ShinyHunters lekt data van miljoenen patiënten bij kankerscreeningbedrijf

ShinyHunters heeft de gegevens van miljoenen patiënten van kankerscreeningbedrijf Exact Sciences online gezet. Het lek bevat onder meer vertrouwelijke medische data. Exact Sciences verkoopt onder meer de Cologuard-test, waarmee mensen zich thuis kunnen screenen op darmkanker.

Have I Been Pwned meldt dat het datalek 10,9 miljoen unieke e-mailadressen van klanten, patiënten en zorgverleners bevatte. Verder zijn volgens het bedrijf namen, adressen, telefoonnummers en medische dossiers in de database te vinden. Volgens The Register heeft ShinyHunters ook een miljoen bsn's gelekt.

Have I Been Pwned heeft het datalek als gevoelig aangemerkt, waardoor gebruikers moeten inloggen om te zien of zij getroffen zijn. 75 procent van de getroffen e-mailadressen stond volgens de organisatie al in de database.

Abbott, dat Exact Sciences eerder dit jaar overnam, erkende eerder deze week dat 'sommige van de getroffen bestanden persoonlijke informatie en/of persoonlijke gezondheidsinformatie bevatten'. Het bedrijf analyseert de gegevens nu en belooft betrokken personen te informeren.

Abbott maakte ook bekend dat ShinyHunters toegang tot de data wist te krijgen door een 'vishingaanval', oftewel een telefonische phishingaanval. Dat gebeurde eerder dit jaar al bij de hack op Odido, die ShinyHunters ook uitvoerde.

ShinyHunters-hackers hebben onder meer medische gegevens gestolen van Exact Sciences.
Bron: Curly_Photo/Moment/Getty Images (afbeelding ter illustratie)

Reacties (59)

[Homeland]

Zullen we maar gewoon accepteren dat in elk geval BSNs niet zo gevoelig meer zijn en ons daaraan aanpassen?

[killercow]

helaas is een BSN wel gevoelig en kun je die niet aanpassen, met dank aan de archaïsche regelgeving daar omtrent.

[Sissors]

Het is een beetje gevoelig, en het zou verminderd moeten worden door het minder te gebruiken als identificatie middel.

En BSN dan maar gaan aanpassen elke keer dat hij mogelijk gelekt is, lijkt mij ook geen fatsoenlijke optie. Gebruik gewoon dingen als DigiD voor identificatie wanneer nodig.

[Reactie gewijzigd door Sissors op 7 augustus 2026 21:25]

[laurxp]

Het zou (deels) opgelost kunnen worden door een instantie-specifiek derivaat te gebruiken.

Waarom zouden zowel de ING als het UWV gebruik moeten maken van een BSN van 12345, als we ook de ING 18e4c92bf673e481dd46aa0d860fbf88 kunnen geven en het UWV c3edcbe1cd193f4f204e4a8eb81cbd51?

Een DigiD-achtige dienst zou je vervolgens kunnen gebruiken voor een éénmalig "vertaal BSN X naar een ING-ID" en een later "behoort ING-ID X bij BSN Y?", en voor een "maak van ING-ID X een tijdelijke transportvorm die ik naar het UWV kan sturen / maak van de tijdelijke transportvorm die ik van ING heb gekregen een UWV-ID" om communicatie tussen instanties mogelijk te maken.

Als je het een béétje slim opzet kan je die vertaling zelfs geheel stateless maken, dus je hoeft niet eens bang te zijn dat er een enorme koppel-database gelekt kan worden.

[Gr4mpyC3t]

Ja, of leg de authenticatie/verificatie bij de overheid neer. Bedrijven blijven maar data dupliceren omdat dit moet voor de dienstverlening. Maar vaak is een ja/nee antwoord voldoende. Denk aan leeftijdscontrole: is Gr4mpyC3t meerderjarig? Een ja/nee-antwoord is voldoende.

Zou mooi zijn als ik inlog met DigiD via de bank, en daarmee aangeklopt kan worden bij een API-endpoint van de overheid die dit ja/nee-antwoord teruggeeft.

Dan hoeft een bank mijn geboortedatum ook niet op te slaan.

[The Zep Man]

Het is een beetje gevoelig, en het zou verminderd moeten worden door het minder te gebruiken als identificatie middel.

Het probleem is niet dat het BSN gebruikt wordt als identificatiemiddel. Het probleem is dat het gebruikt wordt als authenticatiefactor in bepaalde (overheids)processen. Het BSN zou geen geheim moeten zijn.

[Reactie gewijzigd door The Zep Man op 7 augustus 2026 22:33]

[Raymond Deen]

Het bsn is in het verleden te pas en onpas gebruikt. Ik heb het zelfs op stickers op medicijnen en zichtbaar in de adres vensters van brieven voorbij zien komen.

Je zou als burger moeten kunnen zien of gewaarschuwd worden wanneer er met je bsn geïdentificeerd of geautoriseerd wordt, want nu kunnen partijen met een aantal van jouw privé gegevens zomaar abonnementen en contracten afsluiten waaronder jouw bsn dus.

[laurxp]

Alternatief: zullen we gewoon accepteren dat bedrijven databeveiliging serieus zouden moeten nemen, en niet alles op één hoop in een onveilig systeem mogen gooien?

Het probleem bij lekken als deze is dat ze én NAW-gegevens én medische dossiers bevatten. "Meneer Janssen is klant bij de kankerscreening" en "test 1234 is positief voor darmkanker" zijn op zichzelf niet fijn om gelekt te worden, maar niet héél schadelijk. Aan de andere kant, een "meneer Janssen is positief voor darmkanker" dat op straat komt is wel echt een serieus probleem.

In de praktijk heb je lang niet altijd beide gegevens nodig. Een laborant kan prima een test doen zonder NAW-gegevens, en een administratief medewerker kan prima je NAW-gegevens updaten zonder testinformatie. Alleen bij taken zoals het versturen van uitslagen moet je kortdurend toegang tot beide datasets hebben.

Dus wanneer gaan zulke organisaties dit serieus nemen door hun data te compartimentaliseren? Bewaar zo min mogelijk, gebruik Just-In-Time toegang, en verdeel het over silo's - en gebruik géén BSN als interne foreign key!

[Luchtbakker]

Alternatief: zullen we gewoon accepteren dat bedrijven databeveiliging serieus zouden moeten nemen, en niet alles op één hoop in een onveilig systeem mogen gooien?

Je kan je servers en netwerk nog net zo goed beveiligd hebben. De keten is zo sterk als de zwakste schakel en dat is altijd een medewerker dat een keer trapt in een telefoontje of email.

[Aalard99]

En met één account 10,9 miljoen records kunnen downloaden? Nee dat zou niet mogelijk moeten zijn. Een persoonlijk account zou alleen toegang moeten hebben tot de data die diegene nodig heeft, niet tot de hele database. Dus ja, eens dat de mens een zwakke schakel is maar hier zit toch echt een fout in de IT systemen die dit mogelijk hebben gemaakt.

[kokx]

Dit is echt heel erg achterhaald. Een enkele medewerker zou nooit in staat moeten zijn om gemakkelijk alle gegevens te kunnen ophalen zonder ergens tegenaan te lopen.

Zelfs beheerders horen niet in die situatie te zitten.

Juist omdat er altijd wel een medewerker in een telefoontje of email trapt, moet je meerdere lagen in je beveiliging inbouwen. Zodat als er een medewerker ergens in trapt, er nog genoeg andere lagen zijn waar een aanvaller tegengehouden wordt of gedetecteerd wordt.

En nee, dat kun je er "niet uittrainen". Denk jij dat op een dag waar al heel veel tegen zit, je slecht geslapen hebt, nog 10 minuten hebt voor je volgende meeting die belangrijk is, je gebeld wordt door een goed nederlands sprekende IT-medewerker die zogenaamd bij jouw bedrijf werkt en je snel iets moet instellen op je systeem, je daar echt niet in zal trappen?

[anboni]

Als een medewerker meer dan 1 dossier in een minuut opent, moet er al een signaal afgaan. Bij meer dan 2 in een minuut moet het account geblokkeerd en onderzocht worden...

[GrooV]

Tijd voor fatsoenlijke schade claims zodat het ook serieus genomen wordt

[Raymond Deen]

Zoals iemand op tweakers eerder zo mooi zei: data moet giftig worden zodat je er zo weinig mogelijk van wilt hebben als partij.

Natuurlijk wordt die data gecompartimentaliseerd opgeslagen en versleuteld, waarbij de mogelijkheid tot in bulk uitvragen van de data niet is toegestaan en waarbij alarmbellen afgaan wanneer er query quota worden overschreden. Verbindingen naar databases beschermd met toegestane endpoints en toegang die wordt beschermd met secrets in een vault, die beperkt benaderbaar zijn.

Gewoon een standaard afvink lijstje met hoe je data op slaat… En dan natuurlijk helemaal aan het begin van het proces de vraag “wat moet ik nou écht opslaan?”

[mjl]

Het gaat hier niet ze zeer over de BSN nummers maar het is kwalijker dat er medische gegevens in zitten. Iedereen kan die nu in zien en jou bijvoorbeeld weigeren op een verzekering bijvoorbeeld. Dit soort informatie kan ver strekkende gevolgen hebben voor de betrokkenen.

bij bijv Odido is het niet zo spannend, iedereen weet nu dat ik 3 abonnementen heb bij Ben en met welk nummer. Daar ondervind ik buiten de spam geen schade van. Met medische gegevens is dat wel wat anders (overigens is er bij Odido ook gevoelige financiële informatie gelekt. Ook dat kan grotere gevolgen hebben voor de betrokkenen, toch waren dat een heel stuk minder mensen dan nu met medische gegevens.

[Deruijter]

In Zweden is er "BankID" (een soort digid), die als 2fa fungeert voor heel veel belangrijke zaken. Je "personnummer" (soort BSN) is niet echt heel boeiend en valt vrij makkelijk te herleiden. Ik woon al een tijd niet meer in Nederland maar wordt Digid daar nu niet soortgelijk gebruikt? M.a.w. is het nog steeds een groot probleem als je BSN op straat ligt, als Digid als 2fa gebruikt wordt? (serieuze vraag)

[Dakdak]

100% mee eens. Ik zou willen dat:

1. Bedrijven moeten het blijven hanteren als persoonsgegevens zoals je geboortedatum en adres en nooit gebruiken voor identificatie in enige vorm.

2. Men de verantwoordelijkheid voor geheimhouding niet meer bij de burgers legt.

[maddog4004]

BSN? Wat dacht je van nadenken over hoe iemand aan de telefoon zichzelf identificeert? Goedendag meneer mag ik ter verificatie uw postcode en huisnummer? Oh dat is correct dus dan moet u het wel zijn. Alle instanties doen het nog steeds op deze manier. Nee dat kan niet meer want sinds de Odido hack ligt half Nederland op straat dus identificeren via welke combinatie van die gelekte metadata dan ook is zinloos.

[Reactie gewijzigd door maddog4004 op 7 augustus 2026 22:37]

[m_snel]

ik geef dat soort gegevens niet door , als de bank mij belde heb ik ze daar ook wel eens op gewezen.

Maar iemand die je dan belt begrijpt dat niet zo snel. Dan bel je gewoon terug dan weet je tenminste zeker dat je met de bank belt.

En het is echt ongelofelijk hoeveel bedrijven of instellingen je mails sturen met de mogelijkheid om vanuit de mail in te loggen. Alleen daarop zou al een grote boete moeten komen.

[m_snel]

De overheid heeft hier natuurlijk een grote fout gemaakt. Je unieke nummer in een database hoeft natuurlijk nooit in wat voor document te staan.

Een document nummer van je paspoort of rijbewijs dat afwijkt zou natuurlijk gewoon voldoende kunnen zijn.

[erikieperikie]

Laten we daar gewoon al onze gegevens aan toevoegen. Zo. Probleem opgelost.

Maken we meteen alle publieke en private besluitvorming open en vrij toegankelijk.

[D.J.P.]

Walgelijke streek weer van die groep. Zou fantastisch zijn als ze geïdentificeerd en gepakt worden. Het geeft te denken dat dit soort groepen er zo lang zo structureel mee weg kunnen komen. Digitale forensische opsporing heeft het er maar moeilijk mee lijkt het.

[William_H]

Het is soms wel bekend, maar dan heb je nog bewijslast. En dit soort lieden houden zich vaak op in landen waar wij geen uitleveringsverdrag mee hebben, of worden beschermd door staten, zoals Rusland doet.

[Majestici]

Nadat ik in de wachtruimte bij het ziekenhuis een receptioniste een email adres en BSN nummer heb horen herhalen hardop, vind ik het niet geheel vreemd hoe makkelijk ze bij deze zelfde 'clerks' inloggegevens wegkapen en inloggen.

Techniek verbeterd sneller dan de mensen zelf. Wordt eens tijd dat de corporaties die digitalisering blijven versnellen zich dit realiseren. Tenzij ze eraan meedoen officieus, immers data = geld. Een beetje een soort van "LIHOP".

[r03n_d]

De mens is altijd de zwakste schakel, maar dat hoeft écht niet een vrouwelijke digibeet van 50+ te zijn. Het zal de gemiddelde Tweakers hoop ik niet overkomen, maar ik zie mijn andere leeftijdsgenoten er wel voor aan om gewoon op een linkje te klikken in een mail.

[William_H]

Oh, het gebeurt zelfs hoogopgeleide artsen...
Been there, experienced that, helaas.

[Majestici]

Was dan ook niet generaliserend, het was een anekdote. De persoon die naast me zat in de wachtkamer heeft er samen met mij fijn erover kunnen lamenteren. Dus niet iedereen natuurlijk. Maar de discipline is er simpelweg gewoon niet bij de meeste mensen. Of het verbeeldingsvermogen wat men met de gegevens kunnen doen die ze laten slingeren.

De zogenaamde OPSEC is er niet.

[Reactie gewijzigd door Majestici op 7 augustus 2026 21:24]

[Gotiniens]

@TijsZonderH fijne week van het datalek!

[remmstein]

Als je als bedrijf deze week niet vermeld wordt, dan is het bijna zielig.

[Llopigat]

Ze zoeken echt in de diepste krochten van het internet tegenwoordig. Die hackers hebben duidelijk veel aandrang.

[n00bs]

Gadverdamme smerige lui. ik kan helaas niet hier neerzetten wat ik er echt van denk en diep van binnen voel, want dan heb ik een permban op tweakers te pakken.

Ik zou enkel graag die lui eens in het echt zien, kijken wat een helden jullie dan zijn.

[SniperEye]

Blij dat Odido heeft gekozen om niet te betalen aan deze club toen zij werden gehackt door deze club. Het blijkt maar weer dat ze geen enkel moreel besef hebben.

[m_snel]

Deze bendes bestaan alleen omdat er mensen of bedrijven zijn die willen betalen.

Maar eigenlijk is het niet zo best dat Odido na zoals het er op lijkt niet bereid is om te betalen.

Laat dan die miljoenen maar over maken naar de getroffenen.

Mij raakt het niet, ik gade twee abonnementen en wilde er nog twee bij nemen voor de kinderen.

Maar werd keer op keer belastert door T-Mobile . Op het laatst nadat ik serieus genomen werd over “,50 cent aan onterechte kosten heb ik ze vaarwel gezegd.

[Joeri.Bijlsma]

Dat zeg je wel, maar als ze wel betaalt hadden, had de data misschien niet op straat gelegen.
Ik ben ondertussen aan het twijfelen of niet betalen de optie is, bedrijven stellen hiermee wel voor dat geld belangrijker is dan de data van hun klanten.

Ja, je kunt zeggen dat dit aanspoort tot meerdere zaken, maar zoals keer op keer te zien is boeit dit dus niet. De hackers gaat gewoon door of ze nu betaalt krijgen of niet, is er dan op ten duur niet een punt dat gewoon betalen beter is voor de mensen dan de data leaks?

Correct me if i am wrong, maar ik ben mij er niet van bewust dat een hacking scene een hack gedaan heeft, betaalt gekregen heeft en dan daarna alsnog de data op straat gooit.

[killercow]

Laten we wel realistisch naar beide schuldigen kijken hier.
Waarom bewaar je als bedrijf die gegevens nog nadat je de diagnose hebt gegegeven?

[Majestici]

Soms verplicht voor x-aantal jaar.

[m_snel]

Misschien de financiële gegevens maar het lijkt me vreemd dat je medische gegevens bijna onbeperkt moet bewaren.

Nu is er natuurlijk niet z’n probleem als je gezond bent, zou eventueel nog voordelen kunnen opleveren als bedrijven vage dingen doen.

Maar de meeste cijfers gaan over vijf jaar en ik zal wel niet de enige zijn die het opvalt dat het daarna snel breng afwaarts gaat.

[William_H]

Deze vraag werd ook bij het screeningsonderzoek voor borstkanker gesteld. En ik geef dan ook hetzelfde antwoord als dat er toen werd gegeven, dat zijn zij verplicht omdat de arts/diagnostisch laborant die de diagnose heeft afgegeven daar verantwoordelijk voor is. Het gaat hier om medische labs en die moeten verplicht dit soort data met naam en toenaam bewaren.

[Houtenklaas]

Dat is hun wettelijke plicht, minstens 20 jaar na de laatste wijziging.

[Reactie gewijzigd door Houtenklaas op 7 augustus 2026 21:32]

[gunnie_nl]

"ShinyHunters lekt data van miljoenen Cologuard-test"

shit.....

[Llopigat]

Ja dit zaakje stinkt!

[Dakdak]

Stelletje uitwerpselen zijn het.

[LootersV]

Ik denk eerder dat zij de verzamelnaam zijn van waar op gescreend wordt

[Bever!]

En nog steeds niet gepakt.. kom op diensten?!