De configuratie is de nieuwe kwetsbaarheid

Telefonische phishing en social engineering zijn deze week de dominante aanvalsvectoren. Het Odido-datalek — 6,5 miljoen records, BSN-nummers en ID-bewijzen — begon niet met een technische exploit maar met een misleidend telefoontje aan een medewerker. Salesforce waarschuwde eerder voor dezelfde methode. Organisaties die geen phishing-simulatie draaien en hun medewerkers niet trainen op telefonische social engineering, accepteren dit risico.

De privacytoezichthouder zelf werd deze week slachtoffer van een datalek door een Ivanti-kwetsbaarheid die al bekend was — patchmanagement is geen keuze meer. Tegelijk kleurt de AI-Impactbarometer van de AP rood en dringt de Cyberbeveiligingswet verder aan. Wie compliance als projectmatig beschouwt en niet als continu proces, wordt ingehaald door de realiteit.

Copilot las deze week vertrouwelijke e-mails ondanks actieve sensitivity labels — een configuratiefout in Microsoft's eigen DLP-pipeline. Het incident maakt tastbaar dat classificatie pas werkt als de hele keten klopt: van label tot enforcement. Microsoft beantwoordt het met een bredere uitrol van Purview DLP naar alle opslaglocaties, maar de les is helder: zonder correcte documentclassificatie is elk AI-systeem een risico.