Nederlandse clubs, verenigingen en bonden zijn getroffen door een datalek bij softwarebedrijf AllUnited. Een aanvaller heeft volgens het bedrijf een kwetsbaarheid in de software misbruikt en daarna gegevens uit een database gekopieerd. Hoeveel personen precies zijn geraakt, is niet bekendgemaakt.
AllUnited levert software waarmee verenigingen onder meer hun ledenadministratie, boekhouding, facturatie en website kunnen beheren. Daardoor bevat de omgeving gegevens die voor clubs operationeel noodzakelijk kunnen zijn, maar die bij een datalek ook gevoelig zijn voor misbruik. Volgens AllUnited zijn de gegevens van alle clubs en bonden binnen het platform getroffen.
Bevestigd: toegang via inschrijfformulier
De aanval verliep volgens AllUnited via een inschrijfformulier op een clubwebsite. Via die route zou de aanvaller toegang hebben gekregen tot een server van het bedrijf. Vervolgens zijn gegevens uit de database gekopieerd. De broninformatie vermeldt niet wanneer de aanval precies plaatsvond, hoe lang de aanvaller toegang had of welke kwetsbaarheid is gebruikt.
AllUnited zegt de misbruikte kwetsbaarheid inmiddels te hebben verholpen. Ook zijn wachtwoorden van gebruikers gereset. Daarnaast is het datalek gemeld bij de Autoriteit Persoonsgegevens.
Welke gegevens zijn buitgemaakt?
De gestolen gegevens omvatten volgens AllUnited onder meer naam, adres, woonplaats, e-mailadres, telefoonnummer, geboortedatum, geboorteplaats en rekeningnummer in IBAN-formaat. Ook gaat het om inloggegevens van AllUnited-accounts, lidnummer, team, functie en opmerkingen.
Bij jeugdleden kan de impact breder zijn. Als ouders of verzorgers gegevens hebben opgegeven voor een jeugdlid, gaat het volgens de melding ook om gegevens van het kind. Daarmee raakt het incident niet alleen volwassen leden en vrijwilligers, maar mogelijk ook minderjarigen die via een vereniging of club in de administratie staan.
Alle aangesloten organisaties moeten in actie komen
AllUnited stelt dat gegevens van alle clubs en bonden in het platform zijn getroffen. Het bedrijf meldt meer dan 2500 community’s, 18 samenwerkende partners en 35 aangesloten bonden als gebruikers te hebben. Al deze partijen moeten het datalek volgens AllUnited aan hun leden en gebruikers melden.
Het softwarebedrijf wijst clubs erop dat zij verantwoordelijk zijn voor de gegevens van hun leden. AllUnited vraagt aangesloten organisaties het datalek namens de eigen club bij de Autoriteit Persoonsgegevens te melden binnen 72 uur na de melding van het bedrijf. Uit de beschikbare informatie blijkt niet hoeveel afzonderlijke meldingen dit in totaal kan opleveren.
Analyse: waarom dit datalek relevant is
Dit incident onderstreept het risico van centrale ledenadministraties. Voor individuele verenigingen kan uitbesteding aan een gespecialiseerde leverancier praktisch zijn: één systeem voor leden, contributies, teams en communicatie. Tegelijkertijd ontstaat daardoor een geconcentreerde databron. Als zo’n platform wordt geraakt, kan één kwetsbaarheid gevolgen hebben voor een groot aantal organisaties en hun leden.
De combinatie van gegevens maakt dit lek extra gevoelig. Een naam met adres, geboortedatum, telefoonnummer, e-mailadres en IBAN kan worden gebruikt voor gerichte benaderingen, fraudepogingen of overtuigende phishingberichten. De aanwezigheid van inloggegevens vergroot bovendien het risico voor gebruikers die dezelfde of vergelijkbare wachtwoorden elders hebben gebruikt. De broninformatie vermeldt niet in welke vorm die inloggegevens zijn opgeslagen.
Voor verenigingen is dit ook bestuurlijk relevant. Veel clubs draaien op vrijwilligers, maar verwerken tegelijk persoonsgegevens van leden, ouders, kinderen, trainers en bestuursleden. Een datalek bij een leverancier neemt die verantwoordelijkheid niet automatisch weg. De melding van AllUnited maakt duidelijk dat aangesloten clubs zelf richting leden, gebruikers en toezichthouder een rol hebben.
Nog onduidelijkheden
Niet alle details zijn bekend. Er is geen aantal getroffen personen genoemd. Ook is niet bekend of de gekopieerde gegevens al zijn misbruikt of ergens zijn gepubliceerd. Verder ontbreekt informatie over de aard van de kwetsbaarheid, de technische maatregelen die zijn genomen na het incident en de precieze periode waarin de aanval kon plaatsvinden.
Wat wel vaststaat, is dat het datalek breed kan doorwerken binnen het Nederlandse verenigingsleven. Door het aantal aangesloten community’s en bonden kan de impact verder reiken dan één club of één sport. Voor betrokken organisaties ligt de nadruk nu op informeren, melden en het beperken van mogelijke vervolgrisico’s voor leden en gebruikers.
Bron: security.nl
