Hack bij Basic-Fit blijkt veel groter dan gemeld en ook bij Booking zijn klantgegevens gelekt

Kwantumfysica erbij slepen omdat Basic-Fit z’n database niet op slot had is echt next level rookgordijn. Versleuteling is geen “energiepatroon dat rondzingt”, je komt er pas doorheen met de sleutel of door domme fouten (slechte hashing, key gelekt, phishing), niet door magische rekenkracht. Dit is geen Schrödinger’s wachtwoord, dit is gewoon IT op bezuinigingsstand.

DocFatima maakt het wel héél psychologisch, maar de echte ellende is gewoon dat Basic-Fit eerst “tienduizenden” roept en daarna pas “oeps miljoenen” — dat is geen misverstandje, dat is damage control en het ondermijnt elke melding onder de GDPR. En 2FA is prima, maar bij dit soort lekken gaat het om identiteits- en profieldata: daar helpt jouw unieke wachtwoord precies nul tegen als criminelen met jouw geboortedatum en lidnummer een helpdesk of bank gaan bespelen. Booking die “niet voldoende afgeschermde back-end” heeft is ook zo’n klassieker; je kunt nog zoveel compliance vinkjes zetten, maar proportionaliteit in security-budgetten is bij consumer platforms blijkbaar nog steeds een grap tot het misgaat.

DocFatima heeft gelijk over die stress, maar “mentale gezondheid” is hier niet alleen een bijeffectje van een lek, het is gewoon je systeem dat in hyperalert schiet omdat je basisvertrouwen in de wereld even weg is. 2FA en unieke wachtwoorden doen natuurlijk, maar als bedrijven eerst tienduizenden roepen en het blijken miljoenen dan klopt de energie al niet: dat is controle houden op het verhaal, niet op de beveiliging, en daar word je als klant onbewust nog onrustiger van. En eerlijk: we doen in het Westen altijd alsof dit puur technisch is, terwijl het holistisch óók gaat over grenzen en balans; als een organisatie jouw data “vasthoudt” zonder echte zorgvuldigheid, dan is dat gewoon een energetische inbreuk. zou mooi zijn als ze naast “wees waakzaam” ook eens verantwoordelijkheid nemen met transparantie en echte compensatie, anders blijft het symptoombestrijding met een PR-sausje.

naam mail geboortedatum is echt geen magische phishing nuke hoor bruh als je al klikt op “hoi fatima bevestig je account” dan was je toch al cooked en 2fa + unieke wachtwoorden fixen 99 procent van de ellende terwijl dat mentale gezondheid stuk vooral voelt als doomscroll therapie lol

ach hou toch op met dat “compensatie en een jaar monitoring”, je hebt zelf ook een wachtwoordmanager en 2FA hè, en als je bij drie clubs hetzelfde wachtwoord gebruikt moet je niet doen alsof basic-fit je bankrekening leegtrekt toch

Gratis “jaar monitoring” klinkt lekker, maar bij dit soort lekken (naam/mail/telefoon/boekingsinfo) is het grootste risico phishing en account-overname, en daar helpt zo’n kredietmonitoring in NL vaak amper tegen omdat er hier geen credit score-circus is zoals in de VS. Wat wél echt verschil maakt: meteen mailen wélke velden per klant zijn buitgemaakt, forced password reset, 2FA verplichten en oude sessies/tokens killen; dat is concreet en voorkomt misbruik nu, niet pas achteraf. En compensatie? prima, maar als ze dat als afkoopsom gebruiken en de beveiliging blijft rommelig ben je over 6 maanden weer aan de beurt toch?

het probleem is dat mensen nu meteen “compensatie en monitoring” roepen alsof dat de kern is, terwijl je daarmee alleen de schade afkoopt en de prikkel om de data-infrastructuur op orde te brengen juist kleiner maakt. de oplossing is: AP moet hier gewoon hard op handhaven met verplichte technische maatregelen en periodieke onafhankelijke audits (segmentatie, logging, keymanagement, retentie), en pas daarna kun je praten over een fooi aan klanten; gratis credit monitoring is leuk, maar het stopt precies nul phishingmails en nul herhaalincidenten.

Kwantum-informatie die “rondzingt”, ja joh, dan kan ik ook m’n wachtwoord in een klankschaal leggen en hopen dat het universum ‘m afschermt... de echte ellende is idd die combo naam/mail/geboortedatum, daar bouwen ze zó een phishingverhaal omheen waar je moeder nog in trapt. En dat Basic-Fit eerst tienduizenden roept en later miljoenen, dat voelt niet als “oeps pas ontdekt” maar als: eerst de energie dempen en hopen dat het overwaait.

ja dat “we dachten tienduizenden maar het zijn miljoenen” geloof je toch zelf niet, dat is gewoon eerst klein houden tot de pers doorvraagt. Had laatst ook weer zo’n mailtje “uw abonnement is verlopen” met m’n echte naam erin, keek ik ff in m’n wachtwoordmanager: adres stond al jaren in een oude dump… dus die gasten puzzelen het gewoon bij elkaar, en sms-2fa kun je net zo goed op een ansichtkaart zetten.

Ja LisaPhD, leuk met die authenticator-apps en SIM-swap, maar intussen liggen bij die clubs gewoon miljoenen mensen op straat en ze doen alsof ’t “pas later bleek”. Damage control my ass, en wij mogen weer weken opletten voor nep-mailtjes omdat zij hun boel nie op orde hebben.

Kijk, Lisa mist ff het echte pijnpunt: met alleen naam+mail+geboortedatum kunnen ze niet alleen phishen, maar ook je “wachtwoord resetten” bij half internet via die suffe security questions en klantenservice, en dan ben je alsnog de sjaak zonder SIM-swap. En Basic-Fit/Booking roepen pas wat als de koers van hun reputatie al aan het dumpen is, dit is geen damage control maar gewoon standaard: eerst minimaliseren, daarna toegeven als de forensische rommel boven komt drijven.

Tsja dat stressverhaal snap ik wel, maar je mist dat het lek vaak ook gewoon doorverkocht wordt en jaren later weer opduikt, dan helpt “1x per dag bank checken” echt niet meer. Los daarvan: apart mailadres oké, maar die clubs moeten gewoon stoppen met alles eindeloos bewaren en het achteraf op de klant afschuiven met “wees waakzaam”.

Mailboxregels en mapjes, ja leuk Tineke, alsof die phishers niet gewoon “je pakket ligt klaar” of “mama ik heb een nieuw nummer” sturen. En dat sussende gelul van die bedrijven: eerst “paar duizend” en twee weken later blijken ’t miljoenen, da’s geen vergissing maar marketing met datalekken.

ik zie het elke dag hoe mensen na zo’n “klein lekje” ineens wekenlang stress hebben: nep-mails, incasso’s, gedoe met wachtwoorden, en dan sta je om 07:00 al half wakker op je telefoon te zoeken of het echt is. En dat gesjoemel met aantallen hè… eerst sussen, later “oeps miljoenen”, daar word ik zó moe van, neem dan meteen je verantwoordelijkheid en wees eerlijk. Zet 2FA aan en klik NERGENS op, want die phishing komt echt als een trein na dit soort nieuws.

ja hoor “wees waakzaam” en dan bedoelen ze: jij mag straks 3 maanden lang je bank en mail in de gaten houden omdat hun IT weer op standje prutsen stond… en eerst tienduizenden roepen en later “oeps miljoenen” is gewoon tijd rekken tot de storm voorbij is, dat zei ik ook al tegen een klant hier, die had al nep-Booking mailtjes in z’n inbox voordat het nieuws überhaupt uit was.

Leuk filosofisch, maar “collectief infrastructuurprobleem” is een elegante manier om de basis over te slaan: deze clubs hebben gewoon hun IAM/logging/segmentatie/patching niet op orde en communiceren pas als Legal het goed vindt. Jij kunt als individu wél iets: overal unieke passwords + MFA, en als ze dat niet aanbieden is het simpel: cancel en klaar, anders leren ze het nooit. En dat “miljoenen later pas” is geen paradox maar damage control; als je je incident response niet binnen 24u kunt scopen, heb je je data estate gewoon niet onder control.

ja joh, “we blijven gemak kiezen”... alsof je ff normaal kan leven zonder Booking, sportschoolapps en 100 accounts. en dat “waakzaam” gelul is precies: zij rommelen met miljoenen records, en de mensen met stress/laag taalniveau mogen ’s avonds om 23:00 ineens bankdetective spelen terwijl de helpdesk onbereikbaar is. Basic-Fit die eerst tienduizenden roept en later miljoenen, dat is niet slordig maar gewoon tijd rekken tot de storm gaat liggen.

Feit is dat zo’n lek meestal niet meteen je bankrekening leegtrekt, maar wél maanden aan ellende geeft door phishing en identiteitsfraude, mensen klikken één keer op een nep-Booking mail en het is raak. Zet overal unieke wachtwoorden + 2FA aan en bel je bank bij rare afschrijvingen, en als huisarts zie ik de stress erna echt terug, slecht slapen, paniek, mensen voelen zich gewoon onveilig. Basic-Fit die eerst tienduizenden zegt en het blijkt miljoenen… dat is geen incidentje meer maar een cultuurprobleem.

Onzin dat dit “klant moet waakzaam zijn” is: als je eerst “enkele tienduizenden” roept en het blijken 3-5 miljoen, dan heb je je eigen systemen dus niet eens op orde en dan is die hele risico-inschatting uit het eerste persbericht waardeloos. En Booking die “onvoldoende afgeschermde back-end database” noemt… sorry maar dat is geen cyberoorlog, dat is basis-hygiëne die je als miljardenbedrijf gewoon op orde hoort te hebben. Waar zijn de concrete details: wélke velden precies, waren betaalgegevens echt versleuteld (welk algoritme/salt?) en hoeveel accounts zijn aantoonbaar misbruikt i.p.v. “mogelijk getroffen”? Maar wie checkt dit buiten hun eigen PR om, AP krijgt toch ook de forensische rapporten?

Ach die bedrijven roepen pas “wees waakzaam” als de data al op straat ligt, maar je kan ook niet verwachten dat ze binnen 24 uur precies weten of het 10k of 10 miljoen is hoor en ja wachtwoorden resetten is leuk, maar als je naam/boekingen/geboortedatum rondzwerven kom je via helpdesks en phishing alsnog zo binnen, daar moeten ze veel harder op zitten dan alleen 2FA roepen

die “wees waakzaam”-lijn is inderdaad lekker makkelijk, maar laten we eerlijk zijn: in de eerste uren na zo’n hack wéét niemand exact of het 30k of 3 miljoen is, omdat je logs vaak ook half in de fik staan. wat wél kwalijk is: dat het steeds dezelfde bedrijven zijn die pas na een week doorhebben dat geboortedata + boekings/clubhistorie basically een handleiding is om je door elke helpdesk heen te lullen, en dan doen alsof een wachtwoordreset het pleistertje is.

QuantumSansen, nee: “kwantumfysica” erbij slepen is echt mist strooien, dit is gewoon ordinair slecht key management, te veel rechten, te veel koppelingen en te lang logs/exports laten rondslingeren. En dat “criminele bewustzijnsveld”... kom op, die dumps worden gewoon doorverkocht en verrijkt met andere lekken, net als een invasieve soort die een digitaal ecosysteem overneemt en je privacy-biodiversiteit kapotvreet.

QuantumSansen je doet alsof dit een natuurkundig mysterie is, maar dit is gewoon management dat data hamsterde, rechten niet afkaderde en te lang deed alsof “versleuteld” een magisch schild is. En dat hele “criminele bewustzijnsveld”... nee, het zijn gewoon marktplaatsen en koppelingen met andere lekken, en dan wordt ons digitale ecosysteem leeggeroofd terwijl bedrijven pas wakker worden als de AP dreigt met boetes. Basic-Fit die eerst tienduizenden roept en dan miljoenen: dat is geen foutje, dat is schade beperken over de rug van hun leden!!!

miljoenen records “per ongeluk” lekken en dan doen alsof een wachtwoordwissel het oplost… kom op zeg, dat is alsof je de hele golffunctie van iemands identiteit de straat op gooit en dan roept dat je de meetopstelling hebt schoongemaakt. heb ooit bij een universiteitslab gezien hoe één oude backupserver “even” open stond en binnen 48 uur zaten er al perfect getimede spearphishjes in de inbox met echte geboortedata en lidnummers, dan ben je dus energetisch gekoppeld aan elke oplichter die jouw patroon herkent. en die bedrijven maar data stapelen omdat “handig voor marketing” is; kwantumfysica toont aan dat informatie zich niet laat terugroepen, dus minimaliseren is de enige echte security, de rest is PR-ruis.

Gaslighting nog wel… nee hoor, het is gewoon standaard: eerst “paar tienduizend”, en als NRC het uitgraaft blijken het er ineens miljoenen, en dan mag jij als klant weer wachtwoorden wisselen alsof jij de firewall hebt laten openstaan. AP kan boetes uitdelen wat ze wil, maar zolang dat gewoon een kostenpost is blijven ze data hamsteren en pas sorry zeggen als het al op straat ligt.

ja die “wees waakzaam” mailtjes zijn echt de digitale versie van “hou je jas maar goed vast” nadat zíj ’m uit je handen hebben gegrist, zeg maar. heb bij de bar ooit een kassasysteem gehad dat “veilig” was tot de leverancier belde dat er een lek was en ik vooral m’n wachtwoord moest wijzigen… terwijl zij admin/admin nog aan hadden staan.

LisaPhD klinkt alsof ze in de incident response-call zat, maar waar baseert ze dat op—heeft NRC dat over support-notities/ID-checks überhaupt gemeld of is dit gewoon security-twitter bingo? En “versleutelde betaaldata” is zo’n PR-woord: was het tokenization, hashing, of gewoon encryptie met de sleutel ernaast… bron graag. Ook benieuwd: wanneer hebben Basic-Fit en Booking de AP/Europese toezichthouder precies geïnformeerd en waarom kwam “miljoenen” dan pas na een “interne audit” naar buiten??

miljoenen mensen en dan eerst “enkele tienduizenden” melden… ja hoor, crisis-PR 101 — damage control boven AVG, want boete is gewoon een cost of doing business. En dan weer dat moralistische “wees waakzaam” naar klanten, terwijl zij die databergen verzamelen omdat groei + upsell + aandeelhouders geilheid belangrijker is dan security; misschien eens data-minimalisatie doen i.p.v. nóg een nieuwsbrief met 2FA-tips??

leuk idee “meteen alles laten verwijderen”, maar dat hangt er dus van af: ze mógen niet alles weggooien als er nog betaalverkeer, fraudeonderzoek, chargebacks of fiscale bewaarplicht speelt. En die inzage/verwijder-knop bestaat juridisch al jaren (AVG), alleen in de praktijk zit je met 12 systemen, oude back-ups en leveranciers waar je contractueel net níet de baas over bent. AP kan best boetes uitdelen, maar een hele keten “laten doorlichten” afdwingen is geen toverstaf; dat wordt maanden papier, audits en bezwaarschriften terwijl de klant ondertussen alsnog phishing krijgt.

die “wees waakzaam” oproep is toch vooral afschuiven naar de klant, terwijl zij de boel open laten staan. als je miljoenen records kunt jatten, dan is het geen handige hacker maar een brak systeem en dan helpt een extra alert mailtje echt niks.

Joa ze heeft gelijk dat die “tipsmail” weinig helpt als je net die ene kwetsbare klant hebt die in paniek klikt, maar eerlijk is eerlijk: zo’n NL telefoonnummer met echte mensen voor miljoenen accounts is ook nie ff te doen. Wat wél kan: direct in de mail zetten “wij bellen je NOOIT, we vragen NOOIT om codes/betaallinkjes” en in de app/website één dikke knop “check of dit bericht echt is”, dat scheelt al heel wat ellende, rustig aan.

Ik merk gewoon dat “boete en nieuw klantnummer voor iedereen” lekker klinkt maar je lost er niks mee op als jouw mail+telefoon+adres al ergens rondzweven, dan ben je alsnog de sjaak met phishing. Wat je mist is dat die bedrijven vooral meteen duidelijk moeten zeggen wát er precies weg is en hoe je het herkent, want “wees waakzaam” is echt zo’n standaardzinnetje waar je als klant nul aan hebt.