Op 10 maart 2023 heeft een crimineel ingebroken in de systemen van Nebu, een softwareleverancier voor marktonderzoek. De inbreker was uit op de consumentengegevens van een aantal Nederlandse marktonderzoeksbureaus. Die bureaus gebruikten de software van Nebu B.V. Bij deze inbraak (datalek) lijken persoonsgegevens van ongeveer twee miljoen Nederlanders betrokken te zijn.

Tot dusverre hebben 139 organisaties bij de Autoriteit Persoonsgegevens gemeld dat hun klantgegevens waarschijnlijk gestolen zijn. Het datalek lijkt voornamelijk te bestaan uit contactgegevens zoals naam en e-mailadressen, maar bevat ook enkele inkomensgegevens. In een klein aantal gevallen is het mogelijk dat er ook meer gevoelige persoonlijke informatie is buitgemaakt.

Een van de opdrachtgevers van Nebu, marktonderzoeksbureau Blauw Research B.V., spande een rechtszaak aan tegen Nebu wegens gebrekkige informatieverstrekking over dit datalek. Blauw heeft enkele grote klanten, waaronder NS, VodafoneZiggo, CZ, Trevvel. Volgens Blauw duurde het twee weken voordat Nebu het datalek meldde. Sinds het bekend worden van de diefstal is Nebu bovendien slecht bereikbaar en geeft het nauwelijks informatie over het lek.

Op 6 april jl. beval rechtbank Rotterdam Nebu om informatie over het datalek aan Blauw te verstrekken. Omdat Nebu niet heeft aangegeven of de gegevens van (de klanten van) Blauw nu wel of niet gestolen zijn, heeft de rechter Nebu ook opgedragen onafhankelijk forensisch onderzoek te doen naar het incident (bron: privacy-web.nl). 

Een dergelijk datalek verhoogt het risico op phishing-aanvallen en andere vormen van oplichting. Kwaadwillenden kunnen de gestolen contactgegevens gebruiken om de slachtoffers te verleiden toegang te verlenen tot hun rekeningen of, in het ergste geval, om banktransacties te verrichten. Daarom is het erg belangrijk dat slachtoffers tijdig op de hoogte worden gebracht van een inbraak. Dan kunnen ze snel actie kunnen ondernemen, zoals het wijzigen van hun wachtwoord.

The fact that it takes Nebu over 2 weeks to report the breach left the victims exposed for too long. SOMI is currently investigating this case and we are determined to find out whether this breach has caused any damages to the people in the Netherlands. There might be a possibility for SOMI to initiate a claim on this incident.