Security op orde, tóch je data op het dark web: hoe kan dat?

Je monitort je omgeving. De rechten zijn goed ingeregeld, logging staat aan, detectie doet haar werk. En op een dag hoor je dan toch het bericht dat al die maatregelen hadden moeten voorkomen: “Gevoelige organisatiedata ligt op straat.” Hoe kan dat? 

Het antwoord is even simpel als zorgwekkend: een datalek hoeft helemaal niet bij jou te ontstaan. Je organisatie is onderdeel van een keten: je deelt data met leveranciers, verwerkers en partners. Gaat daar iets mis, dan gebeurt dat buiten jouw zicht. 

Of en wanneer je zoiets te horen krijgt, is nog maar de vraag. Soms licht een ketenpartner je in, soms verneem je het via de media. In beide gevallen loop je achter de feiten aan. En wist je dat jij hier ondertussen wél verantwoordelijk voor kunt worden gehouden? 

Lek bij je partner, schade voor jou 

Contracten met prijsafspraken, gevoelige klant- of patiëntgegevens, technische tekeningen van een product dat je nog wilt maken: wanneer een ketenpartner een datalek heeft, kan jouw data zomaar op het dark web terechtkomen. 

Wat voor consequenties kan dit zoal hebben? 

• Verlies van concurrentievoordeel 
  Worden je prijsafspraken publiek gemaakt? Of circuleert er informatie over jouw product in ontwikkeling? Dan onderhandelt een ander vanaf nu met jouw gegevens in de hand. 

• Chantage 
  Zijn er persoonsgegevens van klanten of patiënten buitgemaakt? Dan kunnen kwaadwillenden hen rechtstreeks benaderen en onder druk zetten. 

• Imagoschade 
  Haal je de krantenkoppen door een incident in een systeem waarop jij zelf nooit hebt ingelogd? Dat maakt voor je reputatie niet uit. Het vertrouwen in jouw organisatie is alsnog geschaad. 

Hoe verstrekkend kan een datalek zijn? Twee praktijkvoorbeelden 

In 2023 braken hackers in bij Nebu, een softwareleverancier van marktonderzoeksbureaus die klanttevredenheidsonderzoek uitvoeren namens andere bedrijven. Via deze keten kwamen persoonsgegevens van klanten van uiteenlopende organisaties mogelijk op straat te liggen. Bij de Autoriteit Persoonsgegevens meldden zich minstens 139 organisaties, waaronder NS, VodafoneZiggo en CZ. 

Hun eigen systemen waren niet gehackt. En Nebu was voor veel van deze organisaties niet eens een directe leverancier, maar de leverancier van hun leverancier. Een duidelijk voorbeeld van hoe ver een datalek zich door de keten kan uitstrekken. 

Datzelfde jaar misbruikte de afpersingsgroep Cl0p een kwetsbaarheid in MOVEit Transfer, software voor het veilig uitwisselen van bestanden. Het ging om een zero-day (CVE-2023-34362): er werd al data buitgemaakt voordat er een beveiligingsupdate beschikbaar was. Volgens Emsisoft werden uiteindelijk 2.773 organisaties en meer dan 95 miljoen mensen geraakt. 

Veel organisaties hoorden het niet van hun leverancier, maar ontdekten het pas toen hun naam op de leksite van Cl0p verscheen. 
 

NIS2: jouw keten, jouw keuzes, jouw verantwoordelijkheid 

Onder NIS2, in Nederland sinds 15 augustus 2026 van kracht via de Cyberbeveiligingswet (Cbw), is ook de beveiliging van je keten een belangrijk onderdeel van je verantwoordelijkheid. 

Valt jouw organisatie onder de Cbw? Dan moet je aantoonbaar passende maatregelen nemen om de cyberrisico's van leveranciers en partners die invloed hebben op jouw dienstverlening, systemen of data te beheersen. Concreet betekent dit dat je weet welke partijen kritisch zijn, passende securityeisen stelt, afspraken contractueel vastlegt, risico's beoordeelt en voorbereid bent op incidenten bij leveranciers. 

Val je zelf niet onder de Cbw? Dan kun je alsnog met deze eisen te maken krijgen via klanten die wél onder de wet vallen. 

Werk je met een partij die haar beveiliging onvoldoende op orde heeft? Dan heb jij voor die partij gekozen. Volgt er een cyberincident, dan kun je worden aangesproken op de maatregelen en afwegingen die je zelf hebt gemaakt. 

Leg daarom vast wanneer een partner een incident bij jou moet melden. En kijk extra goed naar partijen die buiten de EU gevestigd zijn of niet onder NIS2 vallen. Want mocht er onverhoopt sprake zijn van een cyberincident, dan krijg je dat cruciale telefoontje van hen misschien wel nooit. 
 

Mogelijke datalekken signaleren voordat je ketenpartner belt? 

Met Darkweb Monitoring van Wortell draai je de volgorde om. Duiken je domeinnaam, zakelijke e-mailadressen of inloggegevens op in gelekte datasets, op darkwebfora of op leksites? Dan kunnen wij dat signaleren en krijg je een melding. 

Zo kun je een mogelijk datalek vroegtijdig ontdekken, soms zelfs voordat je ketenpartner zich bij je meldt. Dat geeft je de ruimte om gericht te handelen. Denk aan het resetten van gelekte inloggegevens, het intrekken van actieve sessies of het intern opschalen van een incident. 

Want zoals het MOVEit-voorbeeld laat zien, is het lang niet vanzelfsprekend dat je als eerste van je leverancier hoort dat jouw gegevens zijn buitgemaakt. Door ook buiten je eigen IT-omgeving te monitoren, vergroot je de kans dat je tijdig ontdekt waar jouw data opduikt.