De Autoriteit Persoonsgegevens (AP) ontving vorig jaar ruim 39.000 meldingen van datalekken, een stijging ten opzichte van de bijna 38.000 meldingen in 2024. Dat laat de privacytoezichthouder in de vandaag verschenen Datalekkenrapportage 2025 weten. De AP meldt daarin ook een 'zorgelijke stijging' van datalekken veroorzaakt door account takeovers, waarbij aanvallers, vaak als gevolg van phishing, toegang tot accounts weten te krijgen.

Net als voorgaande jaren werden de meeste datalekken vorig jaar veroorzaakt door problemen met het versturen van brieven. Van de meer dan 39.000 datalekmeldingen in 2025 vielen er meer dan 25.000 in de categorie 'Brief'. Het gaat dan vaak om verkeerd geadresseerde brieven. Op de tweede plek met meer dan 4200 meldingen volgen door e-mail veroorzaakte datalekken. Ook hier gaat het meestal om problemen met de adressering.

Cyberaanvallen waren vorig jaar goed voor 2400 datalekmeldingen, een stijging ten opzichte van de 1500 meldingen in 2024. In deze categorie zag de AP dat veel meldingen werden veroorzaakt door account takeovers. Hierbij weet een aanvaller, vaak door phishing, toegang tot accounts te krijgen. Via deze accounts kunnen dan verdere aanvallen worden uitgevoerd en bijvoorbeeld persoonlijke gegevens worden gestolen.

Van de 2400 meldingen die vorig jaar werden veroorzaakt door cyberaanvallen kwamen er ruim 1700 op rekening van account takeovers. Een flinke stijging ten opzichte van de 600 meldingen in 2024. "De AP ziet dat dit een populaire manier is voor cybercriminelen om gegevens buit te maken en als opstart voor grotere aanvallen", aldus de toezichthouder in de Datalekkenrapportage, waarin het ook spreekt van een zorgelijke stijging. Daarnaast zag de AP vorig jaar 136 ransomware-aanvallen die voor 283 gemelde datalekken zorgden. Een jaar eerder noteerde de toezichthouder nog 127 aanvallen met ransomware.

Een andere bron van datalekken zijn laptops, telefoons en dossiers die mensen ergens laten liggen of die worden gestolen. Meer dan vierhonderd datalekken werden vorig jaar op deze manier veroorzaakt. De meeste meldingen hierover kwamen uit de sector gezondheid en welzijn. "Organisaties die het gebruik van usb-sticks toestaan, moeten ervoor zorgen dat ze goed beveiligd zijn", aldus de AP. "Organisaties die het gebruik van usb-sticks verbieden, moeten werknemers bewust maken van de risico’s en veilige alternatieven aanbieden."