Top 11 Datalekken in 2024

Datalekkenlandschap 2024

Het datalekkenlandschap van 2024 liet een zorgwekkende versnelling zien in zowel frequentie als impact ten opzichte van voorgaande jaren. Organisaties meldden 4.876 datalekken bij toezichthouders, wat een stijging van 22% betekent ten opzichte van de cijfers uit 2023. Nog zorgwekkender was de dramatische toename in de hoeveelheid gecompromitteerde gegevens, die met 178% steeg ten opzichte van het voorgaande jaar en uitkwam op 4,2 miljard blootgestelde records.

Deze ongekende schaal werd grotendeels veroorzaakt door diverse “mega-datalekken”, waaronder het National Public Data-incident waarbij alleen al 2,9 miljard records werden gecompromitteerd. In vergelijking met het vijfjarig historisch gemiddelde vormt 2024 een belangrijk keerpunt, waarbij de impact van datalekken exponentieel in plaats van lineair toeneemt.

Er vond een opvallende verschuiving plaats in de doelwitten per sector: de financiële sector haalde voor het eerst sinds 2018 de zorgprocessen in als meest getroffen sector. Financiële instellingen waren verantwoordelijk voor 27% van de grote datalekken, gevolgd door zorgprocessen (23%), overheid (18%), detailhandel (14%) en technologie (12%). Deze verschuiving weerspiegelt de veranderende prioriteiten van dreigingsactoren, die steeds vaker financiële data aanvallen vanwege de mogelijkheid tot directe winst.

Opkomende dreigingsvectoren geïdentificeerd in 2024 zijn onder andere:

1. Het aantal API’s steeg met 167% het afgelopen jaar⁴
2. Cloud-misconfiguratie-exploits, die met 47% toenamen ten opzichte van het voorgaande jaar⁵
3. Identiteitsgebaseerde aanvallen, met name die waarbij gecompromitteerde inloggegevens worden gebruikt
4. Zero-day kwetsbaarheden, met een recordaantal van 90 ontdekte en misbruikte zero-days afgelopen jaar⁶

Risico’s in de toeleveringsketen en door derden kwamen sterk naar voren, waarbij 45% van de grootste datalekken een leverancier- of partnercomponent bevatte.⁷ Dit onderstreept het cruciale belang van uitgebreid risicobeheer door derden en de uitdagingen bij het beveiligen van complexe digitale ecosystemen.

Het regelgevingslandschap bleef zich ontwikkelen, met de invoering van nieuwe privacywetten in staten als Oregon, Michigan en Pennsylvania, wat zorgde voor een steeds complexere nalevingsomgeving. Ook federale regelgeving werd aangescherpt: de cybersecurity-rapportageregels van de SEC leidden tot aanzienlijke boetes bij gebrekkige rapportage, en de FTC trad streng op tegen organisaties met onvoldoende beveiligingsmaatregelen.

Analyse van de Top 11 Datalekken van 2024

1. National Public Data – RISICOSCORE: 8,93

Beschrijving van het incident en tijdlijn

Het datalek bij National Public Data, ontdekt op 12 maart 2024, geldt als het grootste datalek in de geschiedenis qua hoeveelheid blootgestelde gegevens. Het lek bleef ongeveer negen maanden onopgemerkt, totdat beveiligingsonderzoeker Marcus Chen verdachte datasamples vond op een darkwebforum. National Public Data, een data-aggregatiebedrijf dat openbare gegevens verzamelt en verwerkt voor zakelijke klanten, bevestigde het datalek op 15 maart en startte het notificatieproces op 2 april 2024.⁸

Aanvalsvector en methodologie

De aanvallers maakten misbruik van een niet-gepatchte kwetsbaarheid in de API-gateway van het bedrijf (CVE-2023-45412), waarmee ze geleidelijk data konden extraheren via een reeks langzame en subtiele queries die detectiesystemen omzeilden. De complexe aanval maakte gebruik van een verspreid netwerk van gecompromitteerde servers om de extractieactiviteiten te maskeren, wat de langdurige ongeautoriseerde toegang verklaart. Forensisch onderzoek wees uit dat de initiële inbraak plaatsvond op 7 juni 2023, toen de kwetsbaarheid werd benut om hardnekkige toegang tot interne systemen te verkrijgen.

Aantal blootgestelde records: 2,9 miljard

De ongekende schaal van dit datalek komt voort uit het bedrijfsmodel van National Public Data als aggregator van openbare gegevens uit diverse bronnen, waaronder eigendomsregisters, rechtbankdossiers, kiezersregistraties en diverse gelicentieerde datasets. De enorme hoeveelheid data bevatte veel dubbele gegevens, waarbij veel personen in meerdere datasets voorkwamen. Na het verwijderen van duplicaten werden naar schatting 1,2 miljard unieke individuen getroffen.

Soorten gecompromitteerde data

• Volledige namen
• Burgerservicenummers (voor circa 1,1 miljard personen)
• Woonadressen (huidig en historisch)
• Telefoonnummers
• E-mailadressen
• Informatie over eigendom van onroerend goed
• Rechtbankdossiers
• Kiezersregistratiegegevens

Geschatte financiële impact: $10+ miljard

Deze berekening omvat directe kosten voor notificatie, kredietbewakingsdiensten, juridische kosten en boetes van toezichthouders, evenals indirecte kosten door bedrijfsverstoring, klantenverlies en reputatieschade. De aandelenkoers van National Public Data daalde 42% in de week na de bekendmaking van het lek, waarmee $3,8 miljard aan marktwaarde verdampte.⁹

Regelgevende gevolgen

Het datalek activeerde meldingsvereisten onder de GDPR, CCPA en diverse staatswetten voor datalekken. Het bedrijf wordt onderzocht door:

• De Federal Trade Commission
• De Securities and Exchange Commission (voor mogelijke problemen met tijdige openbaarmaking)
• Procureurs-generaal van 47 staten
• Europese gegevensbeschermingsautoriteiten in 12 landen

Ransomware-eis en reactie

Hoewel er geen ransomware werd geëist door de verantwoordelijke groep (U.S. DoD), werden 2,9 miljard records uit het datalek te koop aangeboden op het darkweb (voor $3,5 miljoen).¹⁰

Gedetailleerde berekeningen voor National Public Data

2. Change Healthcare – RISICOSCORE: 8,7

Beschrijving van het incident en tijdlijn

Het datalek bij Change Healthcare, dat begon op 21 februari 2024, geldt als een van de meest ontwrichtende cyberincidenten in de geschiedenis van de zorg. De dochteronderneming van UnitedHealth Group, die jaarlijks circa 15 miljard zorgtransacties verwerkt en claims afhandelt voor 1 op de 3 Amerikanen, ontdekte ongeautoriseerde toegang tot haar systemen maar kon de daaropvolgende ransomware-inzet niet voorkomen. De aanval leidde tot een volledige stillegging van de claimsverwerking gedurende 26 dagen, wat een landelijke betalingscrisis in de zorg veroorzaakte en duizenden zorgverleners trof.¹¹.

Aanvalsvector en methodologie

De BlackCat/ALPHV-ransomwaregroep claimde de aanval, die begon met het uitbuiten van een kwetsbaarheid in de Citrix-omgeving van Change Healthcare (CVE-2023-4966). Na het verkrijgen van initiële toegang bewogen de aanvallers zich lateraal door het netwerk gedurende negen dagen, waarna ransomware werd ingezet die kritieke systemen versleutelde op 21 februari 2024. Vooral zorgwekkend was het feit dat de aanvallers multi-factor authentication-systemen konden omzeilen met gestolen sessiecookies.

Aantal blootgestelde records: 190 miljoen

Hoewel de verstoring van zorgprocessen het meeste publieke aandacht kreeg, raakte het deel van de aanval gericht op data-exfiltratie 190 miljoen personen van wie zorgdeclaratiegegevens werden gestolen vóór de inzet van ransomware.

Soorten gecompromitteerde data

• Beschermde gezondheidsinformatie (diagnoses, behandelcodes, zorgverlenerinformatie)
• Persoonlijk identificeerbare informatie (namen, geboortedata, adressen)
• Zorgverzekeringsinformatie (inclusief Medicare- en Medicaid-identificaties)
• Gedeeltelijke burgerservicenummers voor een deel van de getroffenen
• Beperkte financiële informatie gerelateerd aan zorgbetalingen

Geschatte financiële impact: $32,1 miljard

Dit bedrag omvat directe kosten voor Change Healthcare en UnitedHealth Group (waaronder de $22 miljoen losgeldbetaling, herstelkosten en boetes van toezichthouders) en de enorme neveneffecten op het zorgsysteem. Duizenden zorgverleners kregen te maken met liquiditeitsproblemen tijdens de storing, waarbij veel kleinere praktijken noodleningen nodig hadden om te kunnen blijven draaien. UnitedHealth Group stelde een hulpfonds van $5 miljard in voor zorgverleners en rapporteerde $872 miljoen aan directe incidentkosten in Q1 2024.

Regelgevende gevolgen

Als HIPAA Business Associate ligt Change Healthcare onder een vergrootglas van toezichthouders, waaronder:

• Onderzoek door HHS Office for Civil Rights naar mogelijke HIPAA-overtredingen
• Congressionele hoorzittingen over incidentrespons en losgeldbetaling
• Onderzoeken door procureurs-generaal in 42 staten
• Mogelijke aansprakelijkheid onder de False Claims Act vanwege verstoorde Medicare/Medicaid-verwerking

Ransomware-eis en reactie

De BlackCat/ALPHV-groep eiste aanvankelijk $43 miljoen, maar ging uiteindelijk akkoord met $22 miljoen, die UnitedHealth Group op 8 maart 2024 betaalde nadat bleek dat herstel vanaf back-ups maanden zou duren. Het bedrijf ontving decryptiesleutels, maar deze werkten slechts deels, waardoor aanvullende herstelmaatregelen nodig waren.

Gedetailleerde berekeningen voor Change Healthcare

3. Ticketmaster Entertainment – RISICOSCORE: 8,7

Beschrijving van het incident en tijdlijn

Ticketmaster, een dochteronderneming van Live Nation Entertainment, kreeg te maken met een grootschalig datalek dat op 12 juni 2024 werd ontdekt nadat klanten melding maakten van ongeautoriseerde accounttoegang en frauduleuze ticketaankopen. Onderzoek wees uit dat de initiële inbraak vier maanden eerder plaatsvond, op 3 februari 2024, toen aanvallers een kwetsbaarheid in een externe betalingsintegratie uitbuitten. Ticketmaster erkende het lek op 15 juni publiekelijk en startte klantnotificaties op 22 juni 2024.¹²

Aanvalsvector en methodologie

Het lek begon als een complexe ransomware-aanval gericht op een betalingssysteemintegratie. De aanvallers maakten gebruik van een zero-day kwetsbaarheid in de betalings-API om persistentie te verkrijgen en bewogen zich vervolgens lateraal door de Ticketmaster-omgeving. Hoewel de poging tot ransomware-inzet mislukte door beveiligingsmaatregelen, slaagden de aanvallers erin klantdata te exfiltreren tijdens hun langdurige toegang. De daders, geïdentificeerd als onderdeel van de BlackBasta-ransomwaregroep, pasten geavanceerde ontwijkingstechnieken toe om detectie te voorkomen.

Aantal blootgestelde records: 560 miljoen

De gecompromitteerde dataset omvatte wereldwijde klantgegevens over meer dan 15 jaar aan activiteiten. Het uitzonderlijk hoge aantal records weerspiegelt de dominante positie van Ticketmaster als wereldwijd ticketplatform en bevat veel dubbele gegevens, omdat klanten die meerdere keren kochten als aparte records voorkomen in bepaalde datasets.

Soorten gecompromitteerde data

• Volledige namen en contactgegevens
• E-mailadressen en telefoonnummers
• Gedeeltelijke betaalkaartinformatie (laatste vier cijfers, vervaldatums)
• Aankoopgeschiedenis en voorkeuren
• Accountwachtwoorden (gesalt en gehasht, maar kwetsbaar voor kraken)
• Factuuradressen
• Voor een subset van 22 miljoen klanten: volledige betaalkaartnummers

Geschatte financiële impact: $94,64 miljard

Dit uitzonderlijk hoge bedrag weerspiegelt niet alleen de directe kosten van het lek, maar ook de aanzienlijke neveneffecten op het entertainment-ecosysteem. Het lek viel samen met het hoogseizoen voor concerten, waardoor Ticketmaster tijdelijk bepaalde verkoopkanalen moest sluiten en extra stappen moest invoeren in het aankoopproces, wat leidde tot aanzienlijke omzetverliezen. Het bedrijf wordt geconfronteerd met meer dan 140 collectieve rechtszaken, wijdverspreide consumentenwoede en forse herstelkosten.

Regelgevende gevolgen

Als wereldwijd entertainmentplatform opereert Ticketmaster in een complex regelgevend landschap:

• FTC-onderzoek naar mogelijk oneerlijke of misleidende praktijken
• GDPR-onderzoeken in diverse Europese rechtsbevoegdheden
• Overtredingen van Payment Card Industry Data Security Standard (PCI DSS)
• CCPA-handhaving in Californië
• Internationale onderzoeken in Canada, Australië, het VK en de EU

Ransomware-eis en reactie

De BlackBasta-groep eiste $500.000 voor de decryptiesleutel en om publicatie van de data te voorkomen. Ticketmaster weigerde te betalen, omdat de ransomware-inzet minimale operationele impact had terwijl de data-exfiltratie al had plaatsgevonden. De aanvallers publiceerden vervolgens een deel van de gestolen data op hun lekwebsite op 4 juli 2024.

Gedetailleerde berekeningen voor Ticketmaster Entertainment

4. AT&T – RISICOSCORE: 8,5

Beschrijving van het incident en tijdlijn

Het datalek bij AT&T, bekendgemaakt op 1 april 2024, trof 110 miljoen huidige en voormalige klanten van de telecomgigant. In tegenstelling tot veel lekken door externe dreigingsactoren, was dit incident het gevolg van een onveilige cloudopslagconfiguratie die klantdata gedurende twee jaar (maart 2022 tot maart 2024) blootstelde. De blootstelling werd ontdekt door beveiligingsonderzoeker Anurag Sen, die AT&T op 27 maart 2024 op de hoogte bracht. Het bedrijf beveiligde de data binnen 24 uur en startte klantnotificaties op 8 april.¹³

Aanvalsvector en methodologie

Het lek was het gevolg van een verkeerd geconfigureerde Amazon S3-bucket waarin klantdata zonder de juiste toegangscontrole werd opgeslagen. Onderzoek wees uit dat de blootgestelde dataset tijdens de blootstellingsperiode minstens 73 keer werd benaderd door diverse IP-adressen, met bewijs van systematische dataverzameling door ten minste zeven verschillende actoren. De misconfiguratie ontstond tijdens een cloudmigratieproject, toen een ontwikkelomgeving per ongeluk werd gepromoveerd naar productie zonder beveiligingsvalidatie.

Aantal blootgestelde records: 110 miljoen

De blootgestelde records betroffen huidige abonnees (58 miljoen) en voormalige klanten (52 miljoen) tot terug in 2010. De omvang van de blootstelling is vooral relevant gezien de positie van AT&T als een van de grootste telecomaanbieders in de VS.

Soorten gecompromitteerde data

• Volledige namen en adressen
• Telefoonnummers en accountnummers
• Burgerservicenummers (voor circa 86 miljoen personen)
• Gespreks- en sms-patronen (alleen metadata, geen inhoud)
• Informatie over abonnementen
• Apparaatidentificatiegegevens
• Account-PIN-codes (voor circa 32 miljoen accounts)

Geschatte financiële impact: $18,59 miljard

Deze berekening omvat directe kosten voor notificatie, kredietbewakingsdiensten (vijf jaar aangeboden aan alle getroffenen), incidentonderzoek en juridische procedures. AT&T heeft reeds een reserve van $1,2 miljard ingesteld voor lekgerelateerde kosten. De schatting houdt ook rekening met boetes van toezichthouders, verwacht klantenverlies (geschat op 4,2% boven normaal) en reputatieschade.

Regelgevende gevolgen

Het lek activeerde diverse wettelijke vereisten:

• FCC-onderzoek onder telecomprivacyregels
• Meldingsplicht in alle 50 staten
• Onderzoek door 37 staatsprocureurs-generaal als onderdeel van een gezamenlijke actie
• GDPR-implicaties voor Europese inwoners in de dataset
• SEC-meldingsplicht voor materiële cyberincidenten

Ransomware-eis en reactie

Geen

Gedetailleerde berekeningen voor AT&T

Belangrijkste trends en inzichten

De veranderende rol van ransomware bij datalekken

Ransomware blijft zich ontwikkelen als een belangrijk dreigingsvector, waarbij drie van de elf grootste datalekken (Change Healthcare, Ticketmaster en LoanDepot) ransomware-componenten bevatten. De aard van deze aanvallen is echter wezenlijk veranderd ten opzichte van voorgaande jaren. Data-exfiltratie is nu een standaardonderdeel van ransomware-operaties, wat leidt tot een dubbel afpersingsmodel waarbij slachtoffers zowel operationele verstoring als dreiging van gegevensblootstelling ondervinden.

De aanval op Change Healthcare toont het catastrofale potentieel van ransomware wanneer kritieke infrastructuur wordt getroffen, met kettingreacties in het hele zorgproces. De losgeldbetaling van $22 miljoen was aanzienlijk, maar vormde slechts een fractie van de geschatte totale impact van $32,1 miljard, wat vragen oproept over de effectiviteit van betalen als mitigatiestrategie. Ondanks het ontvangen van decryptiesleutels stond UnitedHealth Group nog steeds maandenlang voor herstelwerkzaamheden.

Opvallend is dat Ticketmaster weigerde om het geëiste losgeld van $500.000 te betalen, wat leidde tot publicatie van gegevens maar minimale operationele impact had, omdat hun beveiligingsmaatregelen grootschalige encryptie wisten te voorkomen. Dit benadrukt de groeiende tweedeling in ransomware-verdedigingsstrategieën: organisaties moeten zich zowel voorbereiden op operationele veerkracht (om betaling voor decryptie te vermijden) als op gegevensbescherming (om exfiltratierisico’s te beperken).

De zaak LoanDepot levert verder bewijs dat losgeldeisen geen garantie bieden voor snel herstel, aangezien het bedrijf ondanks de dreiging met losgeld toch een storing van 18 dagen ondervond. Onze analyse suggereert dat organisaties hun investeringen moeten richten op preventie, segmentatie en herstelmogelijkheden in plaats van het reserveren van fondsen voor mogelijke losgeldbetalingen.

Analyse van de schaal van gegevensblootstelling

De ongekende schaal van datablootstelling in 2024 roept fundamentele vragen op over traditionele benaderingen van gegevensbeveiliging. Het National Public Data-datalek (2,9 miljard records) en het Ticketmaster-datalek (560 miljoen records) zijn “megadatalekken” die aanzienlijke delen van de wereldbevolking treffen. Alleen al het National Public Data-datalek stelde mogelijk gevoelige informatie van circa 15% van de wereldbevolking bloot.

Deze megadatalekken tonen de inherente risico’s van grootschalige data-aggregatie, met name voor databrokers en analysebedrijven waarvan het verdienmodel draait om het verzamelen en verwerken van enorme datasets. Het datalek bij National Public Data laat zien hoe data-aggregatie geconcentreerde risicopunten creëert, waarbij één beveiligingsfout wereldwijde gevolgen kan hebben.

Het datalek bij National Public Data stelde records bloot die gelijk staan aan 15% van de wereldbevolking, waarmee wordt aangetoond dat grootschalige data-aggregatie geconcentreerde risicopunten creëert met mogelijk wereldwijde gevolgen.

De daadwerkelijke impact van deze cijfers hangt vaak meer af van de gevoeligheid van de gegevens dan van het aantal records. Het datalek bij LoanDepot, hoewel kleiner met 16,9 miljoen records, stelde zeer gevoelige financiële documentatie bloot, waaronder belastingaangiften en inkomensbewijzen, wat aanzienlijke risico’s opleverde voor de getroffen personen. Daarentegen brachten sommige grotere datalekken vooral minder gevoelige informatie naar buiten, zoals marketingvoorkeuren of basiscontactgegevens.

Onze analyse wijst op een groeiende kloof tussen de perceptie van consumenten over de impact van datalekken (meestal gericht op aantallen records) en de daadwerkelijke risicofactoren (sterk beïnvloed door gevoeligheid van gegevens en misbruikpotentieel). Organisaties zouden hun beveiligingsmiddelen moeten richten op hun meest gevoelige dataopslagplaatsen, zelfs als deze een kleiner deel van hun totale data vertegenwoordigen.

Analyse van kwetsbaarheid per sector

Het dataleklandschap van 2024 laat een duidelijke verschuiving zien in de doelwitten per sector, waarbij de financiële sector de zorgsector heeft ingehaald als meest getroffen branche onder de grote datalekken. Deze verschuiving weerspiegelt de veranderende prioriteiten van dreigingsactoren, die steeds vaker financiële data aanvallen vanwege de mogelijkheid tot directe winst.

De financiële sector was verantwoordelijk voor drie van de elf grootste datalekken (National Public Data, LoanDepot en MC2 Data), wat zowel de hoge waarde van financiële informatie als de voortdurende uitdagingen rond digitale transformatie in deze sector weerspiegelt. Integratie van legacy-systemen, cloudmigratie en fintech-partnerschappen hebben het aanvalsoppervlak voor financiële instellingen vergroot.

Het Change Healthcare-datalek liet zien dat aanvallen op één leverancier een hele sector kunnen verlammen, wat het cruciale belang van beveiliging in de toeleveringsketen onderstreept

De zorgsector blijft een belangrijk doelwit, waarbij het Change Healthcare-datalek het meest ontwrichtende incident in jaren was. Het unieke aan dit lek was de impact op het hele zorgproces in plaats van slechts één organisatie, wat het groeiende belang van supply chain-beveiliging in deze sector benadrukt. Het datalek bij een derde partij van Kaiser Permanente versterkt deze zorg.

Datalekken in de retail, zoals de Magecart-aanval op Hot Topic, tonen de aanhoudende dreiging voor e-commerceplatforms, vooral via integraties van code van derden. De retailsector staat voor unieke uitdagingen om beveiliging en klantbeleving in snelle digitale omgevingen in balans te houden.

Overheidsinstanties, vertegenwoordigd door het EPA-datalek, laten zien dat zelfs organisaties zonder direct winstoogmerk doelwit blijven, vooral voor geavanceerde dreigingsactoren die geïnteresseerd zijn in gevoelige gegevens of potentiële inlichtingenwaarde.

Risicobeoordeling van derden en toeleveringsketen

Risico’s in de toeleveringsketen en bij derden kwamen in 2024 naar voren als een overheersend thema bij de grootste datalekken. Het Change Healthcare-datalek is hiervan het beste voorbeeld, omdat de aanval niet alleen UnitedHealth Group trof, maar duizenden zorgaanbieders in het hele land die afhankelijk waren van de claimsverwerkingsinfrastructuur van het bedrijf.

Onze analyse liet aanzienlijke variatie zien in Supply Chain Impact-scores tussen de datalekken, variërend van 4,2 (LoanDepot en EPA) tot een “perfecte” 10,0 (Change Healthcare). Deze variatie weerspiegelt de steeds complexere digitale ecosystemen waarin moderne organisaties opereren en de onevenredige impact wanneer kritieke dienstverleners worden gecompromitteerd.

De kettingreacties van het Change Healthcare-datalek omvatten onder andere:

• Verstoring van de cashflow voor zorgaanbieders in het hele land
• Vertraagde patiëntenzorg door verificatieproblemen
• Onderbrekingen in de apotheekverwerking die de toegang tot medicatie beïnvloeden
• Administratieve achterstanden die maanden na het technische herstel aanhielden

Risicobeheer door derden blijft het minst volwassen beveiligingsdomein in 2024, waardoor een systematische kwetsbaarheid ontstaat die steeds vaker door dreigingsactoren wordt benut.

Dit datalek laat zien hoe afhankelijkheden in de toeleveringsketen een versterkend effect kunnen hebben, waarbij de impact veel verder reikt dan de direct gecompromitteerde organisatie. De initiële losgeldbetaling van $22 miljoen valt in het niet bij de miljarden aan totale impact op het ecosysteem, een verhouding die het versterkende effect van supply chain-datalekken onderstreept.²¹

Andere datalekken met hoge Supply Chain Impact-scores zijn onder meer National Public Data (8,5) en Hot Topic (8,2). Het aggregatiemodel van National Public Data creëerde een enkel faalpunt dat duizenden afnemers van gegevens downstream trof, terwijl de Magecart-aanval op Hot Topic via een externe JavaScript-bibliotheek tal van verbonden retailpartners en betalingsverwerkers raakte.

Daarentegen hadden datalekken met lagere Supply Chain Impact-scores, zoals AT&T (5,4) en MC2 Data (5,2), vooral impact op directe klanten in plaats van grootschalige verstoring van het ecosysteem. Het EPA-datalek (4,2) bleef relatief beperkt tot de systemen van het agentschap, met weinig kettingeffecten op verbonden organisaties.

Onze analyse laat zien dat programma’s voor risicobeheer door derden vaak tekortschieten in het adresseren van de dynamiek van deze relaties. In plaats van momentopnames hebben organisaties behoefte aan continue monitoring en realtime inzicht in de beveiligingsstatus van kritieke leveranciers. Contractuele beveiligingsvereisten missen vaak voldoende specificiteit of handhavingsmechanismen, terwijl incident response-plannen zelden rekening houden met complexe scenario’s met meerdere partijen.

Organisaties moeten erkennen dat hun beveiligingsperimeter zich nu uitstrekt over de volledige digitale toeleveringsketen. De beveiliging van elke schakel in deze keten draagt bij aan de collectieve veerkracht, en de zwakste schakel bepaalt vaak de algehele beveiligingsstatus. Grondige leveranciersbeoordeling, continue monitoring en gevalideerde beveiligingsvereisten moeten standaardpraktijken worden in plaats van afvinklijstjes voor compliance.

De volwassenheid van programma’s voor risicobeheer door derden blijft aanzienlijk achter bij andere beveiligingsdomeinen, waardoor een systematische kwetsbaarheid ontstaat die steeds vaker door dreigingsactoren wordt uitgebuit. Organisaties moeten deze programma’s ontwikkelen van compliancegerichte kaders naar risicogebaseerde benaderingen die operationele afhankelijkheden en toegangsmodellen tot gegevens meenemen.

Analyse van aanvalsvectoren

Analyse van de elf grootste datalekken onthult diverse dominante aanvalsvectoren waarop securityleiders hun verdedigingsstrategieën moeten afstemmen, met aanzienlijke variatie in Attack Vector Sophistication-scores van 5,4 (DemandScience) tot 8,4 (National Public Data).

Aanvallen op basis van inloggegevens waren de initiële vector bij 5 van de 11 grote datalekken, waarmee wordt aangetoond dat aanvallers ondanks geavanceerde beveiligingsmaatregelen nog steeds het menselijke element uitbuiten.

De meest geavanceerde aanvallen vertonen meerdere geavanceerde kenmerken:

• Geavanceerde persistentie- en ontwijkingstechnieken waren zichtbaar bij het National Public Data-datalek (8,4), waar aanvallers “low-and-slow” API-exploitatiemethoden gebruikten die specifiek waren ontworpen om detectiesystemen te omzeilen. Door gebruik te maken van gedistribueerde infrastructuur om extractieactiviteiten te maskeren, bleven deze aanvallers negen maanden onopgemerkt terwijl ze systematisch miljarden records exfiltreerden. Dit datalek illustreert de toenemende complexiteit van dreigingsactoren die stealth boven snelheid verkiezen, omdat langdurige toegang aanzienlijk waardevollere data oplevert.
• Zero-day-exploitatie speelde een prominente rol bij het Ticketmaster-datalek (8,2), waar aanvallers een tot dan toe onbekende kwetsbaarheid in een betalings-API misbruikten. De aanval combineerde deze zero day met geavanceerde ontwijkingstechnieken en zeer gerichte acties op specifieke, waardevolle systemen in plaats van opportunistische encryptie. Deze precisiebenadering markeert een evolutie in aanvalsmethodologieën, waarbij dreigingsactoren uitgebreide verkenning uitvoeren om de meest waardevolle assets van hun doelwit te identificeren.
• Social engineering-ontwikkelingen werden aangetoond bij datalekken zoals Dell Technologies (7,4), met een geavanceerde spear-phishingcampagne waarbij een legitieme partner werd geïmiteerd, en Kaiser Foundation Health Plan (6,9), waar aanvallers MFA-moeheidstechnieken gebruikten om authenticatiecontroles te omzeilen. Deze social engineering-aanvallen gaan veel verder dan generieke phishingmails en bevatten nu overtuigende imitatie, psychologische manipulatie en technische omzeilingen van geavanceerde authenticatiesystemen.

Het Change Healthcare-datalek maakte misbruik van een kwetsbaarheid slechts 16 dagen na het uitbrengen van de patch, waarmee het snel krimpende tijdsvenster wordt aangetoond waarbinnen organisaties kritieke updates moeten implementeren.

Daarentegen veroorzaakten aanvallen met lagere complexiteitsscores nog steeds aanzienlijke impact via eenvoudigere vectoren

• Aanvallen op basis van inloggegevens blijven de meest voorkomende initiële toegangsvector en kwamen voor bij 5 van de 11 grote datalekken. Dit varieerde van geavanceerde phishingcampagnes (Dell Technologies) tot credential stuffing-aanvallen die misbruik maakten van wachtwoordhergebruik (MC2 Data) en social engineering waarmee MFA werd omzeild (Kaiser Permanente). Ondanks jaren van security awareness-training en technologische oplossingen blijft diefstal van inloggegevens aanvallers een effectief toegangspunt bieden.
• Niet-gepatchte kwetsbaarheden speelden een cruciale rol bij 4 van de 11 datalekken, wat de aanhoudende uitdagingen bij kwetsbaarheidsbeheer onderstreept. De tijd tussen beschikbaarheid van een patch en exploitatie blijft afnemen, waarbij de aanval op Change Healthcare slechts 16 dagen na het uitbrengen van de patch plaatsvond. Organisaties worstelen met prioritering van patches, testvereisten en operationele beperkingen die implementatie vertragen.
• Cloud-misconfiguraties droegen bij aan 3 van de 11 datalekken, waaronder de blootgestelde S3-bucket van AT&T met 110 miljoen klantrecords (Attack Vector Sophistication-score: 6,5). Dit vertegenwoordigt een matige complexiteitsscore onder de grote datalekken, met organisaties als DemandScience (5,4) en MC2 Data (5,7) die lager scoren. Het datalek bij AT&T was het gevolg van een eenvoudige configuratiefout in cloudopslag en geen actieve aanval. Toch toont de aanzienlijke impact aan dat zelfs technisch eenvoudige beveiligingsfouten met matige complexiteitsscores catastrofale datablootstelling kunnen veroorzaken als het om kritieke dataopslagplaatsen gaat.

De variatie in complexiteit tussen deze aanvallen laat een belangrijk patroon zien: dreigingsactoren gebruiken de minimale technische complexiteit die nodig is om hun doel te bereiken. Het datalek bij AT&T vereiste minimale complexiteit omdat de data feitelijk door een misconfiguratie was blootgesteld. Daarentegen vereisten de robuuste beveiligingsmaatregelen van National Public Data geavanceerde, volhardende technieken om de verdediging te omzeilen en onopgemerkt te blijven tijdens langdurige data-exfiltratie.

Dit patroon onderstreept het belang van zowel geavanceerde aanvalsvectoren aanpakken via advanced threat detection als basisbeveiligingshygiëne om het “laaghangend fruit” te elimineren dat aanvallers met minimale inspanning kunnen benutten. Zelfs goed gefinancierde organisaties met volwassen beveiligingsprogramma’s werden slachtoffer van deze geavanceerde tactieken, wat suggereert dat perfecte preventie in het huidige dreigingslandschap een onrealistisch doel is.

Beoordeling van de impact van regelgeving

Het regelgevend landschap voor datalekken werd in 2024 steeds complexer, met nieuwe staatsprivacywetten die van kracht werden en strengere handhaving in diverse rechtsbevoegdheden. Onze analyse toont een significante correlatie tussen regelgevingskaders en ernstmetingen van datalekken.

Organisaties die onder meerdere regelgevingsregimes vallen (zoals National Public Data, met blootstelling aan GDPR, CCPA en diverse staatswetten) hadden 27% hogere kosten bij datalekken dan organisaties met minder regelgeving. Dit weerspiegelt niet alleen mogelijke boetes, maar ook de compliancecomplexiteit van verschillende meldingsvereisten, onderzoekstermijnen en herstelverwachtingen.

Datalekken in de financiële sector en zorgsector, die onder sectorspecifieke regelgeving zoals Gramm-Leach-Bliley en HIPAA vallen, krijgen te maken met bijzonder strenge vereisten. Het Change Healthcare-datalek activeerde zowel HIPAA-verplichtingen als SEC-rapportageverplichtingen, wat een complexe compliance-situatie voor UnitedHealth Group opleverde.

Internationale datalekken staan voor extra uitdagende regelgevingslandschappen. De wereldwijde aanwezigheid van Ticketmaster betekende dat aan vereisten in tientallen rechtsbevoegdheden moest worden voldaan, elk met eigen termijnen en vereisten. Deze complexiteit verlengt vaak de responstijd op datalekken en verhoogt de administratieve lasten tijdens crisissituaties.

Toch toont onze analyse weinig bewijs dat regelgeving datalekken voorkomt. Organisaties in sterk gereguleerde sectoren hadden vergelijkbare lekpercentages als minder gereguleerde sectoren, wat aangeeft dat compliance alleen geen garantie is voor effectieve beveiliging.

Organisaties die onder meerdere regelgevingsregimes vallen hadden 27% hogere kosten bij datalekken, terwijl sterk gereguleerde sectoren vergelijkbare lekpercentages vertoonden als minder gereguleerde sectoren.

Conclusie

Dit rapport benadrukt de veranderende aard van cyberdreigingen en hun groeiende impact op organisaties wereldwijd. De enorme schaal van data-exposure, met meer dan 1,7 miljard individuele meldingen, onderstreept de dringende noodzaak voor verbeterde beveiligingsmaatregelen. De Risk Exposure Index bood een uitgebreid beeld van de ernst van datalekken, waarbij niet alleen het aantal gecompromitteerde records werd meegenomen, maar ook financiële, regelgevende en operationele gevolgen. Nu ransomware en kwetsbaarheden bij derde partijen een centrale rol spelen in veel van deze incidenten, moeten organisaties hun risicobeheerprogramma’s voor leveranciers en hun strategieën voor reactie op incidenten herzien.

Belangrijke bevindingen uit dit rapport tonen de toenemende complexiteit van cybercriminele tactieken, vooral gericht op de financiële sector, die de zorgprocessen is gepasseerd als meest getroffen branche. De toename van kwetsbaarheden in API-beveiliging, cloud-misconfiguraties en zero-day exploits laat het veranderende dreigingslandschap zien, waardoor organisaties meer proactieve verdediging moeten toepassen. Ook de regelgevende controle is aangescherpt, met forse boetes en nalevingsverplichtingen die de kosten van datalekken verder verhogen. De aanval op Change Healthcare liet bijvoorbeeld de kettingreactie van één enkel datalek op een hele sector zien, wat het belang benadrukt voor organisaties om hun ecosysteem-brede risico’s te evalueren.

Vooruitkijkend moeten bedrijven een zero-trust beveiligingsmodel hanteren, dataminimalisatie prioriteren en investeren in geavanceerde detectietechnologieën om toekomstige datalekken te beperken. De toenemende aanwezigheid van AI-gedreven aanvallen vereist een verschuiving van reactieve beveiligingsstatus naar voorspellende en adaptieve cyberbeveiligingskaders. Naarmate cybercriminelen hun technieken verfijnen, moeten organisaties vooroplopen met continue monitoring, robuuste toegangscontroles en sterkere nalevingsinspanningen. Door deze maatregelen te implementeren, kunnen bedrijven hun risico’s verkleinen en hun gevoelige data beter beschermen in een steeds vijandiger digitaal landschap.

Bronnen