Rutger
Odido, Basic-Fit en ChipSoft gehackt: wat ging er mis?
Drie bekende organisaties zijn kort na elkaar gehackt. Dit toont een duidelijke piek in succesvolle aanvallen op webapplicaties in 2025 en 2026. Is dit pech, nalatigheid of een nieuwe realiteit? In dit artikel analyseer ik als developer de technische oorzaken, de rol van AI-tools en hoe je jouw eigen platform daadwerkelijk beveiligt.
Drie grote hacks, drie verschillende oorzaken
Elk datalek staat op zichzelf en generaliseren is gevaarlijk, want ieder incident vraagt om een specifieke analyse. We kijken uitsluitend naar de feiten per organisatie.
Odido: klantdata gestolen via een kwetsbaarheid in de systemen
Bij telecomprovider Odido drongen aanvallers met succes binnen in de klantsystemen. Volgens hun eigen veiligheidspagina stalen criminelen klantgegevens van een grote groep abonnees.
Dit lek krijgt een officieel staartje. Tweakers meldt dat de Autoriteit Persoonsgegevens (AP) én de Rijksinspectie Digitale Infrastructuur (RDI) een gezamenlijk onderzoek zijn gestart. Zij controleren of de provider zich aan de wettelijke beveiligingsnormen hield en klanten tijdig waarschuwde.
Basic-Fit: inloggegevens van leden op straat
Sportschoolketen Basic-Fit zag ongeautoriseerde toegang tot persoonlijke ledeninformatie. Aanvallers maakten data van leden buit, maar de precieze technische ingang is niet publiekelijk bevestigd.
Bij ledenportalen zien we vaak aanvallen via credential stuffing. Hackers gebruiken hierbij inloggegevens uit eerdere datalekken om automatisch in te loggen op andere websites. Gebruikers die overal hetzelfde wachtwoord instellen, lopen hierdoor direct gevaar.
ChipSoft: ziekenhuispatiënten mogelijk in gevaar
Softwareleverancier ChipSoft bouwt patiëntendossiers voor talloze ziekenhuizen. Aanvankelijk leek een recente inbraak beperkt, zonder gevolgen voor patiëntendata.
Dat beeld kantelde snel. Zowel Tweakers als de NOS bevestigden later dat diefstal van medische ziekenhuisdata toch niet is uitgesloten. Patiëntgegevens vallen onder de strengste privacyregels van de AVG. Dit toont nogmaals het enorme belang aan van veilige digitale oplossingen voor de zorgsector.
Wat deze incidenten gemeen hebben
Hoewel de technische oorzaken verschillen, zien we vaker dezelfde structurele kwetsbaarheden terug. Denk aan verouderde systemen of softwarecomponenten, menselijke fouten in toegangsbeheer en onvoldoende actieve monitoring.
Daarnaast vormt ketenaansprakelijkheid een groot risico bij leveranciers. Organisaties zijn verplicht een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens. Voor gebruikers zijn de gevolgen vaak het grootst: zij lopen direct risico op overtuigende phishing en identiteitsfraude.
Nieuwe tools maken het aanvallers makkelijker
Kunstmatige intelligentie verlaagt de drempel voor aanvallers aanzienlijk. Een actueel voorbeeld is Claude Mythos, een AI-tool van Anthropic waarmee kwetsbaarheden in webapplicaties sneller en gerichter gevonden worden.
Anthropic herkent dit risico en stelt Claude Mythos bewust eerst beschikbaar aan grote partijen, zodat beveiligingsteams zich kunnen voorbereiden. AI is één factor en niet de enige verklaring voor de recente hacks, maar het verlaagt de drempel voor aanvallers wel degelijk.
Hoe je als organisatie je digitale beveiliging serieus neemt
Goede beveiliging vereist doorlopende aandacht. Met de juiste architectuur werk je aan een sterke back-end development zonder onnodige kwetsbaarheden. Pak hiernaast de regie met deze stappen:
- Laat regelmatig een technische audit uitvoeren op je website en webapplicaties
- Zorg voor een duidelijk toegangsbeheerbeleid: wie heeft toegang tot wat?
- Houd software, plug-ins en afhankelijkheden altijd up-to-date
- Stel tweefactorauthenticatie in voor alle beheeraccounts
- Zorg dat je weet wat je doet bij een incident: een incident response plan is geen luxe
- Controleer ook de beveiliging van leveranciers waarmee je data deelt
Wat wij bij Lemone doen aan websitebeveiliging
Veilige online oplossingen zijn een kernonderdeel van wat we bouwen. We kiezen voor maatwerk development en vermijden onnodige plug-ins of kwetsbare externe afhankelijkheden.
We bouwen op een solide fundament in combinatie met veilige en beheerde hosting. Na livegang verzorgen we bovendien het doorlopend onderhoud van je website om die veiligheid ook op de lange termijn te garanderen.
Benieuwd hoe veilig jouw website écht is?
Wil je weten hoe jouw website er momenteel écht voor staat? Neem contact op of bekijk onze technical audit.
Neem contact opVeelgestelde vragen
De oorzaken verschillen per geval. Bij grote organisaties gaat het vaak om een combinatie van factoren: een kwetsbaarheid in software, onvoldoende monitoring of een menselijke fout. Wat bij Odido en Basic-Fit precies mis ging, wordt onderzocht door de Autoriteit Persoonsgegevens en andere instanties.
Gestolen gegevens worden vaak gebruikt voor phishing, identiteitsfraude of verkocht op illegale marktplaatsen. Hoe waardevoller de data (denk aan zorggegevens of financiële informatie), hoe aantrekkelijker het doelwit voor criminelen.
Elke website of webapplicatie die verbonden is met het internet kan in principe aangevallen worden. De vraag is of jouw beveiliging goed genoeg is om een aanval te weerstaan of vroegtijdig te signaleren. Een technische audit geeft je inzicht in de zwakke plekken.
Beperk de schade zo snel mogelijk door systemen te isoleren. Meld het lek binnen 72 uur bij de Autoriteit Persoonsgegevens als er persoonsgegevens bij betrokken zijn. Dit is een wettelijke verplichting onder de AVG. Informeer daarna de betrokken personen.
Een hack is een aanval op je systemen. Een datalek is het gevolg waarbij persoonsgegevens onbedoeld toegankelijk worden voor onbevoegden. Een hack leidt niet altijd tot een datalek, maar een datalek kan ook ontstaan zonder hack, bijvoorbeeld door een menselijke fout.
Dat weet je niet zonder het te testen. Een technische audit brengt kwetsbaarheden in kaart voordat aanvallers ze vinden. Laat dit uitvoeren door een partij die daadwerkelijk in de code kijkt, niet alleen een geautomatiseerde scan uitvoert.
Claude Mythos is een AI-tool van Anthropic die kwetsbaarheden in webapplicaties kan identificeren. Anthropic heeft besloten het eerst beschikbaar te stellen aan grote partijen, zodat zij zich kunnen voorbereiden voordat het breder uitgerold wordt. Het is een voorbeeld van hoe AI de drempel voor aanvallers kan verlagen, maar ook beveiligingsonderzoekers nieuwe mogelijkheden geeft.
Ja. Als een leverancier zoals ChipSoft software beheert die patiëntgegevens verwerkt, valt dat onder de AVG-verantwoordelijkheid van zowel de leverancier als de zorginstelling die gebruik maakt van die software. Beide partijen hebben een zorgplicht.
