Wat zijn gehackte gegevens online waard? ‘Hoe completer een dataset over mensen, des te meer hackers kunnen vragen’

500 euro per gedupeerde. Zoveel hoopt Consumers United in Court (CUIC) in een maandag gelanceerde massaclaim tegen Odido op te halen, aldus het AD. Odido werd in februari gehackt, waarbij miljoenen klantgegevens op het darkweb belandden. Odido beschermde klantgegevens - denk hierbij aan mailadressen, IBAN-nummers en zelfs ID-gegevens - volgens CUIC ‘onvoldoende’.

Likes zijn goud waard voor hackers

Voor talloze bedrijven zijn onze data goud waard, zo luidt het terechte cliché. Concerns zoals Meta (Facebook, Instagram) en Google varen wel bij alle likes en zoekopdrachten van hun gebruikers, omdat ze er profielen voor adverteerders mee kunnen opstellen. Dit levert ze - inderdaad - ‘goud’ op: van de 200 miljard dollar die Meta afgelopen jaar omzette, kwam liefst 196 miljard dollar uit advertenties.

„Als je steeds kattenfilmpjes kijkt op Instagram, is het interessant voor een leverancier van kattenbrokjes om op je tijdlijn te adverteren”, legt directeur van Cyberveilig Nederland Liesbeth Holterman dit mechanisme uit. „Door al onze likes, leveren we onze data voor ze op een presenteerblaadje aan.”

Lees ook: Amerikaanse claimcultuur naar Nederland: ‘Odido is zélf slachtoffer van een misdrijf’

Je data nog geen dollar waard...

Je afzonderlijke data blijken dan weer amper wat waard. Algemene gegevens zoals je leeftijd, sekse en locatie zijn slechts 0,05 (dollar)cent waard voor bedrijven, bleek uit Leids onderzoek uit 2018.

Weten dat iemand zwanger is of een auto wil kopen, levert iets meer op voor adverteerders. Toch, al je data bij elkaar zijn nog geen dollar waard. Prijzen zijn volgens de onderzoekers door de jaren heen zelfs gedaald, omdat persoonsgegevens zo alomtegenwoordig zijn geworden.

...maar wel voor hackers

Op de zwarte markt is het een heel ander verhaal, zo blijkt. Telefoonnummers en adressen kosten 1 tot 5 dollar en ID-nummers soms wel 10 dollar, bleek uit marktonderzoek van afgelopen jaar.

Hackers kunnen dit soort gegevens gebruiken om klantenservices om de tuin te leiden, legt cybersecurity-expert Sijmen Ruwhof uit. Handig als je bijvoorbeeld toegang wilt tot iemands telefoon. „Je kunt ze aan de klantenservice doorgeven, om zo een adreswijziging aan te vragen. Bij een volgend belletje kun je dan vragen een nieuwe simkaart naar je adres te sturen.”

Lees ook: Na de Odido Hack: met deze 5 stappen wordt jouw CRM (meer) cyberveilig

Melkkoe: gehackte banklogins

Gehackte social-mediaprofielen kosten op het darkweb soms wel 25 dollar en een gehackt Gmail-account kost al snel 60 euro, meldde nieuwssite Privacy Affairs in zijn meest recente schatting uit 2023. Creditcarddata zouden wel 110 dollar kosten en logins van bankaccounts soms wel duizenden euro’s.

Een e-mailadres op zichzelf levert op het darkweb dan weer amper wat op. Volgens Privacy Affairs betaalde je in 2023 voor 10 miljoen – Amerikaanse – mailadressen amper 120 dollar. Dit soort bulkaanbiedingen, vaak met gekoppelde data, zijn populair op het darkweb. „Hoe completer een dataset over mensen is, des te meer hackers kunnen vragen”, zegt Ruwhof.

Lees ook: Odido Hack: kan het morgen weer gebeuren en gaan we er van leren?

Geen oude adressen

Ook belangrijk voor de prijs is dat data actueel zijn. „Tien jaar oude adressen zijn al snel verouderd”, verklaart Ruwhof. Daarnaast van belang: bijzondere data. „Namen en geboortedata zijn niet zoveel waard, maar paspoortgegevens wel. Die zie je minder vaak bij datalekken. Denk niet alleen aan BSN-nummers, maar ook aan de vervaldatum en nationaliteit. Daarmee kunnen oplichters makkelijker een vals ID maken.”

Slecht nieuws voor Chipsoft: ook medische data zijn gewild, volgens Holterman. „Met een gelekt dossier van een psychiater kunnen oplichters bijvoorbeeld patiënten chanteren. Als je voetballer bent en je voor een grote transfer staat, wil je niet dat iedereen weet dat je psychische klachten hebt.”