De week in Breach-nieuws 4 maart 2026

Naar verluidt zouden meer dan 42 miljoen gebruikersaccounts zijn getroffen tijdens het datalek in oktober 2025 bij de Canadese retailgigant Canadian Tire.

Het incident kwam op 2 oktober 2025 aan het licht, toen het bedrijf onbevoegde toegang tot zijn e-commercedatabase constateerde. Dit was een van de grootste datalekken in de detailhandel in Canada. Canadian Tire verklaarde destijds dat de gelekte gegevens namen, e-mailadressen, geboortedata, versleutelde wachtwoorden en, in sommige gevallen, gedeeltelijke creditcardnummers omvatten. Vorige week heeft de website voor datalekmeldingen Have I Been Pwned de bijbehorende dataset bijgewerkt en gemeld dat meer dan 42 miljoen records bij het incident waren getroffen, waaronder meer dan 38 miljoen unieke e-mailadressen.

Volgens de website bevatten de gelekte gegevens, naast wat het bedrijf aanvankelijk had bekendgemaakt, ook adressen, telefoonnummers en informatie over het geslacht. Canadian Tire heeft het bijgewerkte aantal getroffen personen nog niet publiekelijk bevestigd.

Bij weer een cyberincident waarbij een enorme hoeveelheid gebruikersgegevens is gelekt, zijn waarschijnlijk zo’n 38 miljoen mensen getroffen door een datalek bij de Europese doe-het-zelfketen ManoMano.

De aanval, die in januari plaatsvond, kwam deze week aan het licht toen ManoMano begon met het informeren van mogelijk getroffen klanten. Het bedrijf verklaarde dat het lek te wijten was aan een gehackte onderaannemer binnen de klantenserviceafdeling. Hoewel ManoMano niet heeft aangegeven welk platform precies was getroffen, wijzen berichten erop dat de aanvallers toegang hebben gekregen tot de Zendesk-omgeving die wordt gebruikt voor klantenondersteuning.

Ondertussen heeft een cybercrimineel met de naam Indra op het hackforum BreachForums de verantwoordelijkheid opgeëist en verklaard dat er ongeveer 43 GB aan gegevens is gestolen. De cybercrimineel beweert dat de gegevens informatie bevatten die verband houdt met 37,8 miljoen gebruikersaccounts, meer dan 900.000 servicetickets en ruim 13.000 bijlagen.

Gelekte gebruikersgegevens blijven het thema van de week, aangezien de persoonlijke en financiële gegevens van miljoenen CarGurus-gebruikers mogelijk openbaar zijn gemaakt nadat een groep cybercriminelen een enorme dataset heeft gepubliceerd die naar verluidt is gestolen van de in de VS gevestigde automarktplaats.

De ransomwaregroep ShinyHunters heeft CarGurus toegevoegd aan haar op Tor gebaseerde lekwebsite en beweert dat zij persoonlijk identificeerbare informatie (PII) en interne bedrijfsgegevens heeft gestolen. Hoewel de groep aanvankelijk verklaarde 1,7 miljoen records te hebben buitgemaakt, heeft zij later een archief van 6,1 GB vrijgegeven dat naar verluidt gegevens bevat die verband houden met ongeveer 12,4 miljoen accounts. De gelekte informatie zou onder meer bestaan uit e-mailadressen, IP-adressen, volledige namen, telefoonnummers, fysieke adressen, gebruikersaccount-ID's, gegevens over financiële prekwalificaties, resultaten van financieringsaanvragen, accountgegevens van dealers en abonnementsinformatie.

CarGurus heeft het incident inmiddels bevestigd en is een onderzoek gestart met de hulp van een toonaangevend onafhankelijk cyberbeveiligingsbedrijf.

De ransomwaregroep Qilin heeft de afdeling Local 100 van de Transport Workers Union of America (TWU) toegevoegd aan haar website voor gelekte gegevens. De groep beweert dat ze de organisatie heeft gehackt en alle gestolen gegevens op het dark web heeft gepubliceerd.

TWU Local 100 vertegenwoordigt tienduizenden werknemers in de vervoerssector in en rond New York City. Hoewel de ransomwaregroep geen informatie heeft vrijgegeven over de omvang of het soort gestolen gegevens, wijzen berichten erop dat het incident mogelijk gevolgen heeft gehad voor de persoonlijk identificeerbare informatie (PII) en de beschermde gezondheidsinformatie (PHI) van ongeveer 67.000 actieve en gepensioneerde leden.

Hennessy Advisors, Inc., een in Californië gevestigde beleggingsmaatschappij, heeft een cyberbeveiligingsincident gemeld waarbij de persoonsgegevens van meer dan 12.000 personen zijn getroffen.

Volgens een aangifte bij het kantoor van de procureur-generaal van Maine vond het incident plaats op 30 maart 2025 als gevolg van een inbreuk op een extern systeem. Tijdens het incident heeft een onbevoegde persoon toegang verkregen tot het netwerk van het bedrijf en mogelijk gegevens verkregen die persoonlijk identificeerbare informatie (PII) bevatten, waaronder namen in combinatie met rijbewijsnummers en financiële rekeninggegevens.