Hackers zetten data 700.000 mensen gratis online na hack Waals onderwijsnetwerk

Hackers hebben de persoonsgegevens van 700.000 mensen gratis online gezet, meldt een datalektracker. Ze zijn afkomstig uit een database van het Waalse opleidingsnetwerk Ifapme. Daaronder vallen ook gevoelige gegevens, zoals rijksregisternummers.

Ifapme werd in februari al getroffen door een hack, waarna de gegevens te koop werden aangeboden op het darkweb. Nu is het datalek opnieuw verschenen, omdat de gegevens gratis op een darkwebforum zijn gepubliceerd.

Dat meldt Frenchbreaches, een website die datalekken volgt. Volgens die website zijn de gegevens sinds 4 oktober gratis te downloaden op een darkwebforum, al kon Tweakers dat niet zelf verifiëren. De redactie heeft Ifapme om reactie gevraagd.

Het gaat om de gegevens van meer dan 700.000 mensen, aldus de website. Het instituut biedt onder meer (duale) beroepsopleidingen en trainingen voor zelfstandigen en ondernemers.

Volgens Frenchbreaches gaat het om overwegend gevoelige gegevens, waaronder zeker 85.000 rekeningnummers. Ook zijn er rijksregisternummers buitgemaakt, het Belgische equivalent van het burgerservicenummer. Verder gaat het om voor- en achternamen, adressen, e-mailadressen, telefoonnummers en geboortedata.

De gegevens waren al gepubliceerd, al was dat eerder alleen tegen betaling. Nu de data gratis lijkt rond te gaan, kan dat de kans op misbruik vergroten, bijvoorbeeld voor phishing. De combinatie van rekeningnummers, rijksregisternummers en andere persoonsgegevens kan fraude en social engineering vergemakkelijken.

Bron: Sarayut Thaneerat/Moment/Getty Images

Reacties (101)

[ETH0.1]

Ik val toch wel een beetje over het woord: 'gratis', klinkt erg gek als dat samen gaat met gelekte data

[RiDo78]

Toch is het heel simpel. Als ik bij jouw inbreek en dat unieke kunstwerk jat dan kan het zijn dat een kunsthandelaar het herkent en er vragen bij gaat stellen. Dus verkopen gaat lastig zijn. Maar als ik er toch vanaf wil dan kan ik het gratis weggeven; achterlaten bij een kringloop bijvoorbeeld.

Gratis hoeft niet te zijn dat jij er voordeel van hebt; het kan ook zijn dat jij er een nadeel aan hebt. Je gegevens liggen te grabbel of je kunt je kunstwerk bij de lokale kringloop terugkopen.

Vergeet niet dat persoonsgegevens waarde hebben voor bepaalde personen. En als die 100.000 euro moeten aftikken voor een dataset dan zijn het professionals en willen ze daar wel hun investering terug uit kunnen halen. Dus dat zal eerder een voorbereiding zijn voor een gerichte aanval. Maar als die set gratis te vinden is, kan elke kruimeldief proberen om er een slaatje uit te slaan. "Dit is een geautomatiseerde noodoproep van .... bank" -- ik heb die ratten wekelijks aan de lijn.

[KL643]

Helemaal mee eens. Klinkt alsof we er blij om moeten zijn..

[SacredRose]

je hoeft tenminste niet te betalen om te kunnen zien welke data precies van je gelekt is in plaats van het te doen met een bulk mailtje waarin ze aangeven wat ze denken dat er buit gemaakt is aan data.

[kodak]

Bij gratis zou er geen tegenprestatie verwacht worden. Maar dat gaat hier nmm niet op. De criminelen verwachten namelijk dat het de mensen om wie het gaat moeite kost. En door zowel het opzettelijk illegaal verkrijgen en het illegaal aan te bieden zijn ze dus uit op die moeite bij anderen. Dat is nmm dan niet gratis meer te noemen. Eerder nogal kostbaar tot het tegendeel is bewezen.

[swhnld]

Je kunt het in de context van dit artikel ook zien als dat ze geen succes hadden dit te gelde te maken, dus 'gratis' op het internet gedumpt hebben in de zin dat het zonder ervoor te betalen toegankelijk is.

[Mirved]

Wat lief van ze. Dat we deze data gratis mogen hebben.

[l0g1c]

Ik probeer met mentale gymnastiek het woord 'gratis 'om te buigen naar legitiem gebruik in dit artikel maar het lukt me echt niet. Het trekt de aandacht, dat wel!

[FicoF]

Ik las de titel ook anders. Alsof ik ga betalen voor het lekken van mijn data? Nu is het net alsof het een vriendelijke dienst is die dit gratis voor je doet.

[Meliscool]

Hoera!!!

[Merik]

Dat heeft ook niets met het artikel te maken, bij het woord gratis zijn mensen onbewust eerder geneigd om te klikken (de associate gratis = goed). Taalkundig gezien zijn er ook betere titels.

[DennisBoom]

Ik zou de titel zonder het woord ‘gratis’ erin duidelijker vinden dan nu.

[Quilt]

We weten al meer dan tien jaar dat het rijksregisternummer een enorm slechte sleutel is, maar blijven die gebruiken.
De overheid schiet hier echt wel tekort.

[NoTechSupport]

We moeten dringend naar een systeem waar rijksregisternummer op geen enkel vlak, behalve als ID, nuttig is. En dat communiceren naar gebruikers en diensten. Als je gecontacteerd wordt met je naam en rijlsregisternummer wilt dat niets zeggen. Bewijzen wie je bent zou via specifieke systemen (itsme, ...) moeten gaan via tijdelijke codes. En gebruikers moeten zich daarvan bewust zijn.

Daarnaast is het niet aanvaardbaar dat gebruikersgegevens zoals naam, adres en geboortedatum overal opgeslagen worden. Je zou alleen een referentie naar een tijdelijke specifieke code moeten hebben die met toestemming van de gebruiker kan geresolved worden naar de gegevens die nodig zijn. En die niet opgeslagen mogen worden.

[Some12]

Prachtige comment!

Het is dus wel gebleken dat overal data opgeslagen wordt. Het is inmiddels ook wel bekend dat alles gehackt wordt. Het is verder onveilig als dit gebeurd. Waar is de urgentie om er wat aan te gaan doen? Nergens.

In de tussentijd zou ik men willen adviseren om louter vanuit een vertrouwde bron (beginnende bij jezelf) te gaan handelen. Alles wat onherleidbaar je tot actie wil laten overgaan: wegklikken en ophangen. Vervolgens zelf een vertrouwde manier vinden om de persoon/instantie/bedrijf op te zoeken en uit jezelf te contacteren, met telefoonnummers die je op eigen houtje hebt opgezocht. Alles heeft tegenwoordig een soort van sociale root of trust nodig.

Oh en die BSN’s mogen wel even geroteerd worden!

[Quilt]

Inderdaad. De moraal van het verhaal moet net compleet omgekeerd zijn.
Een organisatie die mensen wil identificeren mag niet vertrouwen op een RRN.

[Rembert]

Ja, BSN's mogen best worden geroteerd. Elke ZZP-er die al langer bezig is zal dat toejuichen.

[beeldbuijs]

Eh… dat is al zo

Het rijksregisternummer mag, net als het bsn niet gebruikt worden voor authentificatie en ook niet opgeslagen worden. Alleen in specifieke situaties mogen bijvoorbeeld banken, werkgevers en notarissen het vastleggen als onderdeel van de controle.

Iedereen, ook niet-Nederlanders kunnen een bsn aanvragen. Het bsn is puur een identificatie-nummer: een hulpmiddel om personen uit elkaar te kunnen houden, niet als authentificatie / bewijs dat iemand daadwerkelijk is wie hij zegt te zijn.

[NoTechSupport]

Je zou ervan verschieten hoeveel je gedaan krijgt op basis van een nationaal nummer. Gebruikers denken dat ze de instantie die hen hun nummer toont te vertrouwen is, je kan er een identiteitskaart mee namaken die je toelaat bij de bank een rekening te openen, ... Als je iemand anders wilt zijn is dit een heel goed startpunt.

[telenut]

in BE zal je zelfs geen simkaart kunnen bemachtigen met dat nr.

[beeldbuijs]

Je zult als overheid toch iets als id/nummer moeten gebruiken, want als je bijvoorbeeld naam en geboortedatum gebruikt, loop je gegarandeerd tegen meerdere Jan Jansens aan die op dezelfde dag geboren zijn, zelfs in dezelfde gemeente.

Als mensen een oplichter vertrouwen omdat het hun bsn / rrn kent, is dat een voorlichtingsprobleem wat je met elk andere variant ook zult hebben.

[Quilt]

Het is ook als ID helemaal niet nuttig, want er zijn slechts vijfhonderd mogelijkheden (per geboortedatum en geslacht).
Dat maakt het erg makkelijk om een RRN te raden als je de geboortedatum kent.

Je zou inderdaad in staat moeten zijn om een identifier te genereren per entiteit die je wil identificeren.

[Quilt]

Als je het RRN als 'id' wil gebruiken, sla je natuurlijk ook de geboortedatum op.

Het RRN is nu eenmaal zo simplistisch. Voor Remco Evenepoel bijvoorbeeld, is het rijksregisternummer:
2000.01.25.0xx.cc (want hij is geboren op 25 januari 2000).
0xx/1xx is het volgnummer van zijn geboorte zoals aangegeven bij binnenlandse zaken. De jongens krijgen oneven nummer. Gemiddeld worden er zo'n 300 baby's per dag geboren in België... Januari is een kalme maand, maar op dinsdag worden er wel meer kindjes geboren.
cc is gewoon een checkdigit.

Je heb echt wel geen zware GPU nodig om achter iemands RRN te komen.

Het had misschien wel bestaansrecht tot in de jaren 70 of 80 toen alles op papier verliep. Maar ondertussen is het al lang achterhaald.

[Reactie gewijzigd door Quilt op 5 oktober 2026 13:54]

[maasland2]

en de cc in je commentaar is de rest van een deling waarbij het deeltal al de vorige cijfers zijn en de deler het getal 97 is 😊

[Kristof Vxx]

een referentie naar een tijdelijke specifieke code moeten hebben die met toestemming van de gebruiker [...]

Vind ik zeer nobel, maar onhaalbaar tenzij alles in CRM-systemen wordt gestoken die dit automatisch voor de gebruiker doen. Dan moet je wel voor elke mogelijke toepassing een (100% veilige) koppeling met dat systeem hebben. En dat is onbetaalbaar en onmogelijk. Enkele voorbeelden uit mijn gemeente (Destelbergen, BE):

• Men organiseert een activiteit waarvoor je je moet inschrijven. Bepaalde info (emailadres, telnr...) moet je opgeven bij het inschrijven
• Er is een subisidie waarbij je 100 EUR kan krijgen voor "bij-vriendelijke aanplanting" (don't get me started). Daar schrijft dan hooguit 10 man op in, dus dat is handiger bij te houden in een Excelletje
• Je koopt een cadeaubon om de lokale handelaars te ondersteunen. Ook hier moet informatie achtergelaten worden.
• Mijn kinderen worden ingeschreven via de voorrangsregeling voor de vakantiekampen. Dan moet je aangeven wat je adres is om hiervan gebruik te maken. Die info moet je in een online form ingeven.

Dus wat krijg je dan als je zoiets wil implementeren: een uniek nummer waarop je identificeerbaar bent. En dan ben je weer bij af.

[NoTechSupport]

Er is toch niets onmogelijk aan. Ipv 10 velden, is er één ID en eventueel extra velden om voorkeuren op te geven. We gaan wel moeten professionaliseren en een applicatie hebben die IDs kan omzetten in de gevraagde gegevens, alleen op het moment dat ze effectief nodig zijn. Maar dat is hoe dan ook nodig.

[Kristof Vxx]

Je vergeet de inkomende kant: de burger komt aan het loket of vult een formulier in op een website. Ook deze data komt ergens terecht. Die ene ID hebben wel al, dat is het rijksregisternummer ;-)

[Sprincky]

Welke van de 5 ?

[timoootjex]

6 😉


Federaal, Vlaams, Waals, Brussels, Franstalige en Duitstalig.

[Quilt]

Ik denk dat je het verticaal moet bekijken vanuit de Burger.

Federaal, Gemeenschap, Gewest, Gemeente.
Dus ja, dan heb je drie of vier lagen, afhankelijk van je woonplaats.

Eventueel zit er nog een provincie tussen, maar de overgrote meerderheid van de burgers hebben daar geen contact mee.

[timoootjex]

Klopt, en uiteindelijk zou het meeste van die RRN best federaal opgeslagen worden.

[Quilt]

In hoofdzaak de Federale, die 'owner' zijn van het RRN.
De andere overheden maken de fout dat er er blijven mee integreren.

[Aldy]

Ik wilde serieus vragen wat er aan het Rijksservicenummer mankeerde. Toen bedacht ik dat ik zelf even zou kunnen googlen en op Wikipedia werd ik uit de droom geholpen: welke idioot heeft dit verzonnen?
Voor de geïnteresseerden Wikipedia: Rijksregisternummer en bedenk dat je niet mag lachen, want het is eigenlijk in-en-in triest.

[telenut]

Wat is er juist triest aan?

[Aldy]

Heb je gelezen waaruit het Rijksregisternummer is opgebouwd? Dat wil zeggen dat als je weet wanneer iemand geboren is, je minder dan duizend keer hoeft te proberen om achter het nummer te komen. Het nummer in België bestaat uit elf cijfers, maar in werkelijkheid maar uit drie cijfers. Het BSN bestaat uit negen cijfers en dat blijven negen cijfers. En als je denkt dat mensen uit een bepaald geboortejaar een BSN hebben dat altijd uit acht cijfers bestaat, dan is dit ook niet juist, want ook die mensen kunnen een BSN hebben dat uit negen cijfers bestaat.

[telenut]

ja en?
Je bent in België helemaal niks met iemand zijn rijksregisternummer... Leuk dat je het hebt dan.

[Aldy]

O, je kunt helemaal niets met je Rijksregisternummer. Het dient dus nergens voor. Dat zeg ik: in-en-in triest. Hebben de Belgen voor veel geld iets opgetuigd en dan kun je er niets mee.

[telenut]

je kan er zeer veel mee: het is een uniek nr te koppelen aan 1 persoon. Voor overheidsinstellingen is dit heel nuttig dus.
Voor een individu zelf is het vrij waardeloos, en de opmaak van dat nr verzinnen zal echt wel niet veel geld gekost hebben :-)

[telenut]

Hoezo? Het is een unieke sleutel voor een persoon. Uw naam en geslacht kan je zeer makkelijk veranderen.
in NL schieten ze pas te kort, daar gebruiken ze dat soms als "wachtwoord" voor toegang tot bepaalde diensten. in BE ben je er voor zover ik weet helemaal niks mee.

[amenmalek]

Ik mag toch aannemen dat een instelling die zijn beveiliging ofwel niet op orde heeft ofwel gehackt ziet zijn hier juridische/strafrechtelijke consequenties aan ondervindt? Dit kan natuurlijk niet. Wij hebben hier in NL onze eigen schare aan digitale schandaaltjes, maar hm...

[RefriedNoodle]

Ik mag toch aannemen dat een instelling die zijn beveiliging ofwel niet op orde heeft ofwel gehackt ziet zijn hier juridische/strafrechtelijke consequenties aan ondervindt? Dit kan natuurlijk niet. Wij hebben hier in NL onze eigen schare aan digitale schandaaltjes, maar hm...

Zeker. België heeft sinds oktober 2024 een eigen implementatie van NIS2 die het bepaalde "essentiële entiteiten" verplicht stelt de security goed in te regelen. Er wordt ook toezicht op gehouden en boetes uitgedeeld. Geldt helaas nog niet voor alle sectoren, maar het is een begin.

Nederland heeft sinds dit jaar ook een NIS2-implementatie, de Cyberbeveiligingswet (Cbw).

[Quilt]

Ik heb al in een meeting gezeten van een overheidsentiteit waarbij de kans op boetes besproken werd. De manager zei: "Voor ons maakt dit niets uit, wij zijn de overheid en boetes gaan naar de overheid."

Dat is gewoon de mindset. Voor een burger die slachtoffer wordt van een datalek is het quasi onmogelijk om schade te bewijzen, en onze rechtspraak gaat enkel schade vergoeden.

En een cynicus zou opmerken dat 'schuld' almaar moeilijker te bewijzen wordt, wanneer dezelfde data meerdere keren gelekt wordt. Hoe ga jij bewijzen dat jouw schade specifiek door datalek x of y komt?

[Honytawk]

En waarom hadden die het rijksregisternummer nodig?
De enige info die ze ECHT nodig hebben voor opleidingssoftware is voornaam en achternaam.
Al de rest is overbodig. En dus duidelijk gevaarlijk om op te laten slaan.

[Pino Blauw]

Er moet echt wat gedaan worden om dienstverleners te verplichten een dienst te verlenen op basis van absoluut minimale informatie verstrekking door klanten.

[Honytawk]

Bedrijven belasten op elk stukje info dat ze van hun klanten opslaan bijvoorbeeld.
Hoe gevaarlijker het deeltje data, hoe duurder.

Je zal zien hoe snel ze hun databases kleiner gaan maken en enkel de echt belangrijke datapunten bij gaan houden.

[Pino Blauw]

dat is een prima idee

[Quilt]

Vermoedelijk om fiscale attesten af te leveren zodat opleidingskosten voor belastingsaftrek gebruikt kunnen worden.

[PrimusIP]

Wat je ziet is dat het mensen steeds minder boeit dat er een datalek geweest is. Bedrijven massaal gehackt, consument maakt het weinig uit: 'We zijn datalekmoe'

Ik herken het gevoel wel, gegevens liggen inmiddels toch al op straat. Hopelijk komt er nog iets 'goeds' uit voort dat het hackers niet echt meer loont.

[Pasteis]

Wat je ziet is dat het mensen steeds minder boeit dat er een datalek geweest is. Bedrijven massaal gehackt, consument maakt het weinig uit: 'We zijn datalekmoe'

Ik herken het gevoel wel, gegevens liggen inmiddels toch al op straat. Hopelijk komt er nog iets 'goeds' uit voort dat het hackers niet echt meer loont.

We kunnen beter investeren in methodes en middelen om te voorkomen dat misbruik zo makkelijk gebeurt.

Dat zal enerzijds via awareness moeten gaan, maar anderzijds ook zorgen dat niet zomaar met jouw gegevens misbruik gepleegd kan worden.

[MontyMole]

Dus jullie schrijven een heel artikel in "bewezen vorm" terwijl jullie het niet konden verifiëren?

[adje123]

700000 maar…..

De Denen hebben het zwaarder.

[martwoutnl]

Dat las ik ook net via Daniel Verlaan. Hele bevolkingsregister daar.

[Kastermaster]

Het is natuurlijk diep triest dat op een 'gewone' maandag richting de 10 miljoen mensen (oké, misschien is een kwart inmiddels overleden, maar 7,5 miljoen is nog steeds enorm) serieus gecompromitteerd worden in hun privacy en (enkel online?) veiligheid en dat - ik praat even enkel voor mezelf - ik er niet meer van opkijk. Ik vraag me ook wel af waar dit naartoe gaat, met quantum computing en krachtigere AI in opkomst.

[H1MSELF1SH]

Omdat er blijkbaar gelachen wordt met de naam even deze aanvulling. IFAPME = Institut wallon de Formation en Alternance et des indépendants et Petites et Moyennes Entreprises. Dat betekent: Waals Instituut voor Leerlingopleiding en voor Zelfstandigen en Kleine en Middelgrote Ondernemingen.

[wooha]

IFAIPME ? Of zijn de zelfstandigen later toegevoegd?

[Reactie gewijzigd door wooha op 5 oktober 2026 15:39]

[JanVQ]

Het staat voor Institut wallon de Formation en Alternance et des indépendants et Petites et Moyennes Entreprises. Toegegeven, het had beter gekund, maar met zo'n sliert woorden moet je ergens een keuze maken om nog een uitspreekbare afkorting te vinden.

Overigens is echt niet iedereen zo gehersenspoeld door de Amerikaanse straattaal, zoals dat in Nederland wel het geval blijkt te zijn.

[Nicesoft]

Het aanbod moet zo veel zijn dat het niet meer loont om er aan te verdienen. Hopelijk neemt het hiermee de jacht op het stelen van database gegevens terug.

[ErikRo]

Er blijftaltijd mee te verdienen door fishing of identiteitskaart diefstal.

Al hoef je tegenwoordig alleen maar te zeggen dat je van de bank of politie bent en de mensen geven je vanzelf wel hun bankkaart plus pincode en of juwelen.