Gegevens verwijderen van het dark web: kan dat echt?

Je krijgt een melding: gegevens van jouw bedrijf zijn aangetroffen op het dark web. E-mailadressen, misschien wachtwoorden, soms meer. De eerste vraag is altijd dezelfde: kunnen we die gegevens laten verwijderen van het dark web?

Het eerlijke antwoord is nee. Gegevens die eenmaal op het dark web circuleren, krijg je er niet meer af. Dat klinkt hard, maar het is geen reden tot paniek — het betekent alleen dat je energie ergens anders heen moet. Niet naar verwijderen, maar naar het waardeloos maken van wat er staat.

In dit artikel leggen we uit waarom verwijderen niet werkt, wat je in plaats daarvan doet, en welke stappen er echt toe doen als jouw gegevens ergens opduiken.

Wat is het dark web eigenlijk?

Het internet dat je met Google doorzoekt, is maar een fractie van het geheel. Daaronder zit het deel dat niet geïndexeerd wordt: je webmail, klantportalen, interne systemen. Volstrekt normaal, en meestal gewoon je eigen werk.

Het dark web is nog een laag dieper. Het is alleen bereikbaar met speciale software zoals de Tor-browser, en verkeer wordt via meerdere tussenstations geleid zodat je moeilijk te herleiden bent. Die anonimiteit heeft legitieme toepassingen — journalisten en klokkenluiders gebruiken het — maar ze maakt het ook aantrekkelijk voor handel in gestolen gegevens.

Op handelsplaatsen daar worden datasets verkocht of gewoon gratis gedumpt: inloggegevens uit gehackte webshops, verzamelingen e-mailadressen, complete klantbestanden. Vaak jaren nadat het lek zelf plaatsvond.

Waarom verwijderen niet kan

Op het gewone web kun je een beheerder aanschrijven of een verzoek indienen op grond van de AVG. Dat werkt omdat er een verantwoordelijke partij is met een adres en een wettelijke plicht. Op het dark web ontbreekt precies dat.

Er zijn drie praktische obstakels:

• Geen aanspreekpunt. De site die je gegevens aanbiedt heeft geen bedrijfsnaam, geen contactadres en houdt zich per definitie niet aan de wet.
• Kopieën, overal. Zodra een dataset gedeeld is, staat hij op tientallen plekken. Eén bron offline halen verandert daar niets aan.
• Handhaving stopt bij de grens. Opsporingsdiensten halen soms een handelsplaats offline, maar de data zelf is dan allang gekopieerd.

Wees daarom sceptisch bij partijen die tegen betaling beloven je gegevens van het dark web te verwijderen. Wat ze in het beste geval doen, is verzoeken indienen bij legale datahandelaren op het gewone web. Nuttig, maar iets heel anders dan wat er beloofd wordt.

Wat je wél kunt doen

De juiste vraag is niet “hoe krijg ik dit weg”, maar “hoe zorg ik dat niemand er iets aan heeft”. Een gelekt wachtwoord dat nergens meer geldig is, is een waardeloos bestandje. Een e-mailadres dat bekend is bij oplichters, is vooral een reden om alerter te zijn op wat er binnenkomt.

Maak gelekte inloggegevens ongeldig

Wijzig het wachtwoord van elk account dat in het lek voorkomt, en van elk ander account waar hetzelfde wachtwoord is gebruikt. Dat laatste is meestal het echte werk. Gebruik daarna per account een uniek wachtwoord uit een wachtwoordmanager, zodat één lek nooit meer meerdere accounts raakt.

Zet daarnaast multifactorauthenticatie aan op alles wat belangrijk is. Dan is een gelekt wachtwoord op zichzelf niet genoeg om in te loggen. Welke vorm het beste werkt, lees je in welke MFA is het veiligst. Waar de dienst het ondersteunt, zijn passkeys nog een stap beter: er valt dan simpelweg geen wachtwoord te lekken.

Trek actieve sessies in

Een wachtwoordwijziging zet niet automatisch iedereen buiten de deur. In Microsoft 365, Google Workspace en de meeste clouddiensten kun je alle actieve sessies intrekken. Doe dat, anders blijft iemand die al binnen was gewoon meekijken.

Beperk wat er over je te vinden is

Naast het dark web bestaat er een grijze markt van legale datahandelaren en scrapers die profielen samenstellen uit openbare bronnen. Daar kun je wél iets doen: vraag verwijdering aan op grond van de AVG. In Nederland kun je bovendien je woonadres in het Handelsregister laten afschermen als je op je huisadres staat ingeschreven. Hoe minder er over je rondslingert, hoe lastiger het is om een geloofwaardige oplichtingspoging op maat te maken.

Verhoog je alertheid, tijdelijk en gericht

Na een lek volgt vaak een golf phishing gericht op precies die adressen. Waarschuw het team, zeker de mensen die betalingen doen. Reken op berichten die kloppen qua naam, functie en soms zelfs qua lopend project — zie Phishing 2.0.

Hoe dat er in de praktijk uitziet

Een adviesbureau met twintig medewerkers krijgt bericht dat vier zakelijke e-mailadressen met bijbehorende wachtwoorden in een verzameling oude datalekken staan. Het lek zelf komt van een online dienst die het bureau in 2019 een half jaar heeft gebruikt.

Er valt niets te verwijderen. Wat er wél gebeurt: de vier wachtwoorden worden gewijzigd, en bij navraag blijkt dat twee medewerkers hetzelfde wachtwoord ook voor hun Microsoft-account gebruikten. Die worden meteen meegenomen. Actieve sessies worden ingetrokken, MFA wordt op de resterende accounts afgedwongen, en er komt een wachtwoordmanager voor iedereen.

Twee weken later komt er een phishingmail binnen die precies op een van die adressen is gericht. Hij wordt herkend en gemeld. Het lek is niet ongedaan gemaakt, maar het is wel onschadelijk geworden.

Zo pak je het aan

1. Controleer wat er bekend is. Via een datalekcheck zie je snel of adressen van je bedrijf in bekende lekken voorkomen.
2. Wijzig wachtwoorden, ook de hergebruikte. Begin bij e-mail, bank en beheeraccounts.
3. Zet MFA aan en trek sessies in. In die volgorde.
4. Beoordeel of het een datalek is. Gaat het om persoonsgegevens van klanten of medewerkers, dan gelden de AVG-regels: beoordelen en zo nodig binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Zie datalek afhandelen: 5 valkuilen.
5. Zet monitoring aan. Zo hoor je het de volgende keer eerder — lees wanneer dark web monitoring zinvol is.
6. Werk de basis bij. Uniek wachtwoord per account, patchbeleid, back-ups en een korte instructie voor het team.

Gaat het om je persoonlijke gegevens in plaats van om een bedrijfsaccount, dan staat de volledige route in gegevens gelekt: 8 stappen.

Veelgestelde vragen

Hoe weet ik of gegevens van mijn bedrijf op het dark web staan?

Zelf gaan zoeken is geen goed idee en levert weinig op. Begin met een datalekcheck op je zakelijke e-mailadressen: die vergelijkt ze met bekende datalekken. Voor doorlopend zicht is dark web monitoring bedoeld, dat handelsplaatsen en dumps in de gaten houdt en meldt zodra er iets van jou opduikt. Let daarnaast op de signalen: onverwachte inlogpogingen, ongewone betalingsverzoeken, of berichten over bankgegevens en creditcards die niet kloppen. Duiken er persoonsgegevens van klanten of medewerkers op, houd dan ook rekening met identiteitsfraude in hun naam.

Kan een gespecialiseerd bedrijf mijn data wél van het dark web halen?

Nee. Wat zulke partijen doen, is verwijderverzoeken indienen bij legale datahandelaren en je waarschuwen als je gegevens ergens opduiken. Dat kan waarde hebben, maar de belofte van verwijdering van het dark web kan niemand waarmaken.

Betekent een melding dat wij gehackt zijn?

Meestal niet. Vaak komt het uit een lek bij een dienst die iemand ooit gebruikte. Het wordt wel jouw probleem zodra hetzelfde wachtwoord ook zakelijk in gebruik is — en dat is verrassend vaak het geval.

Moet ik dit melden bij de Autoriteit Persoonsgegevens?

Dat hangt ervan af of er persoonsgegevens uit jouw systemen bij betrokken zijn. Gaat het puur om inloggegevens uit een lek bij een derde partij, dan is het geen datalek van jouw organisatie. Twijfel je, leg het dan vast en laat het beoordelen; de meldtermijn van 72 uur begint zodra je op de hoogte bent.

Hoe voorkom ik dat er nieuwe gegevens bij komen?

Volledig voorkomen kan niet, want je bent afhankelijk van de beveiliging van elke dienst die je gebruikt. Wat je wel kunt: unieke wachtwoorden, MFA overal, zo min mogelijk diensten met toegang tot je data, en accounts van vertrokken medewerkers netjes opheffen.

Wil je weten of gegevens van jouw bedrijf in bekende lekken voorkomen, en wat er dan moet gebeuren? We doen de check en zetten samen met je de accounts weer dicht. Bel 030-7115791 of mail info@okayict.nl.