Na een cyberaanval stopt het risico voor organisaties niet wanneer het lek is gedicht. Gestolen gegevens vormen jaren later nog de basis voor fraude.
Een cyberaanval wordt in veel organisaties nog altijd als afgesloten beschouwd zodra systemen draaien, klanten geïnformeerd zijn en de rapportering richting bestuur klaar is. In dat klassieke scenario ligt de focus vooral op technische herstelacties en juridische verplichtingen na een datalek.
Volgens fraudespecialist Olaf Passchier, Customer Advisory Lead for Fraud, Compliance & Public Security bij SAS, is dat beeld achterhaald. Hij legt uit dat cybercrime en fraude steeds meer één keten vormen, waarin buitgemaakte gegevens langdurig circuleren en op verschillende plaatsen opnieuw opduiken.
Cyberaanvallen en datalekken duiken steeds vaker op in diverse sectoren. Zo werd onder meer de fitnessketen Jims, onderdeel van Colruyt, recent getroffen door een cyberaanval, net zoals Lidl en Drukland. Ook de overheid, gemeentes en hogescholen konden er niet aan ontkomen.
Van datalek naar georganiseerde fraude
Europol omschrijft fraude als een van de snelstgroeiende domeinen binnen georganiseerde misdaad. Criminele netwerken werken grensoverschrijdend en combineren technische, logistieke en financiële diensten in een soort industrie. Via Crime-as-a-Service kopen ze toegang tot systemen, gestolen datasets, phishingkits en onderdelen van de financiële afhandeling.
Passchier stelt dat cybercriminaliteit in de kern een verdienmodel is binnen een breder crimineel ecosysteem. “Achter phishing, accountovername en identiteitsfraude gaan criminele netwerken schuil die niet stoppen bij digitale delicten, maar ook betrokken kunnen zijn bij mensensmokkel, drugshandel, misbruik en uitbuiting.”
Die verwevenheid vraagt om een andere aanpak door organisaties. Niet alleen security, maar ook fraude-, KYC- en AML-teams moeten structureel informatie delen. De beoordeling van een incident mag zich niet beperken tot directe technische schade; het toekomstige frauderisico van buitgemaakte gegevens hoort expliciet in de risicoanalyse.
Lange houdbaarheidsdatum
Een datalek is volgens Passchier het begin van een risicoperiode, niet het einde van een incident. Accountgegevens, identiteitsdocumenten, bankinformatie en medische dossiers blijven vaak jarenlang bruikbaar voor misbruik. Een wachtwoord kan je wijzigen, maar een geboortedatum of gescande identiteitskaart blijven ongewijzigd beschikbaar.
Een datalek is het begin van een risicoperiode, niet het einde van een incident.
Olaf Passchier, Customer Advisory Lead for Fraud, Compliance & Public Security bij SAS
“Gegevens uit verschillende bronnen kunnen bovendien worden samengevoegd tot een geloofwaardig profiel waarmee criminelen beveiligingsvragen beantwoorden, gericht phishing versturen of zich voordoen als een klant of bestuurder.”
Dat risico doet zich momenteel voor bij een recente cyberaanval op IFAPME, waarbij onder meer e-mailadressen, telefoonnummers, maar ook rijksregisternummers en IBAN-nummers gratis op het dark web gepubliceerd werden. Dat maakt het gebruik van echte persoonlijke informatie in een e-mail, sms of telefoongesprek bij een phishingpoging veel geloofwaardiger.
De organisatie waar data uitlekt, is bovendien zelden dezelfde als waar de latere fraude zichtbaar wordt. Gegevens die bij een retailer, zorginstelling of reisorganisatie gestolen zijn, kunnen later elders worden gebruikt voor kredietaanvragen, accountovernames of frauduleuze transacties. Volgens het Centrum voor Cybersecurity België was accountcompromittering in 2025, met 114 gevallen, de grootste bedreiging.
Signalen combineren
Passchier benadrukt dat signalen uit een datalek snel bij klantacceptatie, fraudedetectie en transactiemonitoring moeten landen. Een gecompromitteerd account kan aanleiding zijn voor scherper toezicht of extra stappen bij risicovolle handelingen, zoals adreswijzigingen of grote betalingen. Zo verschuift de focus van louter herstel naar actieve risicobeperking.
Daarbij pleit hij voor de combinatie van data- en netwerkanalyse. Door relaties tussen accounts, apparaten, adressen, telefoonnummers en betalingen in kaart te brengen, komen afwijkende patronen sneller bovendrijven. Organisaties kunnen zo beter onderscheiden wat normaal klantgedrag is en waar identiteiten mogelijk misbruikt worden.