Datalekmoeheid is geen onverschilligheid. Het is hulpeloosheid.
Jims, IFAPME, het Deense bevolkingsregister en een onbekende marketingdatabank met 148.000 Belgen: in enkele weken tijd lagen de gegevens van miljoenen mensen op straat. De reactie van mensen die de krant lezen? Een schouderophalen. Cybergedragsexperte Veerle Peeters (CybHERstrong) en Mathias Vissers, medeoprichter van ethisch hackersbedriijf Fox&Fish Cyberdefense, duiden waarom die moeheid geen onverschilligheid is, waarom criminelen erop rekenen, en waarom “wees alert” het probleem niet oplost.
Vier lekken. Nog maar het tipje van de sluier
Bij fitnessketen Jims werden in juli de gegevens van 150.000 leden gestolen. De volledige omvang werd pas eind september duidelijk. Begin oktober doken de gegevens van 700.000 mensen uit de databank van het Waalse opleidingsnetwerk IFAPME gratis op het dark web op. Rijksregisternummers en rekeningnummers inbegrepen. Een dag later bleek dat hackers de gegevens van 8,8 miljoen Denen hadden ingekeken. En ethische hackers van Fox&Fish vonden nog een databank, van een onbekend bedrijf, met namen, adressen en rekeningnummers van 148.000 Belgen.
Vier lekken. Nog maar het tipje van de sluier. Eén advies. Wees alert voor phishing.
En de meeste mensen haalden de schouders op. 🤷
Geen onverschilligheid. Hulpeloosheid.
In april beschreef Veerle Peeters al wat er in ons brein gebeurt in de dagen na een datalek. Na een datalek speelt ons brein ons parten. Er is geen inbraak, geen bloed, dus het gevaar voelt kleiner dan het is. Psychologen noemen dat optimism bias.
Bij één melding is dat begrijpelijk. Vandaag gaat het over de optelsom.
Wie om de paar weken hoort dat zijn gegevens weer ergens liggen, leert iets. Niet dat hij voorzichtiger moet zijn. Wel dat niets wat hij doet nog verschil lijkt te maken. Psycholoog Seligman noemde dat aangeleerde hulpeloosheid. In Amerikaans onderzoek zegt 46 procent van de mensen die een datalekmelding kregen dat er niets is wat ze kunnen doen om hun omgeving te beschermen. Die woorden horen we hier ook in België klinken.
Dat is geen domheid of naïviteit. Dat is een brein dat zichzelf beschermt tegen een alarm dat nooit stopt.
Maar dat is precies de toestand waarop criminelen wachten.
Elk lek maakt het volgende waardevoller
Een afzonderlijk lek lijkt vaak onschuldig. Een naam. Een mailadres. Een lidmaatschap. Maar die gegevens verdwijnen nooit. “Op het dark web en op Telegram zien we geregeld herpakte datalekken”, zegt Mathias Vissers. “Oude lekken die samengevoegd, opgeschoond en als nieuw aangeboden worden. Elk nieuw lek maakt het profiel van een slachtoffer rijker.”
Met zo’n profiel weet een oplichter waar je woont, bij welke bank je zit, waar je sport en wat je studeert. Artificiële Intelligentie doet de rest. “Taalfouten waren lang het makkelijkste alarmsignaal”, aldus Vissers. “Vandaag schrijft AI in enkele seconden een foutloos, persoonlijk bericht, voor duizenden mensen tegelijk.” Volgens het Europese cyberagentschap ENISA was begin 2025 al meer dan 80 procent van de waargenomen phishing en social engineering AI-ondersteund.
“Een moe brein checkt niet. Het klikt of deelt”. (Veerle Peeters)
Op het dark web en op Telegram zien we geregeld herpakte datalekken. Oude lekken die samengevoegd, opgeschoond en als nieuw aangeboden worden. Elk nieuw lek maakt het profiel van een slachtoffer rijker
“Wees alert” is geen beveiliging. Het is huiswerk.
Er is een ongemakkelijk detail in het IFAPME-verhaal. “Het lek begon in februari, toen twee medewerkers in een phishingmail trapten”, zegt Vissers. “Acht maanden later krijgen 700.000 mensen het advies om alert te zijn voor phishing. Dat zegt veel over waar we de verantwoordelijkheid leggen.”
De organisatie die de gegevens verloor, stuurt een mail. De burger krijgt huiswerk. En wie daarna toch in een gepersonaliseerde oplichting trapt, botst bij de bank op het verwijt van grove nalatigheid.
“Zo schuift de verantwoordelijkheid telkens één stap stroomafwaarts“, zegt Peeters. “Van het bestuur naar de IT-afdeling. Van de IT-afdeling naar de medewerker. Van de organisatie naar de burger. Tot ze terechtkomt bij de persoon die het minst te zeggen had over hoe zijn gegevens bewaard werden.”
Met NIS2 zijn bestuurders vaak persoonlijk verantwoordelijk voor het cyberrisico van hun organisatie. Die verantwoordelijkheid stopt niet op het moment dat de data buiten is. Ze begint dan pas.
Alertheid werkt. Als ze iets oplevert.
Toch is er goed nieuws. “Mensen zijn niet onverschillig”, zegt Vissers. “Ze zijn bereid om te reageren.” In 2025 stuurden Belgen bijna 10 miljoen verdachte berichten door naar Safeonweb. Daardoor werden verdachte links meer dan 200 miljoen keer omgeleid naar een waarschuwingspagina. “Elke melding beschermt ook anderen”, aldus Vissers.
Dat is geen toeval. Mensen blijven alert als ze zien dat hun alertheid iets uitmaakt. Gedragsonderzoek toont al jaren dat angst kort werkt en het gevoel dat je zelf iets kan doen lang.
Wie na een datalek wil dat mensen scherp blijven, is hen volgens Peeters en Vissers drie dingen verschuldigd;
- Ten eerste: zeg precies wat er gelekt is, en wat ze kunnen verwachten. Niet “wees alert”, maar “verwacht de komende weken berichten die je IBAN of je inschrijving vermelden en om een betaling vragen”. Een concreet scenario is herkenbaar. Een vage waarschuwing niet.
- Ten tweede: geen één handeling, geen checklist. Bel zelf terug via een nummer dat je opzoekt. Verander het wachtwoord dat je ook elders gebruikt. Eén ding dat werkt, beklijft beter dan tien dingen die moeten.
- Ten derde: maak melden zinvol. Geef mensen een kanaal om te verifiëren en laat zien wat er met hun meldingen gebeurt. Alertheid zonder terugkoppeling dooft uit.
Moeheid is een ontwerpfout
Datalekken zullen niet verdwijnen. De vraag is niet langer of onze gegevens ergens liggen. Dat doen ze. De vraag is of we het volgende verdacht bericht nog even scherp lezen als het eerste.
Dat hangt minder af van de burger dan we graag denken. Datalekmoeheid is geen karakterfout. Het is het voorspelbare gevolg van een systeem dat de rekening telkens doorschuift naar wie er het minst aan kan doen.
Wie wil dat mensen alert blijven, moet stoppen met hen te vragen alert te zijn. En beginnen tonen dat hun alertheid werkt.
Veerle Peeters is criminologe en socioloog, oprichter van CybHERstrong en expert in menselijk gedrag binnen cyberveiligheid. Ze is te zien in de Streamz-reeks Hacked. Mathias Vissers is medeoprichter van Fox&Fish Cyberdefense, een team van ethische hackers dat organisaties helpt hun digitale weerbaarheid te testen en te versterken.