Groot datalek bij AllUnited: gegevens van honderden Nederlandse sportclubs gestolen

Meer dan 350 Nederlandse sportverenigingen hebben melding gemaakt van een datalek bij AllUnited, de leverancier van hun ledenadministratie. Bij een cyberaanval op maandagavond 9 november zijn persoonsgegevens van leden buitgemaakt, waaronder namen, adressen, geboortedata en bankrekeningnummers. Het lek werd een dag later ontdekt en dezelfde dag gedicht, maar de precieze omvang wordt nog onderzocht. Voor leden van honderden clubs in het hele land is dit een concreet risico, vooral omdat gestolen gegevens vaak worden gebruikt voor phishing.

Wat er precies is gebeurd

Op maandagavond 9 november 2026 kreeg een onbekende aanvaller toegang tot een server van AllUnited. Dat gebeurde via een fout in de software van het bedrijf. De aanvaller kopieerde vervolgens gegevens uit de database met ledenadministraties van sportclubs. AllUnited ontdekte het lek op dinsdag 10 november en dichtte de fout diezelfde dag nog. Dat blijkt uit berichtgeving van onder meer NU.nl, RTL Nieuws en de NOS, en uit meldingen van de clubs zelf.

AllUnited levert software waarmee sportverenigingen hun ledenadministratie bijhouden. Het bedrijf uit Noordwijk werkt voor clubs en sportbonden in het hele land, van voetbalverenigingen tot rugbyclubs, volleybalverenigingen en de biljartbond KNBB. Omdat al die clubs dezelfde leverancier gebruiken, raakt een enkel lek bij AllUnited in een keer honderden verenigingen.

Het aantal meldingen bij de Autoriteit Persoonsgegevens liep op dinsdag 11 november al op tot meer dan 350. De toezichthouder verwacht dat dit aantal de komende dagen verder oploopt. Hoeveel mensen in totaal zijn getroffen, is nog niet bekend.

Welke gegevens zijn buitgemaakt

Volgens de clubs en de berichtgeving gaat het om de gegevens die in een ledenadministratie staan. Dat zijn in ieder geval namen, adressen en woonplaatsen, geboortedata, telefoonnummers en e-mailadressen. Ook IBAN-nummers van leden zijn buitgemaakt. Daarnaast stonden er gegevens in de ledenrecords zoals lidnummer, team, functie en opmerkingen van de vereniging.

Ook inloggegevens zijn mogelijk betrokken. Wachtwoorden stonden versleuteld opgeslagen, zo meldt Rugby Nederland. AllUnited heeft alle wachtwoorden toch ongeldig gemaakt, zodat ze niet meer te gebruiken zijn. Leden die een AllUnited-account hebben, moeten een nieuw wachtwoord instellen voordat ze weer kunnen inloggen.

Wat er precies met de buitgemaakte gegevens is gebeurd, is nog onduidelijk. Volgens berichtgeving van de NOS noemt AllUnited de omvang van het lek groot en is er geen contact geweest met de aanvaller. Er is geen aanwijzing dat de gegevens al zijn gepubliceerd of verkocht, maar dat valt op dit moment niet uit te sluiten.

Hoe kon een aanvaller binnenkomen

De aanvaller maakte misbruik van een beveiligingsfout in de software van AllUnited. Zulke fouten komen voor in bijna elke software, maar worden normaal gesproken gevonden en gerepareerd voordat een aanvaller ze ontdekt. In dit geval was de aanvaller er eerder bij. Zodra de fout bekend was bij AllUnited, is hij gedicht en zijn er extra beveiligingsmaatregelen genomen.

Wat AllUnited en de clubs nu doen

AllUnited heeft het lek gedicht en aanvullende beveiligingsmaatregelen genomen. Het bedrijf heeft zijn klanten ingelicht en doet aangifte bij de politie. Ook de clubs hebben het datalek gemeld bij de Autoriteit Persoonsgegevens, zoals de wet voorschrijft. Verschillende sportbonden, waaronder Rugby Nederland en de volleybalbond Nevobo, hebben hun verenigingen en leden inmiddels gewaarschuwd.

Veel clubs sturen hun leden nu een bericht met uitleg over wat er is gebeurd en welke gegevens mogelijk zijn buitgemaakt. Daarin staat ook dat leden moeten oppassen voor phishing. Dat is belangrijk, want criminelen kunnen de gestolen gegevens gebruiken om berichten te sturen die er heel echt uitzien.

Wat je als lid nu moet doen

Ben je lid van een sportclub die AllUnited gebruikt? Dan is het verstandig om een paar dingen te doen, ook als je nog geen bericht van je club hebt gehad. Een paar minuten aandacht nu kan later veel gedoe schelen.

Verander je wachtwoord als je een AllUnited-account hebt. AllUnited heeft alle wachtwoorden ongeldig gemaakt, dus je moet sowieso een nieuw wachtwoord instellen om weer in te loggen. Gebruik een wachtwoord dat je nergens anders gebruikt. Had je hetzelfde wachtwoord ook op andere websites? Verander het daar dan ook.

Let extra goed op bij e-mails, sms'jes en telefoontjes die je de komende weken krijgt. Criminelen kunnen je naam, club en adres gebruiken om je te misleiden. Klik niet op links in onverwachte berichten, ook niet als ze er officieel uitzien. Ga in plaats daarvan zelf naar de website van je bank of club door het adres in te typen.

Houd je bankrekening in de gaten. Er zijn volgens de berichtgeving geen aanwijzingen dat er geld is gestolen, maar je IBAN-nummer is wel buitgemaakt. Controleer de komende tijd je afschriften op onbekende afschrijvingen. Zie je iets vreemds, neem dan contact op met je bank.

Waarom dit lek verder reikt dan een sportclub

Een datalek bij een sportclub klinkt misschien minder ernstig dan een lek bij een bank of een ziekenhuis. Toch zijn de gegevens die hier zijn gestolen, precies de gegevens die criminelen nodig hebben voor identiteitsfraude en phishing. Je naam, adres, geboortedatum en telefoonnummer samen vormen een profiel dat jarenlang bruikbaar blijft. Je kunt je geboortedatum niet veranderen, en je adres verandert ook niet zomaar.

Daarnaast laat dit incident zien dat ook kleine organisaties een groot doelwit kunnen zijn. Sportclubs hebben meestal geen eigen IT-afdeling en vertrouwen op hun leverancier. Die leverancier is daardoor een aantrekkelijk doelwit: wie daar binnenkomt, krijgt in een keer de gegevens van honderden clubs. De komende weken zal blijken hoe groot het lek precies is. Tot die tijd is waakzaamheid de beste maatregel, voor clubs en voor leden.

Frequently Asked Questions

Ben ik getroffen als mijn sportclub AllUnited gebruikt?

Niet automatisch, maar de kans is groot dat je gegevens in het systeem stonden. AllUnited zegt dat het lek alle verenigingen raakt die het systeem gebruiken. Je club kan je vertellen of jouw gegevens in de ledenadministratie stonden. Heb je nog niets gehoord, neem dan zelf contact op met je club.

Moet ik mijn wachtwoord veranderen?

Ja, als je een AllUnited-account hebt. AllUnited heeft alle wachtwoorden ongeldig gemaakt, dus je moet een nieuw wachtwoord instellen om weer in te loggen. Gebruik een uniek wachtwoord dat je nergens anders gebruikt. Had je hetzelfde wachtwoord ook op andere sites, verander het daar dan ook.

Kan er geld van mijn rekening worden gestolen met mijn IBAN-nummer?

Alleen een IBAN-nummer is niet genoeg om geld van je rekening te halen. Een afschrijving heeft meer nodig dan dat. Toch is het verstandig om je bankafschriften de komende tijd te controleren op onbekende afschrijvingen. Zie je iets verdachts, neem dan direct contact op met je bank.