Persoonsgegevens die bij bedrijven en organisaties worden gestolen en gelekt op internet, worden op massale schaal ingezet voor spearphishing, zo stelt de Belgische overheid. "Tijdens de eerste helft van 2026 waarschuwden we meermaals voor gelekte data, bijvoorbeeld van het leerplatform Canvas, BasicFit of Booking.com. Oplichters die deze data in handen krijgen, beschikken over een waardevolle bron om hun slachtoffers op een geloofwaardige manier te benaderen", aldus Safeonweb, een initiatief van het Centrum voor Cybersecurity België (CCB).

Zo wisten aanvallers recentelijk reserveringsgegevens van allerlei hotels te stelen, waarmee vervolgens phishingaanvallen op gasten werden uitgevoerd. "Omdat de oplichters persoonlijke of correcte boekingsgegevens gebruiken, zoals naam, referentienummer, datum van het verblijf of de naam van de accommodatie, lijkt het bericht echt. Net daarom is deze vorm van fraude moeilijker te herkennen", stelt Safeonweb. Het initiatief adviseert om alleen via officiële kanalen contact met organisaties op te nemen en niet op links te klikken waarmee een betaling kan worden uitgevoerd.

Eerder werd al bekend dat persoonsgegevens die door de criminelen groepering ShinyHunters zijn gestolen en gelekt worden gebruikt voor het versturen van afpersingsmails. Daarnaast waarschuwde Infomedics voor een toename van phishingmails, waarbij gegevens worden gebruikt die volgens het bedrijf zijn buitgemaakt via datalekken bij andere, grote organisaties. Infomedics verzorgt het verzenden van facturen en het innen van betalingen voor zorgaanbieders.