350 clubs, één leverancier

AllUnited, dat de ledenadministratie van sportverenigingen en bonden verzorgt, meldde woensdag dat een onbekende buitenstaander gegevens uit de database heeft gekopieerd. Het bedrijf heeft geen contact met de aanvaller, dus over herkomst en motief is niets bekend. De aanval vond maandagavond plaats. De Autoriteit Persoonsgegevens kreeg binnen twee dagen ruim 350 meldingen van clubs en verwacht dat het aantal verder stijgt.

Volgens NU.nl gaat het om namen, adresgegevens, wachtwoorden en bankrekeningnummers van leden. Onder de getroffen organisaties zijn de dambond, de cricketbond en de biljartbond; de hockeybond zegt AllUnited niet te gebruiken, maar blokkeerde de gegevensuitwisseling uit voorzorg. Bij hoeveel mensen precies iets is buitgemaakt, is nog onduidelijk.

De schade reikt verder dan de clubs zelf. Verenigingen bewaren in zulke systemen ook gegevens van jeugdleden, vrijwilligers, scheidsrechters en contributies. Een combinatie van naam, adres en rekeningnummer is bruikbaar voor fraude met automatische incasso’s en voor phishing die precies de toon van de club weet te treffen.

Opvallend is hoe klein het aantal leveranciers is waar duizenden verenigingen van afhangen. Wie bij één zo’n partij binnenkomt, kijkt in één keer mee in de administratie van honderden clubs. De AP verwacht dat het aantal meldingen de komende dagen verder oploopt; voor de verenigingen begint dan het werk van leden informeren en wachtwoorden vervangen.