De week in Breach-nieuws 9 september 2026

De FBI heeft op 2 september bekendgemaakt dat zij een onderzoek instelt naar een mogelijk datalek waardoor mogelijk meer dan 153 miljoen rijbewijzen van inwoners van de VS en Canada openbaar zijn gemaakt.

Een darkweb-site met de naam Nexus beweert miljoenen digitale scans te verkopen van identiteitsdocumenten van meer dan 170 miljoen mensen in Noord-Amerika. De gestolen gegevens zouden meer dan 153 miljoen rijbewijzen, ruim 10 miljoen identiteitskaarten en meer dan drie miljoen reisdocumenten en internationale identiteitsbewijzen omvatten. De FBI heeft bevestigd dat zij het incident onderzoekt, maar heeft geweigerd verder commentaar te geven aangezien het onderzoek nog loopt.

Als deze beweringen kloppen, zou dit een van de grootste lekken van door de overheid uitgegeven identiteitsdocumenten kunnen zijn die ooit in Noord-Amerika zijn geregistreerd, waardoor tientallen miljoenen mensen het risico lopen op identiteitsdiefstal en fraude.

Bij een nieuw grootschalig datalek worden naar verluidt 32,8 miljoen gebruikersrecords van Condé Nast op een Russischtalig cybercriminaliteitsforum te koop aangeboden voor 15.000 dollar.

Condé Nast is een Amerikaans massamediabedrijf met een zeer populair uitgeversportfolio, waaronder Vogue, The New Yorker, GQ, Glamour, WIRED en Vanity Fair. De database, die naar verluidt op 7 september 2026 te koop werd aangeboden, zou 32.815.767 gebruikersrecords bevatten, waaronder e-mailadressen, namen, postadressen, geslacht, geboortedata en telefoonnummers. De lijst bevat geen wachtwoorden, wachtwoord-hashes, gebruikersnamen of betaalkaartgegevens.

Condé Nast heeft het datalek op dit moment nog niet publiekelijk bevestigd en heeft ook nog geen reactie gegeven op de verkoopadvertentie.

Ook de ANZ-regio raakte verstrikt in deze golf van grootschalige datalekken: opleidingsaanbieder Mathspace heeft bevestigd dat meer dan een miljoen mensen, waaronder leerlingen, schoolpersoneel en ouders, het slachtoffer zijn geworden van een recent datalek.

Mathspace heeft bevestigd dat onbevoegden tussen 10 en 27 augustus toegang hebben gekregen tot een intern rapportagesysteem door misbruik te maken van een beveiligingslek in de zelfgehoste software-installatie. Een beveiligingspatch die het incident had kunnen voorkomen, was tijdens de betreffende periode niet geïnstalleerd. De geëxporteerde gegevens omvatten gebruikers-ID’s, gebruikersnamen, voor- en achternamen, e-mailadressen, landen, tijdzones, gebruikerstypen, de status van de e-mailverificatie, de datum van de laatste activiteit, de datum van de laatste aanmelding en de datum van aanmelding.

Het bedrijf verklaarde dat het nog niet heeft vastgesteld wie verantwoordelijk was voor het datalek en dat het tot nu toe geen aanwijzingen heeft gevonden dat de gestolen gegevens zijn gepubliceerd, gedeeld of verkocht. Mathspace bevestigde dat in totaal 1.079.819 mensen in Australië en Nieuw-Zeeland hierdoor zijn getroffen.

Een cyberaanval in juni op Baylor Genetics, een in Texas gevestigd bedrijf op het gebied van klinische genomica, leidde tot het openbaar worden van elektronische beschermde gezondheidsgegevens (ePHI) van bijna 2,8 miljoen mensen.

Baylor Genetics, een bedrijf dat zich bezighoudt met klinische diagnostische genomica en genetische testdiensten levert aan ziekenhuizen, heeft op of rond 15 juni 2026 verdachte activiteiten binnen zijn computernetwerk vastgesteld. Uit een daaropvolgend onderzoek is gebleken dat een onbevoegde derde partij tussen 11 en 17 juni 2026 toegang heeft gekregen tot een deel van het IT-netwerk. Het datalek is inmiddels toegevoegd aan de website van het HHS Office for Civil Rights, waarmee wordt bevestigd dat de ePHI van 2.810.878 personen bij het incident is blootgesteld of gestolen.

De gelekte gegevens omvatten namen, geboortedata, informatie over medische onderzoeken, laboratoriumuitslagen en gegevens over de ziektekostenverzekering. Bij een beperkt aantal patiënten zijn ook hun burgerservicenummers gelekt.

Twee vooraanstaande Amerikaanse advocatenkantoren, Quinn Emanuel en McDermott, hebben op 3 september beiden bevestigd dat er datalekken hebben plaatsgevonden.

Quinn Emanuel verklaarde dat het onbevoegde toegang tot opgeslagen bestanden had vastgesteld via één tijdelijk gehackt gebruikersaccount binnen één softwareapplicatie, waarbij een beperkt aantal cliëntdocumenten was getroffen en de betrokken partijen reeds op de hoogte waren gebracht. McDermott bevestigde afzonderlijk een op zichzelf staand incident van social engineering waarbij één gebruiker en een beperkt aantal documenten betrokken waren. Het is onduidelijk of de twee inbreuken verband hielden met elkaar en wie verantwoordelijk was voor elk van beide incidenten.

Deze twee incidenten zijn de meest recente in een toenemende reeks aanvallen op Amerikaanse advocatenkantoren. Grote kantoren, waaronder Herbert Smith Freehills Kramer, Goodwin Procter en WilmerHale, hebben de afgelopen maanden allemaal melding gemaakt van datalekken.