Paidwork-datalek: 23 miljoen gebruikers getroffen, ook bankgegevens gelekt

Welke gegevens zijn gelekt

De geëxposeerde database bevat een breed scala aan persoonlijke en financiële gegevens :

• Persoonlijke identificatiegegevens: Volledige namen, e-mailadressen, telefoonnummers, huisadressen, geboortedata, geslacht, opleidingsniveaus en profielfoto's.
• Financiële gegevens: Bankrekeningnummers, transactiegeschiedenis, uitbetalingsgegevens en (voor sommige gebruikers) PayPal-gegevens en cryptocurrency-walletadressen.
• Accountgegevens: Wachtwoorden versleuteld met bcrypt (een sterke, langzame hash), plus IP-adressen en apparaatinformatie.
• Platformgegevens: Persoonlijke interesses en gebruikersprofielgegevens.

Troy Hunt merkte op dat ongeveer 35% van de e-mailadressen al in HIBP voorkwamen van eerdere datalekken, en dat de met bcrypt gehashte wachtwoorden — hoewel niet in platte tekst — het enige veld zijn dat aanvallers realistisch gezien offline kunnen proberen te kraken .

Tijdlijn: hoe de gegevens zijn gestolen en gelekt

Risico's voor getroffen gebruikers

De combinatie van financiële en persoonlijke gegevens in één dump creëert een gevaarlijke reeks aanvalsvectoren:

• Financiële fraude. Bankrekeningnummers, PayPal-gegevens en crypto-wallet-adressen zijn direct blootgesteld, waardoor gebruikers risico lopen op ongeautoriseerde transacties, overname van accounts en gerichte diefstal .
• Phishing en social engineering. Met namen, e-mailadressen, telefoonnummers, huisadressen en transactiegeschiedenis in één dataset, kunnen aanvallers zeer overtuigende phishing-e-mails, sms'jes of telefoontjes opstellen die zich voordoen als Paidwork of een financiële instelling .
• Credential stuffing. Iedereen die zijn Paidwork-wachtwoord ook op andere sites heeft gebruikt, loopt risico op overname van accounts op die platforms. Hoewel bcrypt- hashing het bulksgewijs kraken van wachtwoorden vertraagt, blijven zwakke of veelgebruikte wachtwoorden kwetsbaar .
• Identiteitsdiefstal. De combinatie van volledige naam, geboortedatum, adres, telefoonnummer en financiële gegevens is in veel rechtsgebieden voldoende voor identiteitsfraude .

7 beveiligingsstappen voor getroffen gebruikers

Als je een Paidwork-account had, voer deze stappen dan onmiddellijk uit:

1. Wijzig onmiddellijk je Paidwork-wachtwoord — en wijzig hetzelfde wachtwoord op elke andere site waar je het hebt hergebruikt . Gebruik voor elke dienst een uniek, sterk wachtwoord.
2. Schakel tweefactorauthenticatie (2FA) in op je Paidwork-account en alle andere accounts die dit ondersteunen. Geef de voorkeur aan een authenticator-app boven SMS-gebaseerde 2FA .
3. Houd je financiële rekeningen nauwlettend in de gaten. Controleer bankrekeningen, PayPal en cryptocurrency-wallets op ongeautoriseerde transacties. Meld verdachte activiteiten onmiddellijk aan je bank of betalingsprovider .
4. Let op phishing-pogingen. Wees extra wantrouwig tegenover ongevraagde e-mails, telefoontjes of sms'jes die verwijzen naar Paidwork of je financiële accounts. Klik niet op links in onverwachte berichten — navigeer in plaats daarvan rechtstreeks naar de officiële website .
5. Controleer of je e-mailadres in het lek voorkomt op haveibeenpwned.com .
6. Plaats een fraude-alert of bevries je krediet bij de grote kredietbureaus (Equifax, Experian, TransUnion) als je in de VS woont, vooral omdat bankrekeningnummers zijn gelekt . In Nederland kun je een melding doen bij het Centraal Meldpunt Identiteitsfraude of je bank raadplegen over extra beveiligingsmaatregelen.
7. Voer een doxxing-blootstellingsscan uit (bijv. DoxxScan) om in kaart te brengen welke van je gebruikersnamen, e-mailadressen en telefoonnummers aan elkaar zijn gekoppeld in de gelekte data .

Conclusie

Het Paidwork-datalek is een duidelijke herinnering dat platforms in de kluseconomie een rijke mix van persoonlijke en financiële gegevens beheren die zeer waardevol zijn voor aanvallers. Omdat veel van de blootgestelde gegevenstypen — zoals bankrekeningnummers en geboortedata — niet kunnen worden gewijzigd, zullen het risico op fraude en phishing nog jaren aanhouden. Snel handelen om je accounts te beveiligen en je financiën te monitoren, is de beste verdediging.