Datalek controleren: zo check je of je e-mailadres, telefoonnummer of wachtwoorden zijn gelekt

Kort antwoord

Om te checken of je e-mailadres is gelekt, vul je het in op haveibeenpwned.com, dat de datalekken toont waarin het voorkwam. In Nederland kan het ook bij Check je hack van de politie. Controleer je opgeslagen wachtwoorden met Google Wachtwoordcontrole of het beveiligingsrapport van je wachtwoordmanager. Er is geen betrouwbare gratis checker voor telefoonnummers, dus ga ervan uit dat het jouwe is uitgelekt als een gelekt account het bevatte. Wijzig daarna hergebruikte wachtwoorden, zet passkeys of tweestapsverificatie via een app aan, vraag een pincode bij je provider, en bevries je krediet (VS) of overweeg Cifas Protective Registration (VK).

Belangrijke cijfers

• 17,8 miljardgelekte accounts doorzoekbaar op Have I Been Pwned, afkomstig van meer dan 1.000 gehackte websitesHave I Been Pwned
• $1,31 miljardverloren in 2025, verdeeld over 67.456 klachten over datalekken met persoonsgegevens bij de FBIFBI IC3 2025 Internet Crime Report
• 38%stijging van het aantal ongeautoriseerde simswaps in de Britse National Fraud Database in 2025Cifas Fraudscape 2026
• 4,46 miljoenmensen van wie naam, Social Security-nummer en geboortedatum uitlekten bij het datalek van TransUnion in 2025SecurityWeek

Je kreeg een e-mail dat een bedrijf waar je klant bent “te maken heeft gehad met een beveiligingsincident”. Of een oplichter stuurde je een sms met je naam erin. Hoe dan ook is de vraag dezelfde: wat van mij ligt er op straat, en wat kan iemand ermee? Tijd om een datalek te controleren. Have I Been Pwned, de bekendste checker voor datalekken, bevat meer dan 17,8 miljard gelekte accounts. De kans dat er minstens één van jou tussen zit, is groot.

Een lek is niet hetzelfde als gehackt zijn. Maar het geeft criminelen de grondstof voor phishing, het overnemen van accounts en identiteitsfraude. De FBI registreerde in 2025 67.456 klachten over datalekken met persoonsgegevens, met $1,31 miljard aan gemelde verliezen. De stappen hieronder kosten ongeveer 30 minuten en sluiten de meeste deuren die een lek openzet.

Hoe check ik of mijn e-mailadres in een datalek zat?

Vul je e-mailadres in op haveibeenpwned.com. Het is gratis, wordt gerund door beveiligingsonderzoeker Troy Hunt, en toont elk bekend datalek waarin je adres voorkwam, met de datum en de soorten gegevens die zijn uitgelekt. In Nederland kun je je e-mailadres ook checken bij Check je hack van de politie: die kijkt of het voorkomt in gestolen datasets uit politieonderzoeken en stuurt je een e-mail als dat zo is.

1. Check elk adres dat je ooit hebt gebruikt, ook oude werk-, school- en wegwerpadressen.
2. Lees elke vermelding van een datalek. Noteer wat er is uitgelekt: wachtwoorden, telefoonnummers, adressen, geboortedata, beveiligingsvragen.
3. Geef voorrang aan lekken met wachtwoorden of nummers van identiteitsbewijzen, en aan elk account dat je nog gebruikt.
4. Zet Notify me aan zodat je een e-mail krijgt als je adres in een toekomstig datalek opduikt.

“No breaches found” betekent niet dat je veilig bent. Veel datalekken worden nooit openbaar gemaakt, en sommige gegevens worden in stilte verkocht. Zie het als goed nieuws, niet als garantie.

Hoe check ik of mijn wachtwoorden zijn gelekt?

Gebruik Google Wachtwoordcontrole op passwords.google.com als je wachtwoorden in Chrome of Android opslaat. Het laat zien welke opgeslagen wachtwoorden zijn gelekt en welke zwak zijn. De Wachtwoorden-app van Apple en de meeste wachtwoordmanagers hebben een vergelijkbaar beveiligingsrapport.

Je kunt ook één wachtwoord testen op de pagina Pwned Passwords van Have I Been Pwned. Die verstuurt je wachtwoord nooit: je browser maakt er een hash van, stuurt alleen de eerste vijf tekens van die hash, en vergelijkt de resultaten op je eigen apparaat.

Een gelekt wachtwoord is vooral een probleem als je het hebt hergebruikt. Criminelen nemen gelekte combinaties van e-mailadres en wachtwoord en proberen die automatisch bij banken, e-mail, webwinkels en sociale accounts. Dat heet credential stuffing, en daarom kan één oud datalek tien accounts openen.

Hoe weet ik of mijn telefoonnummer is gelekt?

Er is geen betrouwbare gratis tool die telefoonnummers in alle datalekken checkt, dus het eerlijke antwoord is: als een gelekt account je nummer bevatte, ga er dan van uit dat het is uitgelekt. Sterke signalen zijn een plotselinge toename van oplichtingstelefoontjes en -sms'jes, berichten met je naam erin, en eenmalige codes waar je niet om vroeg.

Je nummer is waarschijnlijk ook op andere manieren openbaar. People search sites, oude vermeldingen en sociale profielen koppelen telefoonnummers aan namen en adressen. Wil je zien wat een vreemde aan jou kan koppelen, doe dan een Check jezelf-zoekopdracht bij Search A-Z. Het rapport toont de openbare profielen, vermeldingen op het web en werkgegevens die aan je naam gekoppeld zijn, en checkt of een telefoonnummer of e-mailadres dat je invult echt is, wat voor aansluiting het is (mobiel, vast of internet/VoIP) en of er een frauderisico aan kleeft. Bij zoekopdrachten in de VS kunnen ook openbare registers zoals adressen en telefoonnummers worden getoond.

Wat waren de grootste datalekken in 2025 en 2026?

Bij recente datalekken lekten vooral contactgegevens en identiteitsgegevens uit, geen kaartnummers, en dat is precies wat oplichters gebruiken voor phishing en imitatie. Een paar van de grootste:

Het datalek bij Carnival begon met social engineering: een aanvaller misleidde een medewerker om toegang te geven, volgens Malwarebytes. Medio 2025 waarschuwden krantenkoppen voor “16 miljard gelekte wachtwoorden”. BleepingComputer meldde dat het ging om een verzameling oude datalekken en logbestanden van infostealer-malware, niet om een nieuw datalek. Het was wel een goede reden om te stoppen met het hergebruiken van wachtwoorden.

Wat kunnen oplichters met mijn gelekte gegevens doen?

Oplichters gebruiken gelekte gegevens om hun benadering geloofwaardig te maken en om langs beveiligingschecks te komen. De belangrijkste risico's:

• Gerichte phishing. Een bericht met je naam, het bedrijf dat het lek had en je echte bestel- of accountgegevens. Vaak doen ze zich voor als het gelekte bedrijf, met “compensatie” of “accountverificatie”.
• Accountovername. Gelekte wachtwoorden worden geprobeerd op je e-mail, bank en webwinkels. Cifas registreerde in 2025 meer dan 78.000 gevallen van accountovername in het VK.
• Simswap. Met je naam, nummer en geboortedatum overtuigt een crimineel je provider om je nummer naar zijn simkaart over te zetten, en ontvangt daarna je sms-codes. De FBI ontving in 2025 971 klachten over simswaps met $17,4 miljoen aan verliezen, en Cifas zag een stijging van 38% in het VK.
• Identiteitsfraude. Krediet, telefoonabonnementen of accounts openen op jouw naam. Identiteitsfraude was in 2025 goed voor 54% van alle gevallen in de Britse National Fraud Database, meer dan 242.000 gevallen.
• Zich voordoen als jou. Berichten aan je contacten of werkgever die van jou lijken te komen, soms vanaf een nagemaakt e-mailadres.

Een typisch oplichtingsbericht na een datalek ziet er zo uit:

Hoi [je naam], na het recente datalek bij [bedrijf] is je account gemarkeerd. Bevestig binnen 24 uur je gegevens om toegang te houden en je compensatie te claimen: [link]

Klik nooit op links in berichten over een datalek. Ga zelf naar de website of app van het bedrijf. Vraagt een bericht op je werk om een e-mailafzender of betaalgegevens te bevestigen, dan loopt onze gids over een e-mailafzender controleren de checks met je door.

Wat moet ik doen als mijn gegevens zijn gelekt?

Zijn je gegevens gelekt, wijzig dan elk uitgelekt of hergebruikt wachtwoord, zet een sterkere manier van inloggen aan, bescherm je telefoonnummer en blokkeer je krediet. Doe het in deze volgorde:

1. Beveilig eerst je hoofd-e-mailadres. Daarmee reset je al het andere. Een nieuw, uniek wachtwoord, en daarna tweestapsverificatie.
2. Wijzig elk hergebruikt wachtwoord. Gebruik een wachtwoordmanager zodat elk account een uniek wachtwoord krijgt. Denk je dat je computer malware heeft, scan hem dan eerst, anders kunnen ook de nieuwe wachtwoorden worden gestolen.
3. Stap over op passkeys waar dat kan. Google, Apple, Microsoft, Amazon, PayPal en veel banken ondersteunen ze. Passkeys kunnen niet worden gephisht of hergebruikt.
4. Gebruik een authenticator-app, geen sms, voor codes van tweestapsverificatie op belangrijke accounts. Bij een simswap worden sms-codes onderschept.
5. Vraag een pincode of simblokkering bij je provider. Vraag je mobiele provider om een pincode voor het overzetten van je nummer of een nummerblokkering, zodat niemand je nummer zonder die code kan verhuizen.
6. Bevries je krediet (VS). Een credit freeze is gratis, heeft geen invloed op je score, en blijft staan tot je hem opheft. Doe het bij alle drie de bureaus: Equifax, Experian en TransUnion. Een gratis fraudewaarschuwing (fraud alert), aangevraagd bij één bureau, blijft een jaar staan.
7. Houd je rekeningen in de gaten. Check bank- en kaartafschriften, en je kredietrapport, op alles wat je niet herkent.

VK: Cifas Protective Registration

Inwoners van het VK van wie identiteitsgegevens zijn gelekt, kunnen Cifas Protective Registration afsluiten, dat £30 kost voor twee jaar. Het markeert je naam en adres in de National Fraud Database, zodat kredietverstrekkers en telefoonbedrijven extra checks doen voordat ze iets op jouw naam openen. Echte aanvragen kunnen iets langer duren, en het heeft geen invloed op je kredietscore. Cifas zegt dat het vooral nuttig is in de eerste maanden na een lek. Check ook je kredietrapport bij Experian, Equifax of TransUnion UK.

EU: wat er anders is

De EU heeft geen centraal systeem voor een credit freeze. Licht je bank in, houd je rekeningen in de gaten, en weet dat een bedrijf met een datalek dat volgens de AVG moet melden bij zijn privacytoezichthouder en, als het risico hoog is, jou rechtstreeks moet informeren. In Nederland meld je misbruik van je identiteit bij het Centraal Meldpunt Identiteitsfraude (CMI).

Hoe merk ik dat iemand mijn identiteit gebruikt?

Iemand gebruikt mogelijk je identiteit als je activiteit ziet die je niet zelf bent begonnen. Let op:

• E-mails om je wachtwoord te resetten of inlogmeldingen waar je niet om vroeg
• Je telefoon verliest plotseling bereik en toont “Geen service” of “Alleen SOS”
• Rekeningen, kredietchecks of accounts die je niet herkent
• Vrienden die vreemde berichten of geldverzoeken “van jou” krijgen
• Incassobureaus die bellen over schulden die niet van jou zijn

Zonder reden je bereik kwijtraken is urgent: bel meteen je provider vanaf een andere telefoon, want het kan betekenen dat je nummer is overgezet. Een nep social media-profiel met je naam en foto's herken je makkelijker als je weet wat er normaal over je online staat, en daarbij helpt onze gids over wat internet over jou zegt.

Waar meld ik identiteitsfraude of oplichting na een datalek?

Meld identiteitsdiefstal in de VS op IdentityTheft.gov, dat een herstelplan opstelt en het rapport maakt dat je nodig hebt voor een verlengde fraudewaarschuwing van zeven jaar. Meld online fraude bij de FBI op ic3.gov.

VK: meld fraude en cybercrime bij Report Fraud, de opvolger van Action Fraud, op reportfraud.police.uk of 0300 123 2040. Neem in Schotland contact op met Police Scotland op 101. Stuur oplichtings-sms'jes door naar 7726.

EU: meld fraude bij je lokale politie, en dien een klacht in bij je nationale privacytoezichthouder als een bedrijf slordig met je gegevens omging. In Nederland doe je aangifte van identiteitsfraude bij de politie, en is de Autoriteit Persoonsgegevens de privacytoezichthouder.

Heeft het lek je woonadres of telefoonnummer op openbare sites gezet, dan laat onze gids over je gegevens laten verwijderen van people search sites zien hoe je ze offline haalt.

Kort samengevat

Check elk e-mailadres dat je ooit hebt gebruikt op Have I Been Pwned, loop je opgeslagen wachtwoorden na, en ga ervan uit dat je telefoonnummer op straat ligt. Doe daarna wat criminelen echt tegenhoudt: unieke wachtwoorden, passkeys of tweestapsverificatie via een app, een pincode bij je provider, en een credit freeze in de VS of Protective Registration in het VK.

Veelgestelde vragen

Hoe check ik of mijn e-mailadres is gelekt?

Vul het in op haveibeenpwned.com. De gratis dienst toont elk bekend datalek waarin je e-mailadres voorkwam en welke gegevens zijn uitgelekt. Zet Notify me aan voor meldingen over toekomstige datalekken, en check elk e-mailadres dat je hebt gebruikt. In Nederland kun je ook Check je hack van de politie gebruiken.

Is Have I Been Pwned veilig om te gebruiken?

Ja. Het is een gratis dienst die al jaren bestaat en wordt gerund door beveiligingsonderzoeker Troy Hunt. Zoeken op je e-mailadres laat alleen zien in welke datalekken het voorkomt. De wachtwoordchecker verstuurt nooit je echte wachtwoord; die stuurt alleen een deel van een hash.

Kan ik checken of mijn telefoonnummer is gelekt?

Niet betrouwbaar en gratis. Bevatte een gelekt account je nummer, ga er dan van uit dat het is uitgelekt. Meer oplichtings-sms'jes, berichten met je naam en eenmalige codes waar je niet om vroeg zijn veelvoorkomende signalen. Bescherm het met een pincode of simblokkering bij je provider.

Wat doe ik als eerste na een datalek?

Beveilig je hoofd-e-mailaccount met een nieuw, uniek wachtwoord en tweestapsverificatie, en wijzig daarna elk hergebruikt wachtwoord. Bevries in de VS je krediet bij Equifax, Experian en TransUnion. Overweeg in het VK Cifas Protective Registration.

Is een credit freeze slecht voor mijn kredietscore?

Nee. Een credit freeze is in de VS gratis, heeft geen invloed op je score, en blijft staan tot je hem opheft. Je kunt hem tijdelijk opheffen bij het bureau dat een kredietverstrekker gebruikt als je krediet aanvraagt.

Wat is een simswap en hoe voorkom ik het?

Bij een simswap overtuigt een crimineel je provider om je nummer naar zijn simkaart over te zetten, zodat hij je telefoontjes en sms-codes krijgt. Voorkom het met een pincode of nummerblokkering bij je provider, en gebruik een authenticator-app of passkeys in plaats van sms-codes.

Bronnen

1. Have I Been Pwned
2. Have I Been Pwned: Pwned Passwords
3. FBI IC3 2025 Internet Crime Report
4. Cifas Fraudscape 2026
5. Cifas Protective Registration
6. FTC: wat je moet weten over credit freezes en fraudewaarschuwingen
7. SecurityWeek: datalek bij TransUnion treft 4,4 miljoen mensen
8. BleepingComputer: Co-op bevestigt diefstal van gegevens van 6,5 miljoen leden
9. Malwarebytes: Carnival bevestigt datalek bij bijna 6 miljoen mensen (mei 2026)
10. TechRepublic: de grootste datalekken van 2026 tot nu toe
11. BleepingComputer: het lek van 16 miljard inloggegevens is geen nieuw datalek
12. techUK: Report Fraud vervangt Action Fraud

De cijfers zijn de meest recente die elke bron had gepubliceerd toen deze gids werd bijgewerkt. Gemelde fraudeschade is een ondergrens: de meeste fraude wordt nooit gemeld.