Naam. Adres. Geboortedatum. Telefoonnummer. Werkgever.
Op zichzelf lijken het onschuldige gegevens. Iedereen weet hoe je heet. Je adres staat in het telefoonboek. Je geboortedatum staat op LinkedIn. Wat kan er mis mee gaan?
Meer dan de meeste mensen denken. Afzonderlijk zijn deze gegevens inderdaad weinig waard. Maar criminelen werken niet met losse puzzelstukjes, ze combineren alles wat ze kunnen vinden tot een compleet profiel. En met dat profiel kunnen ze aanzienlijk meer dan je zou verwachten.
In dit artikel leggen wij uit wat criminelen concreet doen met online persoonsgegevens, hoe ze die verzamelen en wat jij kunt doen om jouw blootstelling te beperken.
Hoe verzamelen criminelen jouw persoonsgegevens?
Voordat we ingaan op wat criminelen doen met jouw gegevens, is het nuttig te begrijpen hoe ze eraan komen. Want het begint zelden met een hack.
Databrokers en naamwebsites. Tientallen websites verzamelen persoonsgegevens uit publieke bronnen, bevolkingsregisters, het Handelsregister, sociale media, openbare registers en publiceren die online. Naam, adres, leeftijd, familieleden, werkgever: alles bij elkaar op één pagina. Gratis te bekijken, soms te kopen voor nog meer details. Criminelen gebruiken deze sites als startpunt voor hun onderzoek naar een doelwit.
Sociale media. Een LinkedIn-profiel met werkgever, functietitel en colleganamen. Een Facebook-pagina met woonplaats, relatiestatus en vriendenkring. Een Instagram-account met locatietags die patronen onthullen, waar je woont, werkt en sport. Mensen delen vrijwillig informatie die criminelen gebruiken om een aanval te personaliseren.
Datalekken. Miljarden e-mailadressen, wachtwoorden en persoonsgegevens circuleren op het dark web als gevolg van hacks bij tientallen platforms. Die databases worden gekruist en gecombineerd, waardoor een crimineel die jouw e-mailadres kent, vaak ook jouw wachtwoord, telefoonnummer en adres kan achterhalen via gekochte lekdatabases.
Open bronnen en zoekmachines. Google indexeert enorme hoeveelheden informatie, ook informatie die mensen liever niet zo prominent hadden. Oude forumberichten, nieuwsartikelen, rechtbankvermeldingen, bedrijfsinformatie, alles wat ooit publiek is gepubliceerd, blijft potentieel vindbaar.
Wat doen criminelen concreet met die gegevens?
Identiteitsfraude
Dit is de meest directe en financieel schadelijke toepassing. Met naam, adres, geboortedatum en een BSN-nummer of zelfs een gedeeltelijk BSN, kan een crimineel in jouw naam handelen.
Dat kan betekenen: een telefoonabonnement afsluiten op jouw naam, een lening aanvragen, een bankrekening openen, een webshop registreren voor oplichting, of abonnementen afsluiten die jij nooit hebt aangevraagd.
Het verraderlijke: jij merkt het vaak pas als de rekeningen of incassobrieven binnenkomen. En het rechtgezet krijgen, bij telecombedrijven, banken, de Belastingdienst, kost maanden aan tijd en stress.
Gerichte phishing-aanvallen (spear phishing)
Een crimineel die jouw naam, werkgever, directe leidinggevende en een recente vergadering kent, kan een overtuigende phishing-e-mail opstellen die moeilijk van echt te onderscheiden is.
“Beste [Naam], zoals besproken in onze vergadering van gisteren, kun je onderstaand bedrag overmaken voor het project?” Gestuurd vanuit een vervalst e-mailadres dat lijkt op dat van jouw directeur. Dat is spear phishing en persoonsgegevens zijn de grondstof.
Hoe meer een crimineel over je weet, hoe overtuigender de aanval. Gegevens die op databroker-sites staan, op LinkedIn en in nieuwsartikelen zijn voor iedereen vrij opvraagbaar, inclusief de crimineel die jou als doelwit heeft uitgekozen.
Account-overname via verificatievragen
Veel platforms gebruiken “vergeten wachtwoord”-procedures waarbij je beveiligingsvragen moet beantwoorden. Vragen als: “Wat is de meisjesnaam van je moeder?”, “In welke stad ben je geboren?” of “Wat was de naam van je eerste huisdier?”
Voor criminelen die jouw sociale media hebben doorzocht, zijn dit geen onoverkomelijke obstakels. Informatie die mensen vrijwillig delen op Facebook en Instagram, geboorteplaats, familienamen, huisdieren, wordt door criminelen gebruikt om beveiligingsvragen te beantwoorden en accounts over te nemen.
SIM-swapping
Bij SIM-swapping overtuigt een crimineel een telecomprovider dat hij jou is en vraagt een nieuw SIM-kaartje aan voor jouw telefoonnummer. Als dat lukt, ontvangt hij alle sms-berichten die naar jou worden gestuurd. Inclusief de verificatiecodes voor tweestapsverificatie.
Met jouw naam, adres, geboortedatum en telefoonnummer is het overtuigen van een klantenservice-medewerker voor een gedreven crimineel soms verrassend eenvoudig. SIM-swapping wordt gebruikt om toegang te krijgen tot bankrekeningen, crypto-wallets en zakelijke accounts.
Stalking en fysieke bedreiging
Voor mensen die te maken hebben met ongewenste aandacht is een publiek adres een direct veiligheidsrisico. Persoonsgegevens die op databroker-sites staan, inclusief huisadres, telefoonnummer en zelfs dagelijkse routines afgeleid uit sociale media, geven een stalker of bedreigende persoon de informatie die hij nodig heeft.
Dit is geen zeldzaam scenario. Het Centrum tegen Stalken en Huiselijk Geweld rapporteert dat stalking in Nederland jaarlijks honderdduizenden mensen treft en dat online informatie steeds vaker wordt gebruikt om slachtoffers te vinden.
Social engineering bij bedrijven
Criminelen die een bedrijf willen aanvallen, onderzoeken eerst de medewerkers. LinkedIn geeft inzicht in de organisatiestructuur, namen van leidinggevenden en collega’s, recente projecten en zelfs interne systemen die worden vermeld in functieomschrijvingen.
Die informatie wordt gebruikt om aanvallen te personaliseren, een telefoontje waarbij de crimineel zich voordoet als een collega, een e-mail waarbij hij de directeur imiteert, of een bezoek aan de receptie met een geloofwaardig verhaal.
Welke gegevens zijn het meest waardevol voor criminelen?
Niet alle persoonsgegevens zijn even waardevol. Dit zijn de combinaties die criminelen het meest zoeken:
Goud: naam + adres + geboortedatum + BSN-nummer. Hiermee is identiteitsfraude vrijwel onbeperkt mogelijk.
Zilver: naam + adres + telefoonnummer + e-mailadres. Voldoende voor gerichte phishing, SIM-swapping en social engineering.
Brons: naam + werkgever + functie + collega’s. De bouwstenen van spear phishing en zakelijke aanvallen.
Verveelvoudiger: elk gegeven gecombineerd met een uitgelekt wachtwoord. Een wachtwoord alleen is beperkt bruikbaar. Gecombineerd met een volledig profiel is het de sleutel tot tientallen accounts.
Hoe beperk je jouw blootstelling?
Volledige onzichtbaarheid is voor de meeste mensen geen realistisch of wenselijk doel. Maar gerichte beperking van jouw digitale voetafdruk is dat wel.
Controleer wat er over je online staat. Googel je eigen naam. Zoek op naamwebsites en databroker-sites. Wat zie je? Dat is het startpunt.
Dien verwijderverzoeken in bij databrokers. De meeste databrokers zijn wettelijk verplicht om verwijderverzoeken te honoreren. Het proces is per platform anders, vaak omslachtig maar wel mogelijk. Wij regelen dit voor je. Lees meer over onze dienst Persoonsgegevens Verwijderen →
Beperk wat je deelt op sociale media. Woonplaats, geboortedatum, werkgever, elk gegeven dat je privé houdt, is een gegeven dat een crimineel niet kan gebruiken. Overweeg je privacyinstellingen op alle platforms te herzien.
Gebruik een postbusadres of vestigingsadres. Ondernemers kunnen hun woonadres uit het Handelsregister laten verwijderen en een postbusadres gebruiken. Dat scheelt een aanzienlijke hoeveelheid ongewenste zichtbaarheid.
Activeer waarschuwingen voor jouw naam. Via Google Alerts kun je een melding instellen voor elke nieuwe zoekresultaat met jouw naam. Zo weet je snel als er nieuwe informatie over je online verschijnt.
Gebruik unieke wachtwoorden en tweestapsverificatie. Als persoonsgegevens worden gecombineerd met een gestolen wachtwoord, neemt het risico exponentieel toe. Unieke wachtwoorden via een wachtwoord manager en tweestapsverificatie beperken die schade.
