Acht jaar geleden klonk het nog als een sombere, bijna paranoïde voorspelling: de vraag is niet óf we gehackt worden, maar wanneer. Inmiddels voelt die uitspraak minder als een waarschuwing en meer als een constatering die allang is ingehaald door de realiteit.
We leven in een tijdperk waarin datalekken geen uitzonderingen meer zijn, maar structurele gebeurtenissen. Van sociale media tot webshops, van zorginstellingen tot overheden—vrijwel elke sector heeft te maken gehad met incidenten waarbij persoonsgegevens op straat kwamen te liggen. E-mailadressen, wachtwoorden, telefoonnummers, geboortedata: voor een groot deel van de wereldbevolking is deze informatie al meerdere keren buitgemaakt en verhandeld.
Dat leidt tot een intrigerende gedachte: als de gegevens van “iedereen” al bekend zijn, wat blijft er dan nog over als verdienmodel voor hackers?
Op het eerste gezicht lijkt het logisch dat de waarde van gestolen data afneemt naarmate die data algemener beschikbaar wordt. Schaarste verdwijnt immers. Een enkele database met miljoenen gebruikers was ooit goud waard; tegenwoordig circuleren zulke datasets massaal op obscure fora en marktplaatsen. De prijs per record is in veel gevallen dramatisch gedaald.
Maar daarmee is de business voor hackers niet verdwenen—ze is geëvolueerd.
Waar het vroeger draaide om het buitmaken van data, draait het nu steeds vaker om het slim combineren, verrijken en misbruiken ervan. Oude datasets worden gekoppeld aan nieuwe lekken, waardoor profielen completer en waardevoller worden. Een wachtwoord dat ooit onschuldig leek, kan in combinatie met andere informatie ineens toegang geven tot cruciale accounts. Hergebruik van wachtwoorden blijft daarbij een zwakke schakel.
Daarnaast is de focus verschoven van “data bezitten” naar “toegang exploiteren”. Denk aan ransomware-aanvallen, waarbij systemen worden gegijzeld en organisaties moeten betalen om weer operationeel te worden. Of aan gerichte phishing, waarbij met behulp van bestaande persoonsgegevens zeer overtuigende aanvallen worden opgezet. In die context is het minder relevant of data al bekend is—het gaat erom hoe effectief die data kan worden ingezet.
Er is ook een psychologisch effect. Omdat datalekken zo vaak voorkomen, treedt er een zekere gewenning op. Zowel bij consumenten als bij organisaties ontstaat een gevoel van gelatenheid: “het zal wel”. Die houding kan leiden tot minder waakzaamheid, terwijl de dreiging juist complexer en gerichter wordt.
De oorspronkelijke uitspraak—het is niet de vraag of, maar wanneer—heeft dus een nieuwe laag gekregen. We zijn niet alleen allemaal (waarschijnlijk) al eens gehackt of gelekt, we leven nu in een ecosysteem waarin die realiteit het vertrekpunt is geworden voor nieuwe vormen van cybercriminaliteit.
De echte vraag anno nu is dan ook niet meer of onze gegevens al ergens rondzwerven. De vraag is: wat wordt er vandaag, morgen en overmorgen met die gegevens gedaan? En zijn we daar als samenleving, als organisaties en als individuen voldoende op voorbereid?
De conclusie is misschien minder geruststellend dan de stelling waarmee we begonnen. De “business” voor hackers is niet verdwenen—ze is volwassen geworden.
Alphen aan den Rijn, 4 mei 2026