Aantal meldingen van cyberaanvallen is vervijfvoudigd, ziet toezichthouder AP

Het aantal datalekken en succesvolle cyberaanvallen op Nederlandse organisaties is sterk toegenomen ten opzichte van 2023. Dat blijkt uit de ‘Datalekkenrapportage 2024’ die de Autoriteit Persoonsgegevens donderdagochtend publiceerde.

Vorig jaar zijn er in Nederland 37.839 datalekmeldingen gedaan bij de AP, ten opzichte van 25.694 een jaar eerder. En waar in 2023 nog 1.309 meldingen van cyberaanvallen werden gedaan, waren dat er in 2024 6.837.

Die aanvallen treffen ook vaker doel, waarschuwt de AP. Bij minstens 53 procent van de ransomware-aanvallen – waarbij cybercriminelen gevoelige gegevens gijzelen met schadelijke software tot er losgeld betaald wordt – werden er gegevens gestolen, waar dat in 2023 nog 24 procent was. In 2024 waren er minstens 112 succesvolle ransomware-aanvallen. AP-bestuurslid Katja Mur spreekt van „een zorgwekkende trend.”

Eén bedrijf

Het overgrote deel van de in totaal 6.837 gemelde datalekken als gevolg van cybercriminaliteit kwam van één bedrijf: AddComm. Het bureau, dat de klantencommunicatie van ruim vijfduizend bedrijven verzorgt, was slachtoffer van een ransomeware-aanval waardoor in totaal gegevens van 1,5 miljoen mensen gestolen werden. AddComm deed daarvan een zogenaamde bulkmelding voor alle betrokken bedrijven. In totaal werden er in 2024 vijf miljoen mensen slachtoffer van een cyberaanval, aldus de AP.

Na nader onderzoek van een aantal cyberaanvallen concludeerde de AP dat 30 procent van die bedrijven geen of onvoldoende beleid had om cybercriminaliteit te voorkomen. 40 procent had wel beleid maar voerde dat onjuist uit. „Zo werden niet vaak genoeg updates uitgevoerd of wachtwoorden aangepast en ontbrak er vaak tweestapsverificatie”, vertelt Anne Bergen, senior inspecteur datalekken bij de AP.

„Ook is er soms sprake van menselijke misleiding”, zegt Bergen. Een medewerker kan bijvoorbeeld op een phishinglink in een e-mail klikken, waardoor een hacker onrechtmatig toegang kan krijgen tot gegevens. Een cyberaanval waarbij hackers zich toegang verschaffen tot bijvoorbeeld een mailaccount, online bankrekening of socialemediaprofielkomt met 42 procent het vaakst voor.

Bergen vertelt over een datalekmelding die de AP kreeg van een advocatenkantoor. Na onderzoek van de AP bleek dat in de mailbox kopieën van 32 paspoorten stonden die mogelijk ingezien of gestolen zijn.

Identiteitsfraude

De AP ziet grote risico’s voor slachtoffers wanneer hun data worden gestolen. Met gestolen persoonsgegevens kunnen criminelen bijvoorbeeld identiteitsfraude plegen. Zo deden er vorig jaar volgens het Centraal Meldpunt Identiteitsfraude 7.000 burgers melding van mogelijke identiteitsfraude.

Ook voor bedrijven kan de schade groot zijn, zegt Nienke Kolthof, coördinator datalekken bij de AP. „Het kan lang duren voordat het aangevallen systeem weer werkt, wat zorgt voor een verlies in productiviteit en omzet.” Een cyberaanval kost een organisatie gemiddeld een ton en de meeste organisaties zijn 30.000 euro kwijt aan bijvoorbeeld het inhuren van externe specialisten en het eventueel betalen van losgeld. Om nog maar te zwijgen over eventuele reputatieschade.