Datalekken raken ook de wereld van muziek en events

2025-07-14

Het aantal meldingen van datalekken blijft stijgen. Ook de live- en entertainmentsector krijgt er steeds vaker mee te maken. Ticketingpartijen blijken een aantrekkelijk doelwit, net als artiesten die hun sociale media verliezen aan kwaadwillenden. Terwijl de aandacht vaak uitgaat naar grote hacks in de zorg of het onderwijs, groeit het risico ook in de cultuursector. Hoe ga je als organisator, artiest of ticketer om met die toenemende dreiging? En vooral: hoe houd je gevoelige data écht veilig?

In een wereld die om data draait, gaat het inmiddels ook echt hard. Alleen al in Nederland zie je in de breedte een groei. Sinds 1 januari 2016 geldt de meldplicht datalekken, wat betekent dat organisaties die een ernstig datalek hebben, dit zowel naar de slachtoffers moeten melden als naar de Autoriteit Persoonsgegevens (AP), de Nederlandse toezichthouder op de privacywetgeving. In dat eerste meldjaar waren er ‘slechts’ zo’n 10.000 datalekken die zijn gemeld. In 2023 was dit aantal meldingen al meer dan verdubbeld en opgelopen tot 25.694. Vorig jaar (2024) was dit aantal zelfs 37.839, zo blijkt uit de in mei bekendgemaakte AP-cijfers. Het aantal meldingen is tweeledig te interpreteren. Enerzijds laat het zien hoe veel partijen hun beveiliging (nog) niet op orde hebben, anderzijds laat het aantal meldingen zien dat men het wel serieus neemt.

Ticketing hacks

Wie inzoomt op de AP-cijfers ziet dat het grootste deel van de meldingen niet direct in de evenementen- of entertainmenthoek zit. Openbaar bestuur, onderwijs en gezondheidsinstellingen zijn het vaakst het doelwit. Maar je ziet wel dat leasure, entertainment en uitgaan steeds meer in het vizier komen van cybercriminelen. Het was vorig jaar groot nieuws toen Ticketmaster het slachtoffer werd van een datalek en de hackers onder meer de voor- en achternamen, mailadressen, telefoonnummers en de laatste vier cijfers en verloopdatum van creditcards van 560 miljoen Ticketmaster-klanten buit maakten.

Het was een wereldwijd breed uitgemeten hack, maar zeker geen unieke. In 2018 was Ticketmaster eerder al eens het slachtoffer van een hack, maar ook andere ticketingpartijen zijn al vaker het doelwit geweest. Tussen juni 2019 en januari 2022 hebben hackers toegang gekregen tot klantgegevens van See Tickets US, waaronder namen, adressen, creditcardnummers en vervaldata. In 2023 werden opnieuw gegevens van mogelijk meer dan 300.000 Amerikaanse klanten buitgemaakt. Het betrof uitsluitend See Tickets US; in de Benelux maakt See Tickets gebruik van een ander systeem, namelijk Paylogic. Vorig jaar werd de database van Eventim in Duitsland het doelwit van cyberhackers die het specifiek op de doorverkoop van Taylor Swift-tickets hadden voorzien. Het gaat in het geval van tickets veel breder dan alleen concerten en festivals. Ticketwebsite Ticketcounter, dat onder meer dierentuintickets verkoopt, is enkele jaren terug gehackt en ook diverse grote internationale sportwedstrijden waren vorig jaar het doelwit.

Sociale hacks

Dus behalve de vraag van wie welke data nu precies is, moet vooral ook de vraag gesteld worden waar welke data veilig zijn. En hoe je deze veilig houdt, getuige ook de vele verhalen van artiesten wiens Meta-account wordt gehackt waarna ze hun directe contact met de achterban verliezen. Eerder dit jaar in Nederland bijvoorbeeld Sanne Hans (Miss Montreal) nog en recent de Australische country-zanger Wil Linder, aan de vooravond van een release.

Cybersecurity Essentials

Hoe voorkom je dat je als artiest of als bedrijf het volgende doelwit wordt? Enkele essentiële tips:

1. Onderschat het risico niet

De belangrijkste tip komt van de Autoriteit Persoonsgegevens. Onderschat de kans op een hack en vooral de risico’s niet. Zowel voor jezelf, als de mensen over wiens data je beschikt. Hoewel de bewustwording groeit, is het overgrote deel van de bedrijven niet of nauwelijks voorbereid op cybercriminaliteit. En gemiddeld schat 69 procent van de organisaties die worden getroffen door een cyberaanval het risico voor de slachtoffers te laag in. Gemiddeld informeert – hoewel het verplicht is – slechts 46 procent van de getroffen partijen de slachtoffers wiens data is gelekt.

2. Verhoog kennis en bewustwording

Het overgrote deel van de datalekken is het resultaat van menselijke fouten. Het voorkomen daarvan begint dus bij kennisopbouw binnen de organisatie. Hoe exact, hangt uiteraard van het soort organisatie af. Als een artiest en een management gezamenlijk een social media-account beheren, is het bijvoorbeeld goed om een wachtwoordbeleid op te stellen. Zit een bedrijf meer aan de faciliterende of producerende kant van de (live)entertainmentbranche, is het nuttig om met regelmaat trainingen in te zetten om de kennis van de diverse werknemers – en freelancers – actueel te houden. Die kennis voorkomt de menselijke fouten.

3. Dek de digitale interne risico’s af

Niet iedere medewerker hoeft overal bij te kunnen. Beperkt dus de toegang van medewerkers tot alleen hun werkgebied. Een kasmedewerker op een festival hoeft geen inzicht te hebben in bijvoorbeeld de ticketing of beveiliging en vice versa. Mocht er een hack zijn, ligt niet direct een heel evenement plat.

4. Maak back-ups en vertrouw niet volledig op de cloud (of clouddiensten)

Wat de hacks van de sociale media van artiesten laten zien is dat ze in één keer het contact met al hun fans (lees: potentiële klanten) kwijt kunnen raken. Dit omdat deze volledig in de omgeving van de aanbieder van die diensten zitten. Op eenzelfde manier is zo alle data kwijt te raken als hier volledig op een clouddienst van een externe provider wordt geleund. Is dit het geval, ben je deze bij een cyberaanval in veel gevallen kwijt. Maak dus back-ups van je belangrijke data, bezoekersprofielen en/of fanprofielen en bewaar deze niet alleen in de cloud maar bijvoorbeeld ook op een eigen server. Back dus op meerdere plaatsen op, doe dit met regelmaat en check of de back-ups niet corrupt zijn.

5. Integreer digitale beveiliging in je organisatie

De techniek blijft zich in rap tempo ontwikkelen, maar veel festivals opereren organisatorisch nog alsof het 2015 is en beheren sociale media als een privépersoon. Ondertussen nemen de dreigingen toe. In mei presenteerde ABN AMRO een onderzoek waaruit bleek dat in Nederland drie op de tien grote bedrijven in 2024 schade heeft opgelopen door een cyberaanval. Tegelijk lijkt dat slechts twee op de drie grote bedrijven bekend zijn met de NIS2-verplichtingen die vanaf het derde kwartaal gaan gelden, ingaande risicobeheersing, het melden van incidenten en ketenverantwoordelijkheid. Regels waar ook de kleinere bedrijven – ook al hebben die geen verplichtingen op dit vlak – mee te maken gaan krijgen. Het is dus niet alleen zaak om als artiest of bedrijf cyberweerbaarheid op orde te brengen, maar dat ook actief bij te houden. Op dat gebied zijn nog veel stappen te zetten.

Categorie: Festivals & Concerten