--- title: "Hoe een AI-datalek de volgende phishingmail voedt" date: 2026-06-08 author: "Redactie Phishingchecker" featured_image: "https://phishingchecker.nl/wp-content/uploads/2026/06/ai-datalek-phishing-detail.webp" categories: - name: "Phishing" url: "/category/phishing.md" --- # Hoe een AI-datalek de volgende phishingmail voedt TL;DR - Een AI-datalek is niet het einde van het verhaal, maar het begin: gelekte gegevens zijn grondstof voor gerichte phishing. - Hoe meer een oplichter over je weet — je naam, werkgever, een dossiernummer — hoe geloofwaardiger de mail die je in je inbox krijgt. - De gemeente Eindhoven lekte zo ruim duizend documenten met persoonsgegevens via openbare AI-tools; Amazon zag interne stukken terug in ChatGPT. - Twijfel je over een mail of link? [Check hem hier](/). En voorkom dat jouw data de volgende campagne voedt: [schoon je tekst vóór je hem in een AI plakt](https://humanfirewall.nl/ai-data-anonimiseren/). Phishing wordt zelden beter door betere techniek. Het wordt beter door betere informatie. En sinds collega’s massaal gegevens in AI-modellen plakken, ligt die informatie vaker voor het oprapen dan je zou willen. Wie begrijpt hoe een datalek doorwerkt in je inbox, herkent de volgende valse mail een stuk sneller. ## Van geplakt dossier naar gerichte mail Klassieke phishing is hagel: dezelfde nepmail naar duizenden adressen, in de hoop dat iemand klikt. Gerichte phishing — spear phishing — is een sluipschutter. Het verschil zit volledig in wat de afzender over jou weet. Een mail die je voornaam, je werkgever en een kloppend dossiernummer noemt, passeert je interne alarmbel veel makkelijker dan ‘Beste klant’. Die kennis moet ergens vandaan komen, en datalekken zijn de favoriete bron. Als persoonsgegevens via Shadow AI — AI-gebruik buiten het zicht van de organisatie — naar buiten komen, kan een oplichter ze gebruiken om een overtuigend verhaal te bouwen. Niet meteen, niet altijd zichtbaar, maar de bouwstenen liggen klaar. Een geloofwaardige mail begint bij gegevens die ooit ergens lekten.## Waar het echt misging Bij de **gemeente Eindhoven** bleek uit een steekproef dat medewerkers in één maand ruim duizend documenten met persoonsgegevens naar externe AI-tools hadden geüpload — inclusief BSN-nummers, zorggegevens en financieel gevoelige data. Dat werd een datalek dat gemeld is bij de Autoriteit Persoonsgegevens. Stel je voor wat een oplichter met zo’n berg context kan: namen, relaties, dossiers. Precies het materiaal voor een mail die nét te goed klopt. Bij **Amazon** dook interne documentatie op in ChatGPT nadat werknemers die in het model hadden gezet. Wat je invoert kan in de trainingsdata belanden en elders weer naar boven komen. Een lek hoeft dus niet via een hack te lopen; soms is de voordeur gewoon een chatvenster. ## Zo herken je de mail die uit een lek komt - **Te veel kloppende details.** Een vreemde die opvallend veel correcte gegevens noemt, is verdachter dan eentje die niets weet. - **Urgentie plus een link.** ‘Bevestig direct, anders…’ — haast is het oudste trucje in het boek. - **Een afzender die net niet klopt.** Controleer het volledige adres, niet alleen de weergavenaam. - **Een verzoek dat je normaal nooit per mail zou doen.** Betaling, inloggen, een spoedwijziging van rekeningnummer. Vertrouw je een bericht niet? Plak de link of de tekst in onze [phishingchecker](/) voordat je iets doet. Een controle van tien seconden is altijd goedkoper dan de schade erna. ## Voorkomen is sterker dan herkennen Herkennen is de tweede verdedigingslinie. De eerste is voorkomen dat je gegevens überhaupt in een openbaar model belanden. Mijn advies, na het zien van te veel vermijdbare lekken: schoon je tekst standaard voordat je hem in ChatGPT of Gemini plakt. Met de [AI-data-anonimiseerder](https://humanfirewall.nl/ai-data-anonimiseren/) haal je BSN, IBAN, namen, adressen en telefoonnummers er in één keer uit, volledig in je browser. Geen data eruit, betekent geen grondstof voor de volgende phishingcampagne. Bron: NOS / Nieuwsuur, ‘AI handig hulpmiddel op de werkvloer? Risico op datalek is groot’ (8 juni 2026).