“Ik heb maar 50 gebruikers, dat is toch niet interessant voor hackers?”
Dat horen we vaak. En het klopt niet. Die 50 accounts zijn waardevol. niet voor jou, maar voor iemand anders. Op het dark web is een combinatie van e-mailadres en wachtwoord €1 tot €5 per record waard. Niet omdat jouw app interessant is. Maar omdat de meeste mensen overal hetzelfde wachtwoord gebruiken.
Jouw datalek wordt het probleem van je gebruikers. Hun e-mail wordt overgenomen. Hun bankrekening wordt benaderd. En ze herinneren zich precies bij welke app het begon.
Wat aanvallers zoeken. en hoe makkelijk het is
Aanvallers zoeken niet naar specifieke apps. Ze scannen automatisch op bekende zwakke plekken. En AI-gebouwde apps hebben bijna allemaal dezelfde:
- Een database die niet beveiligd is. Standaard kan iedereen die weet waar je database staat, alle data opvragen. Niet alleen hun eigen data. de data van al je gebruikers.
- Geheime sleutels die zichtbaar zijn. AI-tools plaatsen de “wachtwoorden” van je app vaak zichtbaar in de code. Iemand die weet waar te kijken vindt ze binnen 30 seconden.
- Geen limiet op inlogpogingen. Een aanvaller kan duizenden wachtwoorden proberen per minuut. Zonder limiet is het een kwestie van tijd.
Jouw verantwoordelijkheid
Onder de AVG/GDPR ben je als ondernemer persoonlijk aansprakelijk voor datalekken. Boetes kunnen oplopen tot 4% van je omzet. Maar het echte verlies is vertrouwen. Gebruikers die ontdekken dat hun data is gelekt, komen niet terug. Ze vertellen het door. En in het tijdperk van social media gaat dat snel.
Nadia bouwde een boekingsplatform voor yogalessen in Lovable. 200 actieve gebruikers, groeiend via Instagram. Alles leek goed. tot iemand in een Facebook-groep postte dat hun e-mailadres “ergens was gelekt.”
Het bleek: de database stond volledig open. Er was geen beveiliging die bepaalde wie welke data kon zien. Een scriptkiddie had met één simpel verzoek alle 200 profielen gedownload: namen, e-mailadressen, telefoonnummers, betaalgeschiedenis.
Nadia moest: melding doen bij de Autoriteit Persoonsgegevens, alle 200 gebruikers individueel informeren, en publiekelijk excuses maken op Instagram. Drie maanden opgebouwd vertrouwen. in één dag weg.
De ironie: de fix had vier werkdagen gekost en minder dan €1.000. De reputatieschade was onberekenbaar.