Aleid Wolfsen: ‘Er wordt gedaan alsof hacken een nette business is geworden’

Het Nederlands elftal traint in Zeist, op de KNVB Campus. Gegevens van spelers zijn buitgemaakt door hackers.

Het Nederlands elftal traint in Zeist, op de KNVB Campus. Gegevens van spelers zijn buitgemaakt door hackers.

Foto Ramon van Flymen / ANP

Interview

Aleid Wolfsen |voorzitter Autoriteit Persoonsgegevens. Dat de KNVB losgeld heeft betaald aan hackers, steekt privacywaakhond Aleid Wolfsen. „De basis moet zijn: geen zaken doen met criminelen.”

Het stoort Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens, dat het betalen van losgeld aan hackers maatschappelijk geaccepteerd lijkt te zijn. Dinsdag gaf de KNVB toe losgeld te hebben betaald, nadat het netwerk van de voetbalbond in april was gegijzeld. Met de betaling heeft de bond geprobeerd te voorkomen dat gestolen persoonlijke gegevens over voetbalspelers en andere medewerkers op straat kwamen te liggen.

In de reacties overheerst begrip, valt Wolfsen op. „Alsof het nette mensen zijn waarmee je gewoon afspraken kunt maken”, zegt hij.

Aleid Wolfsen.
Foto Phil Nijhuis/ANP

Wat zou u gedaan hebben als u de KNVB was?

„De basis moet zijn: geen zaken doen met criminelen, want dat zijn het. Ze kunnen met dat geld steeds betere apparatuur kopen en nog professioneler worden. Dat zien we ook gebeuren. Door het te vergoelijken bevorder je het juist en dan krijg je nog meer gijzelingen, nog meer criminelen.”

Maar wat zou u hebben gedaan? Als de persoonsgegevens, inclusief paspoortkopieën, op straat waren komen te liggen had de bond ook kritiek van u gekregen, vermoed ik.

„Klopt. En dat is precies het grote dilemma. Ik ga ze niet beoordelen. We vinden het positief dat de KNVB zo open is over het feit dat ze zijn gehackt. Maar nu ontstaat het beeld ‘het is goed dat ze betalen’ en dat keur ik af. Niét doen! Wij hebben bovendien bij herhaling gezien dat afspraken werden gemaakt, bedrijven dachten dat het opgelost was, en die gegevens toch gewoon op straat op of het dark web belandden. Dan ben je twee keer slachtoffer.”

Niet betalen, dan weet je zeker dat de gestolen gegevens openbaar worden of wél betalen en zo de kans daarop verkleinen.

„We zien ook gebeuren dat er niét wordt betaald én de gegevens niet op straat belanden. Bijvoorbeeld omdat de hacker bang is bij de verkoop daarvan sporen na te laten.”

Onderhandelen met hackers kan waardevolle opsporingsinformatie opleveren. Vaak kijkt de politie mee.

„Dat kan, zeker. Ik snap het dilemma en ik snap ook dat er uitzonderingen zijn en dat je samen met de politie in de praktijk een afweging maakt waar je niet altijd dezelfde uitkomst hebt. Maar het uitgangspunt is: geen zaken doen met criminelen.”

Ondernemers vinden jullie soms erg strikt en onduidelijk over wie slachtoffers moet informeren.

„Er zijn vast uitzonderingen, bij recidive of extreem slechte beveiliging bijvoorbeeld, maar we geven bedrijven die zich melden juist advies en hulp.

„En dit gaat niet over iets dat van ons of het Openbaar Ministerie moet. Het zijn gewoon afspraken die we in onze democratie met elkaar hebben gemaakt en wij zien toe op de naleving.”

Een meldingsplicht?

„Ja, in de wet is een meldingsplicht opgenomen en die is heel zinvol. Wij maken die meldingen niet openbaar. Wij verklappen nooit geheimen van bedrijven. Maar we zijn er wel heel scherp op hoe met de persoonsgegevens wordt omgegaan en of betrokkenen goed worden geïnformeerd. Anders worden mensen twee keer slachtoffer, eerst van de hack en daarna van misbruik van hun persoonsgegevens.

„Bedrijven hebben snel de neiging om weer up and running te willen zijn. Neem het simpele voorbeeld van gelekte wachtwoorden. Je moet betrokkenen heel snel informeren, want zo’n wachtwoord kan misbruikt worden. Betrokkenen kunnen gekke mailtjes krijgen, gechanteerd worden of er wordt op hun naam een rekening geopend.

Lees ook dit interview met ransomewareonderhandelaar Rickey Gevers

Wordt betalen geaccepteerd, als iets dat bij de moderne samenleving hoort? Afrekenen, en weer door.

„Je kunt je er tegenwoordig ook tegen verzekeren. Ook dat maakt dat het lijkt alsof het een nette business is geworden. Maar het is natuurlijk misdaad.”

Tegen ‘gewone’ diefstal kun je je ook verzekeren. Is het verkeerd dat dit soort verzekeringen er zijn?

„Nee, dat zeg ik niet. Maar je moet dat foute misdaadmodel niet extra aanjagen en faciliteren door daar in vergoelijkende termen over te spreken.”

Weet u welk percentage datalekken daadwerkelijk gemeld wordt?

„Nee. De meesten doen het. We hebben in 2022 ruim 21.000 datalekken gemeld kregen. 1.800 daarvan kwamen door cyberaanvallen en die zijn extra gevaarlijk, omdat criminelen de buitgemaakte gegevens kunnen gebruiken. Het is een groot en groeiend probleem.”

Waarom pakken jullie niet gewoon de hackers? Dat zijn de echte boeven.

„Dat doen we zeker ook. Maar die zijn soms nogal ver weg gevestigd. Of in landen waar geen enkele samenwerking mee is en een zekere rechteloosheid.”

Kunt u namen noemen?

„Nee, laat ik dat maar niet doen.”

Maar het lukt dus eigenlijk gewoon niet?

„Dat is niet zo. Het Openbaar Ministerie heeft meer opsporingsmogelijkheden en pakt af en toe wel hackers en die worden dan best fors bestraft. Wij hebben zelf nog geen boetes uitgedeeld aan hackers. Maar het gijzelen van data is ook een vorm van het onrechtmatig verwerken van persoonsgegevens. Dus dat kan wel.”

Lees ook: LockBit, de gevaarlijkste gijzelsoftwarebende, staat 24 uur per dag paraat voor chantage