Meer dan 350 Nederlandse sportverenigingen en bonden zijn het slachtoffer van een ernstig datalek. De oorzaak: een cyberaanval op AllUnited, het systeem dat talloze clubs gebruiken voor hun ledenadministratie. De aanval vond plaats op de avond van maandag 9 november 2026. Sindsdien stromen de meldingen binnen bij de toezichthouder.
Hackers wisten via een lek in het beheersysteem gevoelige informatie te stelen. Dat meldt tweakers.net. Inmiddels hebben ruim 350 sportclubs het incident gemeld bij de Autoriteit Persoonsgegevens (AP). Een woordvoerder van de AP zei woensdag dat dit aantal nog zal stijgen, omdat steeds meer verenigingen beseffen hoe groot het lek is.
Dit is er gestolen
Uit rapportages van ground.news blijkt dat persoonlijke gegevens van leden op straat liggen. Concreet gaat het om:
- Huisadressen
- Wachtwoorden
- Bankrekeningnummers
Voor de getroffen sporters en vrijwilligers betekent dit een verhoogd risico op phishing en identiteitsfraude. Zeker nu ook financiële gegevens en inloggegevens in handen van kwaadwillenden zijn.
Eén leverancier, duizenden slachtoffers
Het incident laat zien hoe kwetsbaar de digitale infrastructuur van de non-profitsector is. Sportverenigingen vertrouwen vaak op centrale SaaS-oplossingen voor hun administratie. Zit er een kwetsbaarheid in zo'n provider, dan worden duizenden organisaties tegelijk geraakt. Dit is een klassiek voorbeeld van een supply-chain aanval: niet de eindgebruiker is het doelwit, maar de softwareleverancier. Het gevolg is een kettingreactie aan datalekken.
Dat wachtwoorden zijn meegenomen, suggereert dat deze mogelijk onvoldoende versleuteld waren of dat aanvallers toegang kregen tot de database-hashes. Wie hetzelfde wachtwoord voor meerdere diensten gebruikt, loopt nu direct risico op 'credential stuffing'-aanvallen op andere platforms.
Wat moet je doen?
De exacte methode van de inbraak is nog niet openbaar gemaakt. Wel is duidelijk wat betrokkenen moeten doen: direct de wachtwoorden wijzigen en alert zijn op ongebruikelijke transacties en verdachte e-mails. De consensus op tech-fora is bovendien dat multi-factor authenticatie (MFA) de beste barrière is tegen misbruik van gestolen wachtwoorden.