Kennisbank · 12 augustus 2026

Zorglek Polen: 19 miljoen mensen via één softwareleverancier

Door Sander Vermeer

Polen maakte woensdag bekend dat bij een aanval op één leverancier van medische software de gegevens van bijna 19 miljoen mensen zijn gestolen. Op een bevolking van 37 miljoen is dat ruwweg de helft van het land. Het gaat om zo’n 2 terabyte aan consulten, recepten en patiëntdossiers, afkomstig uit ongeveer 12.000 zorginstellingen die met dezelfde software werkten.

Minister van Digitalisering Krzysztof Gawkowski noemt het een van de grootste cyberincidenten in de Poolse geschiedenis. Volgens hem wijst niets op een statelijke aanvaller; de eerste sporen leiden naar criminelen die het om geld te doen was. Losgeld wordt niet betaald, zegt hij, en de daders worden vervolgd.

En daarmee ligt het volgende probleem al klaar: de overheid opent een loket waar burgers kunnen controleren of hun gegevens erbij zaten.

Het checkloket is het volgende lokaas

Zo’n controlepagina is precies wat oplichters willen. Het patroon is elke keer hetzelfde: er komt een officieel loket, er komt uitleg in het nieuws dat je “moet controleren of jij getroffen bent”, en binnen een paar dagen staan er nagemaakte versies online die om een DigiD-achtige inlog of een bankrekening vragen. De echte pagina en de nepversie vragen allebei om je persoonsgegevens. Dat is de hele truc.

Zet er de standaardadviezen uit een gemiddelde training naast en kijk wat er overblijft:

• “Wees achterdochtig bij onverwachte berichten.” Dit bericht wordt verwacht. Het staat in het NOS-journaal en op de site van de overheid.
• “Let op spelfouten en een rare afzender.” Een nagemaakte overheidspagina is een kopie van het origineel, inclusief teksten.
• “Ga naar de officiële website.” Precies de zin waar het misgaat: bijna niemand weet uit zijn hoofd wélk domein het officiële loket heeft.
• “Een echte instantie vraagt nooit om je gegevens.” Dit loket vraagt er wél om, want anders kan het niets opzoeken.

Dat laatste is het pijnlijkste. We hebben mensen jarenlang een vuistregel geleerd die bij dit type incident gewoon niet klopt.

Waarom dit ook een Nederlands verhaal is

De schaal komt niet doordat Polen 19 miljoen keer is gehackt, maar doordat 12.000 praktijken bij dezelfde partij zaten. Dat is dezelfde bouwtekening als het CEVA-lek van vorige week, waar één logistieke dienstverlener genoeg was om klantgegevens van Bol, de Bijenkorf en tien andere bedrijven op straat te leggen. Niemand hackte die merken. Ze hadden alleen dezelfde onderaannemer.

De Nederlandse zorg is op precies dezelfde manier gebouwd. Huisartsen werken met een handvol informatiesystemen, apotheken met een paar leveranciers, en het berichtenverkeer daartussen loopt via een klein aantal knooppunten. Een paar duizend huisartsenpraktijken delen een handvol huisartsinformatiesystemen. Eén aanbieder eruit halen is dus genoeg voor de dossiers van miljoenen mensen — dezelfde rekensom als in Polen, alleen met andere namen.

Medische gegevens zijn bovendien de gevaarlijkste brandstof voor phishing die er is. Een bericht dat je afspraak van vorige maand noemt, of de naam van je medicijn, haalt elke drempel weg. Bij een gelekt ordernummer denk je “hoe weten ze dat?”. Bij een gelekt recept schrik je en klik je.

Wat je deze maand oefent

Niet “herken de nepmail”. Dat scenario is bij dit soort lekken verloren voordat het begint. Wél dit, en het duurt geen half uur:

• Spreek één vaste route af. Bij nieuws over een groot lek gaat niemand zelf zoeken. De securitydesk of de teamleider zet de officiële URL in het teamkanaal, en dát is de enige link die gebruikt wordt.
• Oefen het twijfelgeval, niet het foutgeval. Stuur een bericht rond met een controlepagina die eruitziet als de echte en vraag mensen niet of hij nep is, maar hoe ze dat zouden nagaan. De antwoorden vertellen je meer dan een klikpercentage.
• Meet hoe snel de eerste melding binnenkomt. Bij een goed nagemaakte pagina is dat de enige cijfermatige verdediging die je hebt. Zie meldratio meten na een phishing training.
• Neem je leveranciers op in het draaiboek. Wie levert jullie software, en wie zou er bellen als daar iets misgaat? Dat is geen securityvraag maar een inkoopvraag, en hij wordt zelden gesteld.

Wie dit als losse oefening wil inplannen: het past in het ritme uit phishing simulatie plannen in 30 dagen, als scenario van de week waarin het nieuws groot is.

De gouden regel die overblijft: bij een groot datalek is de vraag niet of een bericht echt lijkt, maar wie in jouw organisatie bepaalt welke link de echte is. Ligt dat antwoord niet vast, dan bepaalt de eerste aanvaller die belt het voor je.

Bron: Belga/DH over de Poolse cyberaanval, 12 augustus 2026.