De boodschap van de cybercriminelen die vorige week thuisbezorgdienst Flink hackten was helder: er moet worden betaald, anders worden alle buitgemaakte klantgegevens gepubliceerd op het dark web. Hoewel de hackers hoopten hiermee meer dan twee ton op te halen, maakte niemand de geëiste 10 tot 15 euro in cryptogeld over.
Het roept de vraag op of mensen zich nog druk maken om hun persoonsgegevens die in de openbaarheid komen. Volgens cybersecurity-expert Paul Pols valt dat mee. Mensen zijn 'datalekmoe' en dat is begrijpelijk, zegt hij. "We gaan er inmiddels van uit dat onze persoonsgegevens vroeg of laat ergens uitlekken, als dat al niet is gebeurd."
Consumentenpsycholoog Patrick Wessels herkent dat gevoel. "Mensen zien datalekken veelvuldig voorbijkomen, maar ondervinden daar zelf weinig problemen van. Daardoor voelen we de urgentie niet om er echt iets mee te moeten doen."
Dat de gevoelde urgentie afneemt, wil niet zeggen dat er geen gevaar is. "Er zijn mensen die te maken hebben met bijvoorbeeld huiselijk geweld. Voor deze groep kan het serieuze gevolgen hebben als hun e-mailadres of telefoonnummer online te vinden is", stelt Rejo Zenger. Hij is van Bits of Freedom, de organisatie die opkomt op voor digitale burgerrechten. Volgens hem is het dan ook "veel te gemakzuchtig dat we hier onze schouders over ophalen."
De hack bij Flink staat niet op zichzelf. Alleen dit jaar al werden tientallen grote organisaties gehackt waarbij honderdduizenden klantgegevens werden buitgemaakt. Onder meer drogisterijketen DA, reisapp Polarsteps en de logistieke partner van Bol en de Bijenkorf werden onlangs getroffen door een cyberaanval. Het geval van Flink is echter uniek: voor het eerst werden individuele klanten rechtstreeks door hackers benaderd.
De hackers eisten bij de Flink-hack een relatief klein bedrag aan cryptovaluta per persoon. Toch raadden experts af te betalen. Zekerheid dat de hackers de gegevens na het betalen van het losgeld daadwerkelijk verwijderen, is er namelijk niet.
Dat overkomt mij toch niet
Nederlanders weten over het algemeen goed hoe ze zich online kunnen beschermen. Zodra daarvoor meer nodig is dan alleen opletten, neemt de motivatie om veilig gedrag te vertonen echter af. Dat blijkt uit het meest recente rapport van Alert Online, dat jaarlijks in opdracht van het ministerie van Economische Zaken de digitale weerbaarheid van Nederlanders in kaart brengt.
Volgens consumentenpsycholoog Wessels is die afname in motivatie ook te verklaren. "Dat heeft te maken met twee zaken in het brein. Het eerste is het gevoel van: dat overkomt mij toch niet en het tweede is de langetermijngedachte." Daarmee bedoelt Wessels dat mensen zich ervan bewust zijn dat het online delen van persoonsgegevens risico's met zich meebrengt, maar dat eventuele problemen vaak pas op langere termijn ontstaan.
Bij de aanval op Flink werd door cybercriminelen de druk voor het eerst rechtstreeks bij consumenten gelegd. Volgens cybersecurity-expert Pols heeft deze methode weinig kans van slagen. "Consumenten doet het niet meer zo veel dat hun persoonsgegevens online staan, dan gaan ze ook geen geld uitgeven om dat te voorkomen."
Eerder richtten hackers zich vooral op de systemen van bedrijven, met zogenoemde ransomware-aanvallen. Daarbij leggen hackers systemen van een bedrijf plat, waarna ze losgeld eisen om de toegang tot die systemen te herstellen.
"Het uiteindelijke doel van de hackers is altijd geld verdienen", zegt Pols. Alle drukmiddelen die daaraan kunnen bijdragen, zijn volgens hem bruikbaar. "Media-aandacht, reputatie- en imagoschade voor het bedrijf, het weegt allemaal mee."
Blijf alert op mogelijke gevolgen
Hoewel van veel mensen de e-mailadressen, telefoonnummers en adressen al op internet circuleren, blijft toch het advies om alert te zijn. "Als je een mail binnenkrijgt met daarin de mededeling dat je in een datalek zit, controleer dan altijd om welke gegevens het gaat", zegt Pols.
Het kan volgens hem ook voorkomen dat een rijbewijsnummer, bankgegevens of andere belangrijke gegevens zijn gestolen. "Als ik zie dat mijn rijbewijsnummer in een datalek zit, dan zou ik wel een nieuw rijbewijs aanvragen." Met die specifieke gegevens kan eenvoudig identiteitsfraude worden gepleegd.
Daarnaast blijft het advies om voor verschillende accounts unieke combinaties van gebruikersnaam en wachtwoord te gebruiken. Wie overal dezelfde combinatie gebruikt, loopt het risico dat die combinatie door hackers ook op andere accounts wordt geprobeerd.
