wij de burgers betalen de overheid(middels belastingen/leges ect).

Maar het is altijd een gevecht met criminelen om je data veilig te houden en dat wordt steeds moeilijker.

[JJ Le Funk]

op voorhand buitenspel zetten van hackers (of waardeloos maken van data) is wel de goede denk richting, i.p.v. de gegevenslekkende organisatie boos aankijken. wat nu telkens lijkt te gebeuren.

[Hedva]

Vind dat we ze best boos mogen aankijken als die gegevens lekken dmv een telefoontje..

[NoTechSupport]

Waar mogelijk een goed idee, maar waar specifieke gegevens nodig zijn zoals telefoonnummer, naam, adres zou het goed zijn als die data alleen bij de overheid mag staan en wanneer nodig gedeeld wordt op basis van tijdelijke goedkeuring. Een bank kan in dit voorbeeld langer aan je gegevens (bvb goedkeuring één keer per jaar) dan een online winkel (alleen voor één aankoop).

Uiteraard moet er een noodprocedure zijn wanneer iemand probeert niet te betalen, oplichten, ...

[R_Zwart]

Ik vrees dat je dan in een wirwar van procedures en regels terecht gaat komen waar de oplossing erger is dan de oorzaak.

[NoTechSupport]

Voor wie? Ik denk dat het goed is dat zowel burger als bedrijfswereld bewuster met persoonsgegevens omgaat.

[Reactie gewijzigd door NoTechSupport op 8 augustus 2026 12:33]

[moonlander]

Net zoiets als eHerkenning wat ook weer door commerciële partijen opgelost moest worden?

[Gr4mpyC3t]

Nou, eHerkenning is specifiek voor bedrijven en organisaties. We hebben DigiD toch? Dat lijkt me voldoende voor de authenticatie/autorisatie.

[moonlander]

Ja, waarom heeft de overheid dit zelf niet ontwikkeld voor bedrijven.. en waarom moeten dit commerciële partijen zijn.

[R_Zwart]

Omdat we jarenlang op partijen hebben gestemd die voor zoveel mogelijk privatisering waren en we wilden dat de overheid kleiner werd. Dat laatste is weliswaar niet gelukt maar dat eerste wel.

[rob12424]

Iets met digi de en digi notar enz. Overheid is ook niet alles.

[arjankoole]

Iets met digi de en digi notar enz. Overheid is ook niet alles.

digid is niet gehacked en bevat ook vrijwel geen gegevens van burgers. Het is puur een authenticatie / authorisatie laag. Het enige pijnpunt was dat de eigenaren van de hostingpartij de boel dreigden te verkopen aan een bedrijf in een land wat onze nationale veiligheid in gevaar brengt.

diginotar was een commercieel bedrijf in Beverwijk.

Geen van beide problemen hebben in de kern veel met de overheid zelf te maken qua veiligheid. In de kern zijn beide problemen terug te leiden naar commerciële partijen.

[R_Zwart]

Waarom zou het bij de overheid veiliger zijn? Je verschuift vooral het probleem. En hoe garandeer je dat de overheid er geen misbruik van kan gaan maken? Momenteel is die kans niet zo groot, maar er genoeg nationale- en internationale/geopolitieke krachten bezig om zaken te veranderen.

[Gr4mpyC3t]

Het is niet per se veiliger, maar je elimineert wel het probleem dat ieder bedrijf maar eindeloos je data blijft opslaan omdat zij dit (deels noodzakelijk) gebruiken voor dienstverlening. Het risico zit ‘m in de eindeloze duplicatie van persoonsgegevens, niet in de opslag ervan.

En waar zou de overheid dan misbruik van maken? Alle informatie staat tenslotte bij het BRP/De Belastingdienst/enzovoorts. De overheid hoeft verder niet te weten of ik 10 kratjes bier online bestel. Ze hoeft enkel een validatiepunt op te richten dat teruggeeft dat ik meerderjarig ben op basis van de informatie die toch al bekend is.

[Reactie gewijzigd door Gr4mpyC3t op 8 augustus 2026 10:52]

[Skit3000]

De bank heeft je geboortedatum later soms weer nodig, bijvoorbeeld als je je hypotheek wilt verlengen (en al 92 bent). Je verliest met alleen een ja/nee antwoord dus ook het gemak van niet af en toe nogmaals te moeten authenticeren.

Aan de andere kant, er zijn weinig doorlopende diensten waarbij zoiets het geval is dus de impact valt wel mee.

[supersnathan94]

Je bank hoeft helemaal niet je geboortedatum op te slaan. Het staat ze vrij om zelf het derivaat “18+” te maken. Ze hoeven immers alleen voor KYC een profiel van je op te bouwen en daarna klaar.

Ze hebben je ID dan kunnen ze zeggen ja 18+ en dat opslaan, waar hebben ze je geboortedatum verder nog voor nodig?

Voor minderjarigen kun je gewoon zeggen oke, dan moet je per 1 januari van het opvolgende jaar nog een keer KYC door.

Zolang het niet verplicht is, kan ik er nog wel wat in vinden.

Je vergeet namelijk dat het met metadata kinderlijk eenvoudig is voor de overheid om een profiel oo te gaan bouwen, en dan kun je zeggen, “ja maar daar hebben we dan een technische oplossing voor”, maar het probleem is niet de huidige overheid, maar de overheid over tig jaar. Als dan het hek al van de dam is en alles met DigID werkt, dan kan het prima besluiten om die technische beperkingen op te heffen.

En dan kun je zeggen “neee dat gaat niet gebeuren”, we zien welke kaarten er getrokken worden met chat control, we zien wat er gebeurt in het VK (encryptie backdoor).

Ik ben met iedereen eens dat het beter moét. Ik ben alleen niet voor een verplicht systeem wat in beheer is bij de overheid om dít te doen.

voor gokken, drank online en porno, meh is redelijk vrijwillig, maar bankzaken … dat is gewoon iets waar je niet onderuit komt. Dus dan verplicht je het ineens.

We moeten gewoon zorgen dat we afstappen van BSN voor zaken die veelal private dingen zijn. Zoals in de medische wereld en hotels. Waarom moet een lab per se dingen koppelen aan een BSN? Laat het ziekenhuis lekker een UUID opsturen ofzo. Sommige ziekenhuizen hadden BSN in het polsbandje zitten (voor medicatie doeleinden wordt dat gescand zodat je de juiste persoon hebt) en BSN werd direct gebruikt om EPD koppeling makkelijker te maken.

Dat bandje wat dan ergens in een vuilnisbak verdwijnt heeft dan wel gewoon je BSN erop staan.

Net als dat webshops een telefoonnummer willen hebben. Ga weg. Ik wil helemaal niet gebeld worden. Stuur maar een mailtje.

De overheid verantwoordelijk stellen voor zo’n systeem betekent ook dat er vergaande maatregelen en verantwoordelijkheidsafspraken klaar moeten liggen. En we hebben al gezien met het Solvinity probleem, dat het niet per se allemaal goed gaat op procesvlak. Valt nog te veel te leren voordat dit een echt goed idee kan worden.

heel veel van de problemen ontstaan door wetgeving die meer informatie verplicht. Het maakt het voor bedrijven onnodig duur en ineens een veel groter target, een telco die ineens bsn en paspoort op moet gaan slaan vanwege terrorisme, een hotel die je thuisadres en bsn moet opslaan vanwege terrorisme.

Waarom? Wat levert het nou daadwerkelijk op? Hebben we al onderzoek gedaan of het leven er daadwerkelijk veiliger op is geworden? En wat dat dan kost aan dit soort lekken?

[Sebastian1313]

Lekker kort verhaal ook...

[Dat_Doen_We_FF]

Brrr, ik krijg het er al koud van. De overheid die dan precies weet waar jij heen gaat, wat jij koopt, waar jij zit? Nee dank u.
Ze weten nu al teveel.
En al die beloftes en audits dat het allemaal goed zit.... Daar heb ik niet per se vertrouwen in.
Je hoort te vaak dat de overheid een "oopsie doopsies" doet en mensen in de shit laat.

[Real_jamil]

In het Verenigd Koninkrijk kan je bepaalde dingen delen voor beperkte tijd, jij ligt in via een overheid site, verteld daar wie of wat voor hoe lang nodig heeft, daarna geen toegang meer.

[Croga]

Dat weerhoud de bedrijven echter niet van het gewoon opslaan van die gedeelde gegevens. Het is een klein stapje maar levert dan ook maar bar weinig op.

Een verbod op het opslaan van die gegevens is een belangrijkere stap die door een dergelijk systeem ondersteund zou kunnen worden.

[R_Zwart]

Dan kan je rechterlijke macht wel gaan vertienvoudigen.

[Croga]

Volgens mij is dat z'n beetje de slechtste smoes ooit om iets niet te doen.....

Daarnaast is het niet de rechterlijke macht die hier iets mee moet maar de Autoriteit Persoonsgegevens. En ja, het wordt zeker tijd om die eens te vertienvoudigen.

[Scriptkid]

Omdat bsn stamt van voor het digitale hack tijdperk.

[pietvelleman]

yep... exact dat.
Dat noemen we toch key derivation functions (KDF's)? of HKDF - HMAC-based Key Derivation Function?

Een functie om uit één geheime sleutel andere sleutels af te leiden, gebaseerd op HMAC.

Het BSN kan dan geheim blijven. En vanuit dat BSN kun je voor elke instantie andere tokens gebruiken? Ofzo? (geen specialist op dit terrein).

Aan de andere kant BSN is natuurlijk juist bedoeld om eenvoudig te weten over wie je het hebt... zodat communicatie makkelijker is...

(shit ik zit ook maar hardop te denken)

[The Zep Man]

Het is een beetje gevoelig, en het zou verminderd moeten worden door het minder te gebruiken als identificatie middel.

Het probleem is niet dat het BSN gebruikt wordt als identificatiemiddel. Het probleem is dat het gebruikt wordt als authenticatiefactor in bepaalde (overheids)processen. Het BSN zou geen geheim moeten zijn.

[Reactie gewijzigd door The Zep Man op 7 augustus 2026 22:33]

[Raymond Deen]

Het bsn is in het verleden te pas en onpas gebruikt. Ik heb het zelfs op stickers op medicijnen en zichtbaar in de adres vensters van brieven voorbij zien komen.

Je zou als burger moeten kunnen zien of gewaarschuwd worden wanneer er met je bsn geïdentificeerd of geautoriseerd wordt, want nu kunnen partijen met een aantal van jouw privé gegevens zomaar abonnementen en contracten afsluiten waaronder jouw bsn dus.

[Sleurhutje]

want nu kunnen partijen met een aantal van jouw privé gegevens zomaar abonnementen en contracten afsluiten waaronder jouw bsn dus

Dat is inderdaad het probleem. De gemakszucht waarmee een BSN tegenwoordig maar te pas en te onpas wordt gezien als valide legitimatie, vooral online, is een onjuiste aanname en handelswijze. Het zou een hulpmiddel moeten zijn ter verificatie of de persoonsgegevens juist zijn. Legitiemeren en valideren zou op een andere manier moeten, zeker online.

[R_Zwart]

Voor legitimeren heb je al het paspoort/idkaart/rijbewijsnunmer. Uiteindelijk moet je naar de standaard manier toe met iets wat je bent, iets wat je weet, en iets wat je hebt.

[CivLord]

En hoe wordt het BSN gebruikt als identificatiemiddel?
Overal waar ik mijn BSN op moet geven moet ik mij daarnaast óók identificeren met een ID-bewijs.

[Rob Voets]

Tot 2020 was het btw-nummer van ZZP-ers gelijk aan het BSN. Het btw-nummer is gewijzigd daarna, maar het BSN niet. Ik hoop voor hen dat het niet te gevoelig is.

[CivLord]

En wat zou ik dan kunnen wanneer ik jouw BSN heb?

[laurxp]

Alternatief: zullen we gewoon accepteren dat bedrijven databeveiliging serieus zouden moeten nemen, en niet alles op één hoop in een onveilig systeem mogen gooien?

Het probleem bij lekken als deze is dat ze én NAW-gegevens én medische dossiers bevatten. "Meneer Janssen is klant bij de kankerscreening" en "test 1234 is positief voor darmkanker" zijn op zichzelf niet fijn om gelekt te worden, maar niet héél schadelijk. Aan de andere kant, een "meneer Janssen is positief voor darmkanker" dat op straat komt is wel echt een serieus probleem.

In de praktijk heb je lang niet altijd beide gegevens nodig. Een laborant kan prima een test doen zonder NAW-gegevens, en een administratief medewerker kan prima je NAW-gegevens updaten zonder testinformatie. Alleen bij taken zoals het versturen van uitslagen moet je kortdurend toegang tot beide datasets hebben.

Dus wanneer gaan zulke organisaties dit serieus nemen door hun data te compartimentaliseren? Bewaar zo min mogelijk, gebruik Just-In-Time toegang, en verdeel het over silo's - en gebruik géén BSN als interne foreign key!

[Luchtbakker]

Alternatief: zullen we gewoon accepteren dat bedrijven databeveiliging serieus zouden moeten nemen, en niet alles op één hoop in een onveilig systeem mogen gooien?

Je kan je servers en netwerk nog net zo goed beveiligd hebben. De keten is zo sterk als de zwakste schakel en dat is altijd een medewerker dat een keer trapt in een telefoontje of email.

[kokx]

Dit is echt heel erg achterhaald. Een enkele medewerker zou nooit in staat moeten zijn om gemakkelijk alle gegevens te kunnen ophalen zonder ergens tegenaan te lopen.

Zelfs beheerders horen niet in die situatie te zitten.

Juist omdat er altijd wel een medewerker in een telefoontje of email trapt, moet je meerdere lagen in je beveiliging inbouwen. Zodat als er een medewerker ergens in trapt, er nog genoeg andere lagen zijn waar een aanvaller tegengehouden wordt of gedetecteerd wordt.

En nee, dat kun je er "niet uittrainen". Denk jij dat op een dag waar al heel veel tegen zit, je slecht geslapen hebt, nog 10 minuten hebt voor je volgende meeting die belangrijk is, je gebeld wordt door een goed nederlands sprekende IT-medewerker die zogenaamd bij jouw bedrijf werkt en je snel iets moet instellen op je systeem, je daar echt niet in zal trappen?

[Floor]

Of ze bouwen het op door diverse keren contact op te nemen, een band op te bouwen en pas in een later stadium richting hun doel te gaan.

[Aalard99]

En met één account 10,9 miljoen records kunnen downloaden? Nee dat zou niet mogelijk moeten zijn. Een persoonlijk account zou alleen toegang moeten hebben tot de data die diegene nodig heeft, niet tot de hele database. Dus ja, eens dat de mens een zwakke schakel is maar hier zit toch echt een fout in de IT systemen die dit mogelijk hebben gemaakt.

[Scriptkid]

Wie zegt dat de vishing niet een elevated account heeft vrijgegen

Bel servicedesk met outage verhaal om admin account te resetten met spoed.

En bij het elevatie verzoek opgeven ik ben een hacker wordt ook zelfs goed gekeurd. Letterlijk bij bedrijven getest gehad.

[Reactie gewijzigd door Scriptkid op 8 augustus 2026 08:48]

[Luchtbakker]

En met één account 10,9 miljoen records kunnen downloaden? Nee dat zou niet mogelijk moeten zijn.

Kan ook best zo zijn dat de betreffende medewerker dit helemaal niet kon, maar dat een bug is buitgemaakt door software niet te updaten of wat dan ook.

Er zijn zoveel scenario's te bedenken waardoor speculeren onmogelijk is.

[anboni]

Als een medewerker meer dan 1 dossier in een minuut opent, moet er al een signaal afgaan. Bij meer dan 2 in een minuut moet het account geblokkeerd en onderzocht worden...

[CivLord]

Ja, maar het stukje software dat dat in de gaten houdt is te hacken.

[anboni]

Sure, maar dan heb je alweer een aanzienlijk grotere complexiteit in de aanval. Dat gaat je niet lukken met alleen een phishing aanval op een callcenter medewerker.

[Raymond Deen]

Zoals iemand op tweakers eerder zo mooi zei: data moet giftig worden zodat je er zo weinig mogelijk van wilt hebben als partij.

Natuurlijk wordt die data gecompartimentaliseerd opgeslagen en versleuteld, waarbij de mogelijkheid tot in bulk uitvragen van de data niet is toegestaan en waarbij alarmbellen afgaan wanneer er query quota worden overschreden. Verbindingen naar databases beschermd met toegestane endpoints en toegang die wordt beschermd met secrets in een vault, die beperkt benaderbaar zijn.

Gewoon een standaard afvink lijstje met hoe je data op slaat… En dan natuurlijk helemaal aan het begin van het proces de vraag “wat moet ik nou écht opslaan?”

[CAPSLOCK2000]

Zoals iemand op tweakers eerder zo mooi zei: data moet giftig worden zodat je er zo weinig mogelijk van wilt hebben als partij.

Ik suggereer wel eens dat we persoonlijke data als geld moeten gaan behandelen. We 'betalen' immers steeds meer met onze data. Dus hef er maar inkomstenbelasting over: iedere keer dat data verzameld wordt moet je een klein bedrag betalen (met geld).
Daarnaast, misschien nog wel belangrijker, ook vermogensbelasting: iedere dag dat de data bewaard wordt moet je betalen.

Dan is er een direct financieel motief om zo min mogelijk data te verzamelen en die zo snel mogelijk weer te verwijderen. Het hoeft niet veel te zijn, het is niet de bedoeling om iedereen op hoge kosten te jagen, een kleine prijs kan al flink bijsturen.
Alleen bedrijven die zich richten op het in bulk verzamelen van data gaan het zwaar krijgen, vooral als ze die data voor een prikkie willen doorverkopen.

[GrooV]

Tijd voor fatsoenlijke schade claims zodat het ook serieus genomen wordt

[Xerpan]

Ja, ze moeten het serieus nemen. Nee, want ze moeten niet zoveel vastleggen. Vaak worden er meer gegevens vastgelegd dan voor de bedrijfsvoering of de levering van de dienst nodig is. Want 'kan wel eens handig zijn".

Ook nu weer bij dit bedrijf. Waarom zijn daar zoveel persoonsgegevens nodig? EN, waarom kunnen deze gegevens online worden geraadpleegd? Dingen die niet nodig zijn. Dat is waar het mis gaat.

[maddog4004]

BSN? Wat dacht je van nadenken over hoe iemand aan de telefoon zichzelf identificeert? Goedendag meneer mag ik ter verificatie uw postcode en huisnummer? Oh dat is correct dus dan moet u het wel zijn. Alle instanties doen het nog steeds op deze manier. Nee dat kan niet meer want sinds de Odido hack ligt half Nederland op straat dus identificeren via welke combinatie van die gelekte metadata dan ook is zinloos.

[Reactie gewijzigd door maddog4004 op 7 augustus 2026 22:37]

[m_snel]

ik geef dat soort gegevens niet door , als de bank mij belde heb ik ze daar ook wel eens op gewezen.

Maar iemand die je dan belt begrijpt dat niet zo snel. Dan bel je gewoon terug dan weet je tenminste zeker dat je met de bank belt.

En het is echt ongelofelijk hoeveel bedrijven of instellingen je mails sturen met de mogelijkheid om vanuit de mail in te loggen. Alleen daarop zou al een grote boete moeten komen.

[ton14]

Eens, maar banken bellen niet, zeggen ze, dus die zal ik nooit opnemen. Bij de RABO vond de dame het vreemd dat ik mijn telefoonnummer niet gaf.

[CivLord]

Banken bellen niet ongevraagd/ onverwachts. Je kan bij de meeste banken wel een belafspraak maken om bv. over hypotheken/ verzekeringen te praten. Het is dan handig dat de bank een telefoonnummer van je in hun administratie heeft, om dat te vergelijken met het telefoonnummer dat opgegeven is bij de belafspraak. (Wanneer dat overeenkomt hoeven er minder controlevragen gesteld te worden om de identiteit van de ander te verifiëren.)

[Scriptkid]

Bij american express is het nog erger die vragen niet eens om verrificatie. Ze vragen letterlijk alleen carfd nr en naam diw bijde op je card staan als je beld

[mjl]

Het gaat hier niet ze zeer over de BSN nummers maar het is kwalijker dat er medische gegevens in zitten. Iedereen kan die nu in zien en jou bijvoorbeeld weigeren op een verzekering bijvoorbeeld. Dit soort informatie kan ver strekkende gevolgen hebben voor de betrokkenen.

bij bijv Odido is het niet zo spannend, iedereen weet nu dat ik 3 abonnementen heb bij Ben en met welk nummer. Daar ondervind ik buiten de spam geen schade van. Met medische gegevens is dat wel wat anders (overigens is er bij Odido ook gevoelige financiële informatie gelekt. Ook dat kan grotere gevolgen hebben voor de betrokkenen, toch waren dat een heel stuk minder mensen dan nu met medische gegevens.

[m_snel]

De overheid heeft hier natuurlijk een grote fout gemaakt. Je unieke nummer in een database hoeft natuurlijk nooit in wat voor document te staan.

Een document nummer van je paspoort of rijbewijs dat afwijkt zou natuurlijk gewoon voldoende kunnen zijn.

[Sleurhutje]

Zoals het SoFi-nummer ooit bedoeld was? Alleen voor de koppeling tussen basisadministraties vanuit rijksorganisaties. Lijkt mij prima.

[Deruijter]

In Zweden is er "BankID" (een soort digid), die als 2fa fungeert voor heel veel belangrijke zaken. Je "personnummer" (soort BSN) is niet echt heel boeiend en valt vrij makkelijk te herleiden. Ik woon al een tijd niet meer in Nederland maar wordt Digid daar nu niet soortgelijk gebruikt? M.a.w. is het nog steeds een groot probleem als je BSN op straat ligt, als Digid als 2fa gebruikt wordt? (serieuze vraag)

[Murazor4096]

Precies de vraag die ik ook wil stellen. Bankid gebruik je hier vaak meerdere keren per dag voor abonnementen, rekeningen, scholen, gezondheidszorg mm. Maar blijkbaar is een semi-openbaar nummer nog steeds genoeg in Nederland?

[Reactie gewijzigd door Murazor4096 op 8 augustus 2026 09:13]

[Dakdak]

100% mee eens. Ik zou willen dat:

1. Bedrijven moeten het blijven hanteren als persoonsgegevens zoals je geboortedatum en adres en nooit gebruiken voor identificatie in enige vorm.

2. Men de verantwoordelijkheid voor geheimhouding niet meer bij de burgers legt.

[avlt]

Wat doet Exact Sciences met BSNnummers? Laten we ermee beginnen om bedrijven die dit soort gegevens lekken een echt pijnlijke boete geven, zodat zij en vooral ook alle andere bedrijven zich wel tienmaal bedenken voordat ze dergelijke gegevens bewaren en niet voldoende beveiligen.

Hier geen boetes uitdelen betekent eigenlijk dat je bedrijven die wél investeren in veiligheid benadeeld.

[CivLord]

Misschien omdat het om medische gegevens zijn? En medische gegevens wettelijk verplicht aan een BSN gekoppeld moeten zijn?
Dit hele onderwerp is bij een eerdere lek van medische gegevens uit ten treure behandeld.

[LittleKiller]

-

[Reactie gewijzigd door LittleKiller op 8 augustus 2026 20:50]

[telenut]

Het is best belachelijk dat dit zo gevoelig is in NL... in BE hebben wij ook een rijksregisternummer. Maar dat is bijlange zo gevoelig niet als de BSN bij jullie. Het is een uniek nummer per persoon, en dat is het dan ook... Je kan er online niks mee mispeuteren.

[CivLord]

Dat is het in Nederland ook. Met enkel het BSN kan je niets. Uiteindelijk is het niets meer dan een nummer waarmee je de ene Jan Janssen, geboren op 1 februari 1987 kunt onderscheiden van de andere Jan Janssen, geboren op 1 februari 1987 (en van makkelijk verwarbare varianten als Jan Jansen, J. Janssen, etc.).

Het probleem is dat er een aantal jaar geleden een overheidscampagne geweest is om je BSN niet onnodig te delen, waardoor voor velen de gevoeligheid van het BSN mythische proporties heeft aangenomen.

[telenut]

ah, ik dacht bijna dat je in NL met een BSN nummer een rekeningnummer of gsm nummer aan te vragen zonder verdere ID

[CivLord]

Nee.

Het kan soms wel op afstand.
Bij een bank moet je je dan nog identificeren in de app van de bank met de NFC-chip in je paspoort en een gezichtsscan.
Voor een telefoonnummer is het soms genoeg om een proefbetaling te doen via een bankrekening. Maar bij eventuele problemen moet de provider aantonen dat jij daadwerkelijk het abonnement hebt afgesloten. Wanneer het bankrekening van P. Puk is, terwijl op het opgegeven adres enkel een J. Jansen woont, dan houdt het voor de provider op, wanneer de betalingen plotgseling stoppen.

[erikieperikie]

Laten we daar gewoon al onze gegevens aan toevoegen. Zo. Probleem opgelost.

Maken we meteen alle publieke en private besluitvorming open en vrij toegankelijk.

[Majestici]

Nadat ik in de wachtruimte bij het ziekenhuis een receptioniste een email adres en BSN nummer heb horen herhalen hardop, vind ik het niet geheel vreemd hoe makkelijk ze bij deze zelfde 'clerks' inloggegevens wegkapen en inloggen.

Techniek verbeterd sneller dan de mensen zelf. Wordt eens tijd dat de corporaties die digitalisering blijven versnellen zich dit realiseren. Tenzij ze eraan meedoen officieus, immers data = geld. Een beetje een soort van "LIHOP".

[Blokker_1999]

Het niet luidop herhalen van gevoelige informatie kan je er nog uit trainen, maar social engineering is vaak een ander paar mouwen. Daarbij werkt training meestal niet. Als je eenmaal voldoende informatie hebt weten te verzamelen als aanvaller, dan is het gewoon een kwestie van je erdoor te bluffen bij een medewerker. Hoe beter je voorbereidingswerk, hoe groter de kans op succes.

En denk nu niet dat dit enkel bij administratief personeel zo zou zijn. Ik heb al mensen in IT gezien die erin trappen. Ik heb zelfs al een CISO geweten die erin is getrapt.

En tegen dat je weet dat je een fout hebt gemaakt, en dat kan soms heel snel zijn gegaan, is het vaak al te laat.

[r03n_d]

De mens is altijd de zwakste schakel, maar dat hoeft écht niet een vrouwelijke digibeet van 50+ te zijn. Het zal de gemiddelde Tweakers hoop ik niet overkomen, maar ik zie mijn andere leeftijdsgenoten er wel voor aan om gewoon op een linkje te klikken in een mail.

[Majestici]

Was dan ook niet generaliserend, het was een anekdote. De persoon die naast me zat in de wachtkamer heeft er samen met mij fijn erover kunnen lamenteren. Dus niet iedereen natuurlijk. Maar de discipline is er simpelweg gewoon niet bij de meeste mensen. Of het verbeeldingsvermogen wat men met de gegevens kunnen doen die ze laten slingeren.

De zogenaamde OPSEC is er niet.

[Reactie gewijzigd door Majestici op 7 augustus 2026 21:24]

[William_H]

Oh, het gebeurt zelfs hoogopgeleide artsen...
Been there, experienced that, helaas.

[Hielke Hoeve]

Mijn tandarts laat altijd zijn computer wagenwijd open staan. Heb hem er 3 keer op gewezen dat een Windows+L vereist is wanneer hij wegloopt. Nee hoor, ik kan alles inzien als hij even een paar fotos bekijkt in het lab. Volgende keer een IGJ melding.

[SniperEye]

Blij dat Odido heeft gekozen om niet te betalen aan deze club toen zij werden gehackt door deze club. Het blijkt maar weer dat ze geen enkel moreel besef hebben.

[Joeri.Bijlsma]

Dat zeg je wel, maar als ze wel betaalt hadden, had de data misschien niet op straat gelegen.
Ik ben ondertussen aan het twijfelen of niet betalen de optie is, bedrijven stellen hiermee wel voor dat geld belangrijker is dan de data van hun klanten.

Ja, je kunt zeggen dat dit aanspoort tot meerdere zaken, maar zoals keer op keer te zien is boeit dit dus niet. De hackers gaat gewoon door of ze nu betaalt krijgen of niet, is er dan op ten duur niet een punt dat gewoon betalen beter is voor de mensen dan de data leaks?

Correct me if i am wrong, maar ik ben mij er niet van bewust dat een hacking scene een hack gedaan heeft, betaalt gekregen heeft en dan daarna alsnog de data op straat gooit.

[JvdHoudt]

Als je data gaat lekken van medische bedrijven zoals uit dit artikel, ben je alle fatsoen voorbij. Ik geloof dan ook niet dat ze die data vernietigen als je wel betaalt. In in iedergeval shinyhunters niet.

[Joeri.Bijlsma]

Data is data, maakt niet echt uit waar het vandaan komt. al had het data van een web winkel geweest, dat maakt het niks minder fatsoen of meer. beide is fout.

[Milanobrotchen]

ene is net iets fouter als de ander, ik heb liever dat ze weten wat ik koop dan dat mensen te weten kunnen komen dat ik kanker heb

[m_snel]

Deze bendes bestaan alleen omdat er mensen of bedrijven zijn die willen betalen.

Maar eigenlijk is het niet zo best dat Odido na zoals het er op lijkt niet bereid is om te betalen.

Laat dan die miljoenen maar over maken naar de getroffenen.

Mij raakt het niet, ik gade twee abonnementen en wilde er nog twee bij nemen voor de kinderen.

Maar werd keer op keer belastert door T-Mobile . Op het laatst nadat ik serieus genomen werd over “,50 cent aan onterechte kosten heb ik ze vaarwel gezegd.

[D.J.P.]

Walgelijke streek weer van die groep. Zou fantastisch zijn als ze geïdentificeerd en gepakt worden. Het geeft te denken dat dit soort groepen er zo lang zo structureel mee weg kunnen komen. Digitale forensische opsporing heeft het er maar moeilijk mee lijkt het.

[William_H]

Het is soms wel bekend, maar dan heb je nog bewijslast. En dit soort lieden houden zich vaak op in landen waar wij geen uitleveringsverdrag mee hebben, of worden beschermd door staten, zoals Rusland doet.

[Sacerdote]

We hebben het hier dus over een database van gegevens van mensen die mogelijk inmiddels ernstig ziek zijn of zijn overleden, als ze echt kanker hadden. Lijkt me voor de reputatie van ShinyHunters geen beste keus. Media mag daar ook scherper op zijn. Dit soort hackersgroepen zien zichzelf ook een beetje als geuzen en willen serieus genomen worden.

[Blokker_1999]

Niet noodzakelijk. Hoewel deze kanker relatief vaak voorkomt is deze in een vroeg stadium ook gewoon te verhelpen en daar er eenvoudige, goedkope testen zijn om dit op te sporen wordt men vanaf een bepaalde leeftijd gemotiveerd om periodiek zo een test uit te voeren. Het kan dus perfect zijn dat er met de meeste mensen van wie de data gelekt is, niets aan de hand is.

Maakt de hack alsook de ziekte niet minder ernstig uiteraard. En voor zover mij bekend ook niet de eerste keer dat deze groep medische bedrijven lastigvalt en er data steelt.

[killercow]

Laten we wel realistisch naar beide schuldigen kijken hier.
Waarom bewaar je als bedrijf die gegevens nog nadat je de diagnose hebt gegegeven?

[Majestici]

Soms verplicht voor x-aantal jaar.

[m_snel]

Misschien de financiële gegevens maar het lijkt me vreemd dat je medische gegevens bijna onbeperkt moet bewaren.

Nu is er natuurlijk niet z’n probleem als je gezond bent, zou eventueel nog voordelen kunnen opleveren als bedrijven vage dingen doen.

Maar de meeste cijfers gaan over vijf jaar en ik zal wel niet de enige zijn die het opvalt dat het daarna snel breng afwaarts gaat.

[J_van_Ekris]

Misschien de financiële gegevens maar het lijkt me vreemd dat je medische gegevens bijna onbeperkt moet bewaren.

De wet op de geneeskundige behandelovereenkomst verplicht een zorgverlener expliciet tot het bijhouden van een medisch dossier van elke medisch relevante handeling, en het bewaren ervan voor ten minste 20 jaar. Met name bij kanker is het extreem relevant om te weten hoe de toestand vijf, tien of twintig jaar geleden was omdat dat vaak inzage geeft in groeisnelheid van tumoren of het kunnen insluiten/uitsluiten van kankervormen. Als het aan de medici ligt wordt die termijn alleen maar langer, ook vanwege erfelijkheid.

[m_snel]

Zou dit niet eigenlijk gewoon in je medisch dossier thuishoren en bij de onderzoekers geanonimiseerd.

[J_van_Ekris]

Zou dit niet eigenlijk gewoon in je medisch dossier thuishoren

Er is niet zoiets als "je medisch dossier" in Nederland. Zou handig zijn, maar dat is er niet. Dit is verspreid over alle individuele zorgverleners als gevolg van een besluit zo'n 20 jaar geleden. Dus je fysio, huisarts, apotheek, ziekehuis, lab hebben allemaal een deel, maar zeker niet alles.

Elke zorgverlener heeft individueel een wettelijke plicht een dossier bij te houden voor wat hij/zij doet en daar 20 jaar zorg voor te dragen. Daar staat in wat de behandeling was, maar ook welke informatie (door patient verteld of van medebehandelaren gekregen) wat de aanleiding was om die behandling zo in te zetten. Daar staan ook de eigen aantekeningen van de zorgverlener in. Bij vragen over die behandeling moet hij/zij die ook kunnen beantwoorden. Bij tuchtzaken wordt dit dossier dan ook door de tuchtcommissie gelicht indien nodig om vast te stellen of een medicus verwijtbaar heeft gehandeld. Zelfs na faillisement of overlijden van de zorgverlener moet de beschikbaarheid, vertrouwelijkheid en integriteit van dat dossier geborgd zijn.

[Reactie gewijzigd door J_van_Ekris op 8 augustus 2026 13:41]

[William_H]

Deze vraag werd ook bij het screeningsonderzoek voor borstkanker gesteld. En ik geef dan ook hetzelfde antwoord als dat er toen werd gegeven, dat zijn zij verplicht omdat de arts/diagnostisch laborant die de diagnose heeft afgegeven daar verantwoordelijk voor is. Het gaat hier om medische labs en die moeten verplicht dit soort data met naam en toenaam bewaren.

[Houtenklaas]

Dat is hun wettelijke plicht, minstens 20 jaar na de laatste wijziging.

[Reactie gewijzigd door Houtenklaas op 7 augustus 2026 21:32]

[Llopigat]

Ze zoeken echt in de diepste krochten van het internet tegenwoordig. Die hackers hebben duidelijk veel aandrang.

[n00bs]

Gadverdamme smerige lui. ik kan helaas niet hier neerzetten wat ik er echt van denk en diep van binnen voel, want dan heb ik een permban op tweakers te pakken.

Ik zou enkel graag die lui eens in het echt zien, kijken wat een helden jullie dan zijn.

[Nedje]

Frustrerend dat ShinyHunterz in voorgaande hacks een moraalridder standpunt in neemt, ondertussen hebben ze in de afgelopen periode redelijk wat data buit gemaakt én openbaar gemaakt.


Zeker zoiets als gevoeligs als dit, ga toch weg. Deze banaan wordt niet recht, stelletje criminelen.

[Steven9911]

Kijk dat zo'n bedrijf zo omgaat met gevoelige gegevens, daar mogen we wat van vinden. Alleen het morele kompas van Shinyhunters, althans hetgeen wat ze zelf beweerde, kun je in de kast der hypocrieten stoppen. Dit is dansen op het graf van een ander, te triest voor woorden. Hopelijk worden die criminelen snel opgepakt en krijgen ze levenslang.

[m_snel]

Ik ben persoonlijk niet voor de doodstraf maar dit soort mensen zouden ze misschien toch wat harder moeten aanpakken.