Je logt in bij MijnCJIB om die flitsfoto van vorige maand te bekijken, en er staat een kenteken dat niet van jou is. Een weg waar je nooit hebt gereden. Een zaak waar je niets van weet. Dat scenario is vorige week echt gebeurd, en het duurde ruim drie dagen voordat het loket weer open kon.
Het Centraal Justitieel Incassobureau sloot MijnCJIB donderdagavond af. Door een interne technische fout waren, in de woorden van het CJIB zelf, “gedurende een korte periode een deel van de verkeersovertredingen en strafzaken aan de verkeerde personen gekoppeld”. In enkele gevallen zagen mensen daardoor informatie die niet voor hen bedoeld was. Mogelijk zijn er ook brieven met verkeerde gegevens verstuurd; dat wordt nog onderzocht. Bij de Autoriteit Persoonsgegevens maakte het CJIB naar eigen zeggen een voorlopige melding van een datalek. Zondagmiddag om 17.30 uur ging het loket weer open, meldde het CJIB.
Drie dagen dicht is bij dit loket geen detail
MijnCJIB is niet een pagina die je een keer per jaar opzoekt. Het CJIB telt er naar eigen zeggen ruim 100.000 bezoekers per week: mensen die een boete betalen, de foto van hun overtreding bekijken of een betalingsregeling afspreken. Reken het om naar de sluiting en je zit op ruwweg veertig- tot vijfenveertigduizend mensen die er in die dagen voor niets aanklopten. Hun alternatief was de telefoon of de chat, allebei alleen bereikbaar tussen 8.00 en 17.00 uur op werkdagen — dus voor het weekend viel er niets te doen.
Wat er te zien was, maakt het gevoeliger dan “een storing”. In MijnCJIB staan naam en adres, het kenteken, de plek waar iemand reed en vaak een foto van de overtreding. Daarnaast informeert het CJIB via zijn systemen ook daders en slachtoffers over de uitvoering van beslissingen in strafzaken. Dat is geen abonnementenadministratie.
De berichtgeving liep een dag achter op het CJIB zelf
Hier zit iets wat de moeite van het opmerken waard is. Maandagmiddag om 16.47 uur verscheen op NU.nl een bericht van Tweakers waarin staat dat MijnCJIB “sinds vrijdagmiddag gesloten” is en “voorlopig gesloten” blijft. Op dat moment was het loket al bijna 24 uur weer open, en was het niet vrijdagmiddag maar donderdagavond dichtgegaan.
Dat is geen ramp, maar het laat wel zien waar de tijdlijn scheef trekt. Wij zijn ervan uitgegaan dat de organisatie die de knop omzette de betrouwbaarste bron is over wanneer die knop omging. Voor de rest van het verhaal geldt hetzelfde: het aantal getroffen personen is nog niet bekend, en dat komt niet doordat iemand het achterhoudt, maar doordat het herstel van de foutief verstuurde brieven nog loopt.
Melden voordat je het weet is de juiste reflex
Het CJIB deed de melding bij de AP voordat het onderzoek af was. Dat hoort ook zo: de toezichthouder schrijft met zoveel woorden dat je niet moet wachten tot je de exacte aard en omvang kent, en dat een voorlopige melding daarvoor bestaat. Wie eerst drie weken uitzoekt en dan pas meldt, is te laat voor de mensen die intussen het risico lopen.
En dan het ongemakkelijke deel voor onze eigen kant, want wij roepen hier vaker dat er sneller gemeld moet worden. Een voorlopige melding is goedkoop. Hij kost een formulier en levert direct een goed verhaal op, terwijl het echte werk — uitzoeken wie het raakte en die mensen persoonlijk inlichten — daarna nog helemaal moet beginnen. “Er ligt een melding” is dus geen bewijs dat het goed is afgehandeld. Dat bewijs komt pas als de brieven de deur uit zijn.
Waarom dit een week wordt waarin nepboetes goed scoren
Een storing bij het CJIB is voor oplichters gratis reclame. Mensen die twijfelen of hun boete klopt, zijn precies de mensen die op een mail met “controleer uw zaak” klikken. Hoe hard dat kan gaan liet het voorjaar zien: in één week tijd kreeg het CJIB ruim 5.000 meldingen van nepboetes en nepmails, tegen enkele tientallen op een gewone dag.
De check die het CJIB daarbij zelf geeft is de bruikbaarste, en hij is deze week extra relevant: het CJIB int nooit via digitale middelen geld. Een mail of sms die je naar een betaalpagina stuurt, is dus per definitie nep, hoe echt de opmaak ook is. Kreeg je vorige week een brief met gegevens die niet van jou zijn, dan bel je 058 215 95 55 of gebruik je de chat op cjib.nl — zelf het nummer intoetsen, niet op een link reageren. Hoe je zo’n bericht uit elkaar houdt, staat in ons stuk over phishingmails van bank, pakketdienst of KvK, en de sms-variant behandelen we bij smishing rond pakketdiensten.
Wat maakt de brief zichtbaar die nu nog onderweg is
Het CJIB zegt dat mensen die een verkeerde brief kregen persoonlijk bericht krijgen. Dat is het eerstvolgende moment dat er echt toe doet, want dan pas wordt zichtbaar hoe groot dit was. Komt daar een aantal bij, en wordt de voorlopige AP-melding een definitieve met omvang erin, dan weten we of “een deel” tientallen of duizenden zaken betekent. Blijft het bij een persoonlijke brief zonder totaalcijfer, dan blijft het bij het woord “kort”.