Datalek bij AllUnited treft ledengegevens van sportbonden
Een aanvaller heeft gegevens van diverse sportverenigingen en spelers gekopieerd uit AllUnited, het systeem waarmee diverse sportbonden hun ledenadministratie bijhouden. Het gaat onder andere om namen, adressen, geboortedata en, als die zijn ingevoerd, rekeningnummers.
Dat meldt onder meer de Koninklijke Nederlandse Cricket Bond (KNCB). De aanvaller maakte op maandagavond 9 november 2026 misbruik van een fout in de software van AllUnited en kon daardoor gegevens uit de database kopiëren. AllUnited ontdekte het lek op 10 november en dichtte het dezelfde dag.
Kans op cybercrime
Onder naam de naam, adres en woonplaats, e-mailadres en telefoonnummer, geboortedatum en geboorteplaats van betrokkenen is gestolen. Ook rekeningnummers (IBAN) zijn buitgemaakt, voor zover die in AllUnited stonden. Leden met een AllUnited-account zijn bovendien hun inloggegevens kwijt. Daarnaast staan er andere gegevens in een ledenrecord, zoals lidnummer, team, functie en opmerkingen. Bij jeugdleden gaat het om de gegevens van het kind.
Volgens de KNCB kunnen criminelen de gegevens gebruiken om mensen te misleiden. Ze kunnen berichten versturen die van de bond of van AllUnited lijken te komen en om betaling van contributie of een boete vragen, bijvoorbeeld via een link. Ook kunnen ze een betaalverzoek sturen of zich met de gestolen gegevens voordoen als het lid zelf.
Maatregelen na het lek
Alle wachtwoorden zijn door AllUnited opnieuw ingesteld. Ook meldt het bedrijf extra beveiliging en controles in te voeren. De KNCB heeft het datalek gemeld bij de Autoriteit Persoonsgegevens. Leden krijgen een apart bericht over hun nieuwe wachtwoord. Wie het wachtwoord van AllUnited, de ClubApp of het ledenportaal ook op andere plekken gebruikt, krijgen het advies dit wachtwoord ook daar te wijzigen. Leden worden verder gevraagd alert te zijn op betaalverzoeken. Vragen over het lek kunnen worden gesteld aan Emil Buijs, office manager van de KNCB. De bond zegt leden op de hoogte te houden als er nieuwe informatie is.
Omdat de aanvaller over echte gegevens beschikt, kunnen nepberichten er overtuigend uitzien. Een voorbeeld is een mail van een afzender die op de ledenadministratie van een club lijkt. Daarin staat dat een incasso van de contributie is mislukt, met een betaallink en de dreiging dat het lidmaatschap binnen 48 uur wordt stopgezet. Echte gegevens in zo’n bericht, zoals naam, trainingsdag of de laatste cijfers van een rekening, bewijzen niet dat het bericht echt is.
Meer over Security
Over Wouter Hoeffnagel
