DEN HAAG – Een cyberaanval op het ledenadministratiesysteem AllUnited heeft geleid tot de diefstal van persoonsgegevens van leden van Nederlandse sportverenigingen en sportbonden. Een onbekende aanvaller wist maandagavond 9 november via een beveiligingsfout toegang te krijgen tot de database en gegevens te kopiëren. Daarbij zijn onder meer namen, woonadressen, geboortedata, telefoonnummers, e-mailadressen en bankrekeningnummers buitgemaakt. Ook gegevens van minderjarige sporters zijn getroffen. Verschillende sportbonden en verenigingen waarschuwen hun leden inmiddels voor identiteitsfraude en overtuigend nagemaakte betaalverzoeken.

De omvang van het datalek is nog niet volledig vastgesteld. Volgens de Koninklijke Nederlandse Dambond (KNDB) heeft de aanvaller gegevens gekopieerd van bonden en verenigingen die gebruikmaken van de software van AllUnited. Ook de Koninklijke Nederlandse Cricket Bond (KNCB), rugbyverenigingen en zwemclubs hebben melding gemaakt van het incident. Hoeveel individuele sporters daadwerkelijk zijn getroffen, is nog niet bekendgemaakt.

AllUnited levert digitale systemen waarmee verenigingen hun ledenadministratie, contributiebetalingen en andere organisatorische werkzaamheden beheren. Daardoor zijn in dezelfde omgeving uiteenlopende persoonsgegevens opgeslagen, waaronder informatie die nodig is om leden te bereiken en automatische incasso's uit te voeren.

Volgens de betrokken verenigingen ontdekte AllUnited het beveiligingslek dinsdag 10 november. De softwarefout werd diezelfde dag verholpen, maar de gegevens die de aanvaller eerder had gekopieerd, konden daarmee niet worden teruggehaald.

Ook gegevens van kinderen buitgemaakt

De gestolen informatie bestaat niet uitsluitend uit algemene contactgegevens. Verenigingen waarschuwen dat ook geboortedata, geboorteplaatsen en IBAN-nummers in handen van de aanvaller zijn gekomen. Daarnaast kunnen gegevens uit individuele ledenrecords zijn getroffen, zoals lidnummers, teamindelingen, functies binnen verenigingen en eventuele opmerkingen in de administratie.

Bij gebruikers met een account voor AllUnited of de bijbehorende clubapp kunnen ook inloggegevens betrokken zijn. Het bedrijf is daarom begonnen met het opnieuw instellen van wachtwoorden. Leden die hetzelfde wachtwoord voor andere websites of diensten gebruiken, krijgen het dringende advies deze eveneens te wijzigen.

De KNDB waarschuwt nadrukkelijk dat het datalek ook betrekking heeft op minderjarigen. Wanneer ouders of verzorgers hun kinderen bij een vereniging hebben aangemeld, kunnen de persoonlijke gegevens van deze jeugdleden eveneens in de administratie zijn opgenomen.

Dat maakt het incident extra gevoelig. Met een combinatie van naam, geboortedatum, adres en verenigingsinformatie kunnen criminelen slachtoffers veel gerichter benaderen dan met een willekeurig phishingbericht.

Criminelen kunnen zich voordoen als sportvereniging

Het grootste directe risico is volgens de getroffen verenigingen dat de gestolen gegevens worden gebruikt voor fraude. Een crimineel kan bijvoorbeeld een e-mail versturen die afkomstig lijkt van de ledenadministratie van een sportclub. In zo'n bericht kan staan dat de contributie niet is betaald of dat een automatische incasso is mislukt.

Wanneer de afzender daarbij de juiste naam, het lidmaatschap en zelfs de laatste cijfers van een bankrekening vermeldt, lijkt het bericht betrouwbaar. Het slachtoffer kan vervolgens naar een vervalste betaalpagina worden geleid of worden gevraagd persoonlijke gegevens opnieuw in te vullen.

Ook telefonische oplichting behoort tot de mogelijkheden. Iemand die zich voordoet als medewerker van een vereniging of bank kan de gestolen informatie gebruiken om vertrouwen te winnen. Het feit dat een beller persoonlijke gegevens kent, bewijst volgens de betrokken sportbonden nadrukkelijk niet dat die persoon daadwerkelijk namens de genoemde organisatie handelt.

De Haagsche Rugby Club heeft vanwege het incident besloten de verzending van contributiefacturen voorlopig uit te stellen. De vereniging wil eerst duidelijk communiceren wanneer leden officiële betalingsverzoeken kunnen verwachten. Daarmee probeert de club te voorkomen dat frauduleuze berichten gemakkelijk met echte facturen kunnen worden verward.

Datalek gemeld bij privacytoezichthouder

AllUnited heeft volgens de Koninklijke Nederlandse Dambond aangekondigd aangifte te doen bij de politie. Ook wordt het datalek gemeld bij de Autoriteit Persoonsgegevens. Verschillende verenigingen doen daarnaast zelf melding bij de privacytoezichthouder.

Het bedrijf heeft de kwetsbaarheid inmiddels verholpen en voert aanvullende beveiligingsmaatregelen en controles in. Ook worden de wachtwoorden van gebruikers opnieuw ingesteld. Hoe de aanvaller de fout precies heeft ontdekt en of de gestolen gegevens inmiddels verder zijn verspreid of te koop worden aangeboden, is nog niet bekend.

Evenmin is duidelijk of achter de aanval één persoon of een grotere criminele organisatie zit. De betrokken verenigingen spreken vooralsnog over een onbekende aanvaller. Er is ook geen informatie bekendgemaakt over eventuele eisen tot betaling of afpersing.

De diefstal onderstreept de kwetsbaarheid van verenigingen die voor hun ledenadministratie afhankelijk zijn van één externe softwareleverancier. Een beveiligingsfout bij die leverancier kan gevolgen hebben voor grote aantallen organisaties die afzonderlijk zelf niet zijn gehackt.

Sporters krijgen advies wachtwoorden te wijzigen

Sporters die lid zijn van een vereniging die AllUnited gebruikt, wordt geadviseerd extra alert te zijn op onverwachte e-mails, sms-berichten en telefoontjes. Vooral verzoeken om contributie direct via een link te betalen, rekeningnummers te bevestigen of opnieuw in te loggen verdienen extra aandacht.

Bij twijfel kunnen leden beter zelf de officiële website van hun vereniging openen of rechtstreeks contact opnemen met de ledenadministratie. Ook is het verstandig bankafschrijvingen te controleren en onbekende incasso's onmiddellijk bij de bank te melden.

Wanneer een wachtwoord van AllUnited ook voor andere accounts wordt gebruikt, moet dat wachtwoord worden vervangen. Hetzelfde geldt voor andere diensten waarop dezelfde combinatie van e-mailadres en wachtwoord wordt gebruikt.

De getroffen sportverenigingen hebben aangekondigd hun leden verder te informeren zodra meer bekend is over de gevolgen van de aanval. Vooralsnog blijft vooral de precieze omvang van het datalek onduidelijk. Wel staat vast dat de aanvaller toegang heeft gekregen tot persoonlijke informatie uit ledenadministraties van verschillende Nederlandse sportorganisaties.