De week in Breach-nieuws 16 september 2026

Het Britse fintechbedrijf Revolut heeft bevestigd dat het per ongeluk gevoelige gegevens van bijna 700 klanten heeft overgedragen aan oplichters die zich voordeden als overheidsfunctionarissen.

Revolut heeft bekendgemaakt dat een fraudeur een echt e-mailaccount op het domein van een echte overheidsinstantie heeft gebruikt om frauduleuze verzoeken om gegevens te versturen. De berichten doorstonden de technische authenticatiecontroles van de bank en werden verwerkt als standaardverzoeken in het kader van naleving van de wetgeving, aangezien de systemen van Revolut geen manier hadden om ze te onderscheiden van legitieme verzoeken. De per ongeluk openbaar gemaakte informatie omvat adressen van klanten, verificatiefoto’s, identiteitskaarten en bitcoin-activiteiten van ongeveer 680 klanten.

Hackers die beweren verantwoordelijk te zijn voor het incident, dreigen nu de gestolen gegevens openbaar te maken, tenzij Revolut losgeld betaalt.

Het in Texas gevestigde energiebedrijf CenterPoint Energy heeft in een rapport aan de Securities and Exchange Commission (SEC) bevestigd dat er een datalek bij klanten heeft plaatsgevonden.

Het bedrijf meldde dat een onbevoegde derde partij via een van zijn naar buiten gerichte systemen de persoonsgegevens van een deel van zijn klanten heeft verkregen. CenterPoint Energy verklaarde dat het op dit moment niet verwacht dat het incident een wezenlijke invloed zal hebben op zijn financiële positie of bedrijfsresultaten, en bevestigde dat zijn elektriciteits- en gasleveringsdiensten niet zijn getroffen en volledig operationeel blijven.

Het bedrijf heeft verder laten weten dat het van plan is de getroffen klanten en toezichthoudende instanties hiervan op de hoogte te stellen, zoals wettelijk vereist, en dat het de zaak al heeft gemeld bij de wetshandhavingsinstanties en bepaalde toezichthoudende instanties.

Veiligheidsonderzoekers stellen dat AI-agenten die door OpenAI werden getest, de softwaredienst RubyGems hebben aangevallen, twee maanden voordat ze op eigen initiatief het open-sourceplatform Hugging Face hackten.

De cyberbeveiligingssector worstelde al met de onthulling dat de autonome testmodellen van OpenAI waren ontsnapt uit een afgeschermde testomgeving en zelfstandig Hugging Face hadden aangevallen in een meerfasige cyberinbraak, die algemeen wordt beschouwd als een van de eerste openbaar gemaakte voorbeelden van een AI-systeem dat autonoom een echt extern systeem heeft gecompromitteerd. Uit rapporten blijkt nu dat dezelfde AI-agenten, die doorgaans worden ingezet voor routinetaken zoals het opstellen van rapporten of het invullen van spreadsheets, twee maanden eerder RubyGems lijken te hebben gebruikt om toegang te krijgen tot openbaar beschikbare gegevens als onderdeel van een trainingsronde.

Deze nieuwste onthulling komt op een moment dat er steeds meer wordt aangedrongen op strengere regelgeving voor AI-modellen en de omgevingen waarin deze worden getest en ingezet.

Op 8 september heeft Microsoft een recordaantal van 974 kwetsbaarheden in zijn producten verholpen, waaronder twee zero-day-kwetsbaarheden die in het wild al actief werden misbruikt.

De eerste misbruikte zero-day, CVE-2026-85880, is een heap-buffer-overflow-probleem in de Windows Advanced Local Procedure Call (ALPC), waardoor een lokale aanvaller systeemrechten zou kunnen verkrijgen. De tweede, CVE-2026-81963, is een fout in de linkresolutie van de Windows Update-stack, waardoor lokale aanvallers eveneens hun rechten kunnen uitbreiden tot op systeemniveau. Microsoft heeft patches uitgebracht voor 723 kwetsbaarheden in Windows en 222 beveiligingsfouten in zijn Office-suite verholpen, waaronder 111 in Office 2016.

Er zijn nog meer beveiligingsproblemen verholpen in SQL (62 oplossingen), Developer Tools (22), SharePoint Server (16), Azure (12), Skype for Business (10) en Exchange Server (9).

Het Florida Department of Highway Safety and Motor Vehicles (FLHSMV) heeft bekendgemaakt dat het een onderzoek instelt naar een datalek dat is gepleegd door wat het omschrijft als een internationale cybercriminele organisatie.

In een verklaring die op 11 september werd gepubliceerd, verklaarde de FLHSMV dat het beveiligingslek snel was verholpen en dat er momenteel geen sprake is van een voortdurend beveiligingslek, hoewel de dienst niet heeft bekendgemaakt tot welke gegevens mogelijk toegang is verkregen of welke gegevens mogelijk zijn gestolen. De FLHSMV heeft het kantoor van de procureur-generaal op de hoogte gesteld en werkt bij de afhandeling van deze zaak samen met de Florida Digital Service en het Florida Department of Law Enforcement. Er loopt een strafrechtelijk onderzoek; nadere details zullen worden bekendgemaakt zodra dit is afgerond.

De ransomwaregroep ShinyHunters zou de verantwoordelijkheid voor de aanval hebben opgeëist en het departement een deadline van 11 september hebben gesteld om te onderhandelen over een vergoeding in ruil voor het niet openbaar maken van de gestolen bestanden.