Basic-Fit getroffen door datalek: hackers zien zelfs wanneer en hoe vaak jij sport

Als je sport bij Basic-Fit, is het verstandig om de komende tijd extra alert te zijn op verdachte mailtjes en sms’jes. De sportschoolketen meldt namelijk dat bij een datalek gegevens van actieve leden zijn buitgemaakt. In Nederland gaat het om ongeveer 200.000 mensen.

De gegevens van al deze sportievelingen zijn behoorlijk gevoelig. Het gaat onder meer om lidmaatschapsinformatie, naam- en adresgegevens, e-mailadressen, telefoonnummers en geboortedata, maar ook om bankrekeninggegevens en andere specifieke data.

Uit een mail die Basic-Fit naar getroffen klanten heeft gestuurd, blijkt dat ook interne lidmaatschapsdata onderdeel zijn van het lek. Volgens de sportschool gaat het daarbij om zaken als het lidmaatschapstype, betalingssaldo, het Basic-Fit-pasnummer, een intern ID, de club, bezoektijden van recente bezoeken en zelfs de naam van het gekoppelde toestel.

Basic-Fit waarschuwt voor phishing na datalek

Die gegevens kunnen door kwaadwillenden worden gebruikt voor zeer gerichte phishing. Criminelen hoeven dan geen algemene nepmail meer te sturen, maar kunnen een bericht maken dat akelig echt oogt. Denk aan een mail over een mislukte incasso, een openstaand saldo of een verzoek om je accountgegevens te controleren, volledig in de stijl van Basic-Fit of je bank.

Basic-Fit laat in de mail weten dat er op dit moment geen aanwijzingen zijn dat de data openbaar is gemaakt of al wordt misbruikt, maar dat leden wel alert moeten zijn. Het bedrijf geeft daarbij ook voorbeelden van phishingberichten die je kunt verwachten en legt uit wat je moet doen als je een bericht krijgt dat je niet vertrouwt.

Niet alleen Nederlandse sporters getroffen

Over hoe dit datalek kon plaatsvinden, wordt weinig gezegd. Wel laat Basic-Fit weten dat het gaat om ongeautoriseerde toegang tot het systeem waarin clubbezoeken van leden worden geregistreerd. Die toegang werd volgens het bedrijf via de eigen monitoring ontdekt en binnen enkele minuten gestopt. Daarna zijn externe securityspecialisten ingeschakeld en zijn ook de relevante privacytoezichthouders geïnformeerd.

De impact reikt bovendien verder dan alleen Nederland. Volgens het AD zijn in totaal gegevens van ongeveer 1 miljoen klanten uit meerdere landen geraakt, waaronder België, Luxemburg, Frankrijk, Spanje en Duitsland. Voor Basic-Fit, dat naar eigen zeggen meer dan 5,8 miljoen lidmaatschappen telt en ruim 2.150 clubs heeft, is dit dus allesbehalve een klein incident.