Datalek raakt alle clubs op AllUnited
Een softwarefout gaf een aanvaller toegang tot ledengegevens, waaronder mogelijk IBAN's en tijdelijke wachtwoorden.
Een fout in de software van AllUnited heeft gegevens van alle aangesloten clubs en bonden blootgesteld. De leverancier ontdekte het lek op 10 november, dichtte het dezelfde dag en heeft wachtwoorden ongeldig gemaakt.
Volgens AllUnited maakte een buitenstaander op maandagavond 9 november misbruik van een fout in een inschrijfformulier op een clubwebsite. Via die route kreeg de aanvaller toegang tot een server en kopieerde hij gegevens uit de database. AllUnited zegt dat het incident alle clubs en bonden in zijn omgeving raakt, maar publiceert geen totaal aantal betrokken personen.
De mogelijke gegevens verschillen per gebruiker. Bij beheerders gaat het om naam, e-mailadres, telefoonnummer en een versleuteld wachtwoord. In ledenrecords kunnen naam, adres, geboortedatum, telefoon, e-mail, IBAN, vrije notities en tijdelijke wachtwoorden staan. Bij inschrijvingen via clubwebsites kunnen naam, contactgegevens, geboortedatum en IBAN zijn buitgemaakt.
Het risico zit niet alleen in directe fraude. AllUnited waarschuwt vooral voor phishing: berichten die geloofwaardig lijken omdat ze clubgegevens bevatten en vervolgens om betaling, een inlog of aanvullende persoonsgegevens vragen. De leverancier zegt dat wachtwoorden versleuteld waren, maar dat ook informatie over die versleuteling is meegenomen. Daarom worden wachtwoorden ongeldig gemaakt.
AllUnited legt ook een deel van de afhandeling bij verenigingen en bonden. AllUnited vraagt iedere vereniging en bond om het incident bij de Autoriteit Persoonsgegevens te melden en leden te informeren. Bij de afhandeling is van belang wie bepaalt waarvoor ledengegevens worden gebruikt en wie de verwerking uitvoert.
De afhandeling kan verenigingen extra werk bezorgen, zoals leden informeren, meldingen afhandelen, wachtwoorden laten wijzigen en betaalverzoeken controleren. De KNHB blokkeerde uit voorzorg tijdelijk de koppeling tussen zijn eigen MijnHockey-omgeving en AllUnited, hoewel de hockeybond zegt zelf geen AllUnited-software te gebruiken.
De vraag achter het nieuws is hoe afhankelijk kleine organisaties mogen zijn van centrale software. Het lek is technisch gedicht, maar daarmee zijn eventueel buitgemaakte kopieën niet gewist. Openstaande vragen zijn of de Autoriteit Persoonsgegevens en de politie vervolgstappen zetten en of de leverancier kan vaststellen welke records daadwerkelijk zijn gekopieerd.
Het cijfer van twee kanten
▲ Lichtpunten
- AllUnited zegt de fout dezelfde dag te hebben gedicht waarop het lek werd ontdekt.
- De KNHB blokkeerde de koppeling uit voorzorg, waardoor verdere gegevensuitwisseling tijdelijk werd gestopt.
▼ Zorgpunten
- De gegevens van alle clubs en bonden in de AllUnited-omgeving kunnen zijn geraakt.
- De leverancier zegt dat ook informatie over de wachtwoordversleuteling is meegenomen.
Kritische noot
Het aantal betrokken personen en het aantal daadwerkelijk gekopieerde records zijn nog niet bekendgemaakt. Daardoor is de omvang van het lek nog niet vast te stellen.
Wie merkt wat
- Ondernemers
- Verenigingen en bonden moeten leden informeren, meldingen doen en extra controle inbouwen rond betalingen en inloggen.
- Huishoudens
- Leden moeten rekening houden met geloofwaardige phishingberichten en hergebruikte wachtwoorden wijzigen.
- Overheid
- De Autoriteit Persoonsgegevens en politie kunnen de meldingen en het onderzoek naar de beveiliging beoordelen.
Elk punt komt uit de bronnen van het artikel en is meegenomen in de factcheck.
Factcheck Goedgekeurd
Gecontroleerd door een tweede AI-agent, aan de hand van de bronnen. Ook die controle kan fouten maken.
De kernfeiten zijn gebaseerd op de verklaring van AllUnited en de onafhankelijke mededeling van de KNHB. De tekst benoemt expliciet wat nog niet bekend is en doet geen uitspraak over een onbekend aantal slachtoffers.
- Bevestigd De softwarefout werd op 10 november ontdekt en dezelfde dag gedicht. — AllUnited vermeldt beide momenten.
- Bevestigd Mogelijk zijn onder meer namen, adressen, geboortedata, IBAN's en wachtwoorden betrokken. — AllUnited specificeert de gegevenscategorieën.
- Bevestigd De KNHB blokkeerde tijdelijk een koppeling met AllUnited. — KNHB-publicatie van 11 november 2026.
Noot van de redactie
AllUnited bevestigt het lek, de betrokken categorieën gegevens en het dichten van de fout. Een totaal aantal getroffen personen en de exacte hoeveelheid gekopieerde records zijn niet bekend.Bronnen
- Beveiligingsincident bij AllUnited — AllUnited
- Koppeling AllUnited tijdelijk geblokkeerd — Koninklijke Nederlandse Hockey Bond