Security (b)log: juni 2026

vrijdag 26 juni 2026

Mentaliteit en realiteit

Afbeelding: Unsplash

“De mentaliteit is aan het omslaan. Nu de realiteit nog”, verzuchtte een collega. Kun je raden over welk onderwerp dit gesprek ging? Het zou over best wel veel dingen kunnen gaan, bedenk ik net. Bijvoorbeeld over gezond eten, roken, bewegen, noem maar op. Maar hé, dit is wel de Security (b)log hè.

Het gesprek ging over ICT in relatie tot de geopolitieke situatie. Dat laatste is een nette manier om te zeggen: we vinden de Amerikanen niet meer zo lief als vroeger (omdat ze ons pesten). Vooruit, het gaat niet alleen om het wispelturige gedrag van de VS. Ook een land als China maakt het ons niet makkelijk: we kunnen niet zonder hen, maar we willen liever niets met ze te maken hebben. Maar op ICT-gebied zijn toch vooral de Amerikaanse producten zichtbaar (de Chinese producten zitten verstopt in de hardware).

De hele discussie rondom digitale soevereiniteit draait erom dat we minder afhankelijk willen zijn van Amerikaanse ICT. Want ‘ze’ kunnen zo maar iets uitzetten of in onze gegevens snuffelen, is het sentiment in onze contreien. Dat voelt bepaald niet prettig. Europa wordt zich steeds bewuster van de noodzaak, maar ook de mogelijkheid, om zelfstandiger te worden. Dat bedoelde die collega met: “De mentaliteit is aan het omslaan.”

En de realiteit? We hebben onszelf lang wijsgemaakt dat we niet tegen de Amerikaanse techreuzen met hun schaalvoordeel op kunnen. Maar die zijn ook ooit uit het niets begonnen. En misschien is het in het begin een beetje duurder om je gegevens in een Europese cloud te stallen – als je eenmaal hebt besloten dat het anders moet, dan moet je ook bereid zijn daar een prijs voor te betalen. Maar het hoeft helemaal niet duurder te zijn. Het kan zelfs goedkoper zijn. De Office-toepassingen van Microsoft kosten geld, terwijl bijvoorbeeld LibreOffice en FreeOffice (beide juridisch in Duitsland gevestigd) helemaal gratis te gebruiken zijn.

Er zijn nog veel meer niet-Amerikaanse alternatieven voor Amerikaanse software. Ik werd getipt dat een OSINT-specialist van de FIOD daar een mooi overzicht van had gemaakt (OSINT = open source intelligence; inlichtingen vergaren uit openbare bronnen). Deze collega geeft alternatieven voor maar liefst 21 categorieën software. Ik noem er een paar: e-mail, VPN, browser, zoekmachine, AI-assistent, cloud & opslag, kaarten & navigatie. In elke categorie noemt hij de de facto standaard, gevolgd door diverse Europese alternatieven. En hij legt uit waarom de nummer 1 zijn voorkeur heeft. Het is niet zomaar een lijstje, hij heeft er echt onderzoek voor gedaan: reviews en discussies gelezen, informatie van websites gehaald, dingen zelf uitgeprobeerd. Dat heeft, met de hulp van AI, geresulteerd in een fraai document.

Het slechte nieuws is dat het overzicht niet online staat. Daarom geef ik hier een paar voorbeelden. Voor e-mail staat het Zwitserse Proton Mail op nummer één als alternatief voor Gmail en Outlook, “omdat het de sterkste encryptie combineert met onafhankelijke audits, een groot ecosysteem en het grootste bereik”. Als favoriete VPN-leverancier komt het Zweedse Mullvad naar boven, “omdat het de strengste invulling van privacy biedt: geen identiteit nodig, contant te betalen en herhaaldelijk geaudit”. Ook in de categorie browser staat Mullvad bovenaan, “omdat het de fingerprint-bescherming van Tor combineert met de snelheid van een gewone browser”.

Als zoekmachine kun je het beste Qwant uit Frankrijk gebruiken: “geen profilering, en bruikbare resultaten voor dagelijks gebruik”. In die categorie wordt ook Mojeek genoemd, met als pluspunt dat het een eigen index gebruikt (en dus niet op de resultaten van Google of Bing leunt). Voor kunstmatige intelligentie kun je terecht bij het Franse Mistral Le Chat/Vibe of, als vertrouwelijkheid belangrijk is, bij het Zwitserse Proton Lumo. Bij datzelfde Proton kom je ook uit voor cloudopslag, “omdat het versleuteling, gemak en integratie met de rest van je Proton-account combineert”. En als je van Google Maps af wilt, kijk dan eens naar Organic Maps: “snel, gratis, offline en zonder enige tracking”.

Toen ik eind vorige eeuw voor het eerst in New York was, hield een dronken Ier een rede in de metro. Zijn jammerklacht betrof het verdwijnen van een rechtstreekse verbinding tussen New York en Shannon Airport, en zijn steeds herhalende riedel eindigde steevast met: “It’s all a matter of economics.” En zo is het ook met onze digitale soevereiniteit: het is allemaal economisch gedreven. Het verschil is wel dat jij zelf, als je dat wilt, iets kunt doen om weer baas van je eigen data te worden.

Op 2 en 4 juni was ik met Security (b)log LIVE op de Liefde voor je vakweek. Collega’s waren uitgenodigd om hun verhaal te vertellen. Deze blog is de tweede uit een serie waarin deze input is verwerkt.

En in de grote boze buitenwereld …

vrijdag 12 juni 2026

Lekkende cruise

Afbeelding: Unsplash

Ze hadden hun zoveelste cruise gemaakt. Ook deze keer hadden ze droge voeten gehouden, maar er was toch een lek geweest, zo bleek achteraf. Een datalek. En net als destijds bij de Titanic werd er gedaan alsof er niets aan de hand was.

Onze opvarenden hadden geen persoonlijk bericht ontvangen over het feit dat hún data waren gelekt. Ze kwamen er slechts bij toeval achter. In Europa wapperen we dan al snel verontwaardigd met de AVG: ze moeten me toch inlichten als mijn gegevens lekken?! Maar zo eenvoudig ligt het niet. Om te beginnen moet de lekkende organisatie zelf bepalen of een melding bij de Autoriteit Persoonsgegevens (AP) vereist is. Dat hoeft niet als “het niet waarschijnlijk is dat het datalek een risico oplevert voor de rechten en vrijheden van betrokkenen”, zo valt bij de AP te lezen. De gelekte informatie bevatte persoonsgegevens (onder andere van de varende collega), dus daar kom je waarschijnlijk niet mee weg.

Vervolgens moet de lekkende partij dit melden bij de slachtoffers, en nu komt het: áls het datalek waarschijnlijk een hoog risico voor hen oplevert. Ook deze inschatting moet de organisatie zelf maken, uiteraard gebaseerd op de AVG-regels. Als persoonsgegevens zijn gestolen door een hacker, dan is het risico wel duidelijk, aldus de AP. Met deze situatie hebben we hier inderdaad te maken: vorige maand stuurde Carnival Corporation, het moederbedrijf van Carnival Cruise Line, brieven naar klanten over een cyberbeveiligingsincident (maar dus niet naar álle klanten). Een maand eerder wist een aanvaller via social engineering toegang te krijgen tot IT-systemen van Carnival en heeft hij persoonlijke gegevens van klanten gekopieerd. Het gaat daarbij om naam, e-mailadres, geboortedatum, geslacht en nog wat specifieke Carnival-gegevens.

Het hoofdkantoor van Carnival Corporation is gevestigd in Miami. Aha, hoor ik je beteuterd denken, dat ligt ruim buiten de EU, dan heb ik niks aan die mooie AVG. Fout! De AVG kent, met een chic woord, extraterritoriale werking: als een bedrijf van buiten de EU zich (ook) op de Europese markt richt, dan valt het onder de AVG. En als ik het allemaal bij elkaar optel, dan lijkt me dat een persoonlijke melding aan de betrokkenen hier wel aan de orde is.

Tenzij… Ja, tenzij de gegevens versleuteld waren, het datalek is beëindigd voordat iets met de data kon worden gedaan, of het informeren van alle slachtoffers een onevenredige inspanning van het bedrijf zou vergen, bijvoorbeeld omdat ze geen contactgegevens (meer) hebben. In dat laatste geval mogen ze het in de krant of op social media zetten.

Kortom: zo gemakkelijk is het nog niet. We weten wel hoe het in dit geval is gelopen: niet. Daarom vroeg de gelekte collega mij wat je in zo’n geval zelf kunt doen. De AP heeft daar een mooi overzicht van gemaakt. Daar staat onder andere in dat je gelekte wachtwoorden moet wijzigen; dat is inderdaad het allereerste wat je doet. Ze zeggen dat je ook bij andere accounts en apps je wachtwoord moet wijzigen, als dat hetzelfde is als het gelekte wachtwoord. Nu zie je meteen waarom je geen wachtwoorden moet hergebruiken: je krijgt het druk na een lek. Want die criminelen gaan je wachtwoord van website A gewoon uitproberen bij website B tot en met Z. Uiteraard had je overal waar dat kan al lang multifactorauthenticatie aan staan.

Je moet na zo’n lek ook extra alert zijn op phishing. Die phishing kan geraffineerder zijn dan de 13-in-een-dozijn phishingmailtjes, omdat ze nu niet alleen je e-mailadres hebben, maar nog veel meer informatie, waarmee ze de mailtjes lekker persoonlijk kunnen maken.

Met alleen maar een bankrekeningnummer (IBAN) of BSN kan een crimineel niet veel, stelt de AP ons gerust. Maar let wel op voor de combinatie van gegevens – een kopietje van je ID-bewijs kan een gamechanger zijn als het om identiteitsfraude gaat.

Samengevat: wees alert…