De American Football Bond Nederland (AFBN) is getroffen door een grootschalig datalek bij softwareleverancier AllUnited. Bij een cyberaanval zijn persoonsgegevens van leden van verschillende Nederlandse sportbonden en verenigingen buitgemaakt. De AFBN is hierover geïnformeerd en kan daarmee de noodzakelijke vervolgstappen zetten om betrokkenen te waarschuwen en mogelijke schade te beperken. Bij AllUnited zijn in totaal 35 sportbonden aangesloten.
Het beveiligingsincident vond plaats op maandagavond 9 november. Een onbevoegde persoon maakte misbruik van een kwetsbaarheid in de software van AllUnited, het systeem dat onder meer wordt gebruikt voor ledenadministraties. Via die kwetsbaarheid kreeg de aanvaller toegang tot een server en kon hij gegevens uit de database kopiëren. AllUnited ontdekte het incident op dinsdag 10 november en heeft het beveiligingslek nog dezelfde dag verholpen. De leverancier heeft het datalek inmiddels gemeld bij de Autoriteit Persoonsgegevens en doet aangifte bij de politie.
Welke gegevens zijn buitgemaakt?
Volgens AllUnited gaat het om persoonsgegevens van alle aangesloten organisaties, waaronder de AFBN en 34 andere sportbonden. Afhankelijk van de opgeslagen gegevens kunnen onder meer namen, adressen, geboortedata, telefoonnummers, e-mailadressen en bankrekeningnummers (IBAN) zijn buitgemaakt. Ook aanvullende informatie uit ledenadministraties kan betrokken zijn. Daarnaast zijn versleutelde wachtwoorden van gebruikers buitgemaakt. Hoewel deze niet direct leesbaar waren opgeslagen, bestaat het risico dat ze alsnog worden achterhaald. AllUnited heeft daarom besloten alle wachtwoorden ongeldig te maken.
Zorgvuldige opvolging belangrijk voor de footballgemeenschap
Voor de AFBN en de aangesloten verenigingen ligt de prioriteit bij het beperken van mogelijke gevolgen voor hun leden. De bond is door AllUnited over het incident geïnformeerd en heeft instructies ontvangen over de noodzakelijke vervolgstappen. Hierbij heeft de bond AllUnited het mandaat gegeven om ook uit haar naam te handelen. De bond heeft het op zich genomen de betrokken leden te informeren, AllUnited verzorgt de meldplicht bij de Autoriteit Persoonsgegevens en het waarschuwen voor mogelijke fraude.
Het grootste risico is momenteel phishing. Daarbij kunnen criminelen met de buitgemaakte persoonsgegevens geloofwaardige berichten versturen die afkomstig lijken van een sportvereniging of de AFBN. Denk bijvoorbeeld aan valse contributieverzoeken of berichten waarin leden worden gevraagd hun accountgegevens opnieuw in te voeren.
Leden wordt daarom geadviseerd alert te zijn op verdachte e-mails, sms’jes en betaalverzoeken. Wie een AllUnited-account heeft, moet bij de volgende keer inloggen een nieuw wachtwoord instellen. Wordt hetzelfde wachtwoord elders gebruikt, dan is het verstandig dat ook daar te wijzigen.
Veiligheid van leden voorop
Het incident onderstreept hoe belangrijk een zorgvuldige omgang met persoonsgegevens is, ook binnen de Nederlandse American footballgemeenschap. Hoewel de kwetsbaarheid zich bij een externe softwareleverancier bevond, hopen wij met deze communicatie de gevolgen voor leden zoveel mogelijk te beperken. AllUnited heeft aangegeven aanvullende beveiligingsmaatregelen en controles door te voeren. De komende periode moet duidelijk worden wat de exacte omvang van het datalek is en welke gevolgen dit voor individuele leden heeft.
Voor betrokken sporters blijft het belangrijkste advies voorlopig: wees alert op verdachte berichten en controleer betaalverzoeken altijd rechtstreeks bij je vereniging.