Zes miljoen gestolen inloggegevens bij Europol: zo kijk je of jij erbij zit

Of: waarom het lek deze keer niet bij een website zat, maar op je eigen computer

Meestal gaat een bericht over gestolen wachtwoorden over een bedrijf dat iets slecht beveiligde: een webwinkel, een sportclub, een energieleverancier. Jij was klant, jouw gegevens lagen er, en nu liggen ze op straat. Het bericht van deze week is anders. De zes miljoen inloggegevens die Europol terugvond, zijn niet bij een website gestolen. Ze werden op de computers van de slachtoffers zelf geplukt. Dat maakt de vraag „zit ik erbij?” belangrijker dan anders, en het antwoord als je erbij zit, ook.

Gestolen inloggegevens bij Europol: wat er gevonden werd

Drie stukken gereedschap, te huur

Op donderdag 12 november 2026 maakte Europol bekend dat politiediensten uit negen landen drie malwarediensten offline hebben gehaald: Bulgarije, Canada, Denemarken, Duitsland, Moldavië, Nederland, Polen, het Verenigd Koninkrijk en de Verenigde Staten, met steun van Europol en Eurojust. Ze legden beslag op 235 servers en 257 domeinnamen. Arrestaties werden niet gemeld.

De drie diensten maakten zelf geen slachtoffers. Ze werden verhuurd aan andere criminelen. Cybercriminaliteit werkt intussen als een gewone toeleveringsketen: de ene bende bouwt het gereedschap, de andere huurt het, en een derde koopt wat ermee buitgemaakt wordt.

• Gootloader is een zogenaamde loader: software die andere malware binnenhaalt. De speurders haalden 14 servers en 218 domeinnamen offline en maakten 681 besmette websites schoon.
• CastleRAT, bekend sinds 2025, geeft een aanvaller van op afstand volledige controle over een computer. Volgens Europol leidde het tot versleutelde gegevens, lamgelegde systemen en betaalde losgeld. Hier gingen 120 servers en 39 domeinnamen uit de lucht.
• StealC is een infostealer: het steelt wachtwoorden, opgeslagen logins en wat Europol „digitale identiteiten” noemt. Er werden 102 servers ontmanteld, in het verlengde van een eerdere actie tegen StealC in juni 2026.

De operatie heet Endgame en loopt sinds mei 2024.¹ Europol noemt het de grootste internationale inspanning ooit tegen wie ransomware mogelijk maakt.

Het modelcontract dat je beter niet had gedownload

Gootloader verdient een aparte vermelding, omdat het precies mikt op het soort zoekopdracht dat een zelfstandige of een kmo doet. De bende verstopte de malware in valse juridische documenten, zoals modelovereenkomsten, op websites die ze eerder had gehackt, volgens Europol vaak WordPress-sites. Wie zo’n document downloadde, haalde de besmetting binnen, en dat kon later uitmonden in een ransomware-aanval. Volgens het Amerikaanse ministerie van Justitie besmette Gootloader wereldwijd minstens 25.000 computers en veroorzaakte het sinds 2018 zo’n 28,8 miljoen dollar schade.

Dat betekent ook dat er twee soorten betrokkenen zijn. De bezoeker die het document downloadde. En de eigenaar van de website die het, zonder het te weten, aanbood. Die 681 schoongemaakte websites waren van iemand.

Niet je winkel werd beroofd, maar je portefeuille

Een gewoon datalek kun je vergelijken met een inbraak bij je bakker. De dieven nemen het klantenbestand mee, en jouw naam en klantenkaart staan erin. Vervelend, maar het gaat over één winkel, en je weet welke.

Een infostealer werkt anders. Het steelt niet bij de winkel, maar uit je eigen portefeuille. En in die portefeuille zitten al je kaarten, plus het briefje waarop je de pincodes hebt genoteerd. Dat briefje is de lijst met wachtwoorden die je browser voor je onthoudt. Een infostealer leest die lijst uit, samen met het adres van elke website waarvoor ze dienen, en stuurt het geheel naar zijn baas. Infostealers nemen doorgaans ook de cookies mee waarmee je aangemeld blijft, zodat iemand soms zelfs zonder wachtwoord binnenraakt.

Dat verandert wat je moet doen als je erbij zit. Na een gewoon lek verander je je wachtwoord bij die ene dienst. Na een infostealer is het niet de dienst die lek is, maar je computer. Verander je je wachtwoorden op diezelfde computer, dan geef je de dief alleen je nieuwe wachtwoorden.

Zo kijk je of jij erbij zit

Europol deelt de gegevens van de slachtoffers van CastleRAT met een reeks meldingsdiensten. De bekendste is Have I Been Pwned van de Australische beveiligingsonderzoeker Troy Hunt. Daar staat sinds 13 november een aparte vermelding „CastleRAT”, met zo’n 180.000 mailadressen en 893.000 unieke wachtwoorden, die op de besmette computers samen meer dan drie miljoen keer voorkwamen.

1. Ga naar haveibeenpwned.com en geef je mailadres in. Doe het voor elk adres dat je gebruikt: privé, werk, en het oude Hotmail-adres waarmee je ooit overal inlogde.
2. Kijk of CastleRAT in de lijst staat. De dienst toont elk lek waarin je adres voorkomt, met de soort gegevens die erbij hoorden.
3. Check ook je wachtwoorden via het onderdeel Pwned Passwords. De 893.000 wachtwoorden van CastleRAT staan er ook in.²
4. Schrijf je in voor meldingen. Dan krijg je een mail wanneer je adres in een volgend lek opduikt.

Voor een kmo is er nog iets: met een eigen domeinnaam kun je in één keer kijken welke adressen van je bedrijf in een lek voorkomen. Je moet eerst bewijzen dat het domein van jou is. Normaal is die zoekfunctie alleen gratis tot tien getroffen adressen, maar CastleRAT staat bij Have I Been Pwned als lek dat je ook zonder abonnement mag zien, ongeacht de grootte van je domein.

Eén voorbehoud. Op dit moment staat alleen het deel van CastleRAT op Have I Been Pwned. Hoe de zes miljoen inloggegevens over de drie diensten verdeeld zijn, heeft Europol niet gezegd.³ Europol deelt de gegevens ook met andere organisaties, zoals het Nederlandse Nationaal Cyber Security Centrum, de stichting Shadowserver, het Nederlandse instituut DIVD en Check je hack van de Nederlandse politie. Niet gevonden betekent dus: niet gevonden in wat er tot nu toe is ingeladen. Dat is geen vrijspraak, het is een eerste controle.

Kmo-Kristof: Ik heb het nagekeken. CastleRAT. Mijn werkadres.

Security-Sofie: Dan verander je best je wachtwoorden.

Kmo-Kristof: Al gedaan. Allemaal, meteen, op mijn laptop.

Security-Sofie: Welke laptop?

Kmo-Kristof: De mijne. Die waarop ik in september dat modelcontract heb gedownload.

Security-Sofie: Dan weet de dief nu ook je nieuwe wachtwoorden.

Wat kun je nu doen?

Sta je erbij, of twijfel je:

1. Maak eerst de computer schoon. Laat een volledige scan lopen met een betrouwbaar antivirusprogramma. Bij twijfel, of voor een werkcomputer, laat je hem door een IT-dienstverlener nakijken of herinstalleren.
2. Verander daarna je wachtwoorden, vanaf een ander toestel waarvan je weet dat het veilig is. Begin met je mailbox: wie die heeft, kan bij de meeste andere diensten je wachtwoord opnieuw instellen. Dan je bank, je boekhouding, je wachtwoordmanager en je beheeraccounts.
3. Meld je overal af. De meeste diensten hebben een knop om alle sessies op alle toestellen te beëindigen. Zo wordt een gestolen cookie meestal waardeloos.
4. Zet tweefactorauthenticatie aan waar het nog niet aanstond, te beginnen bij je mail.
5. Laat je browser geen wachtwoorden meer onthouden. Een wachtwoordmanager met een sterk hoofdwachtwoord is voor een infostealer een moeilijker doelwit dan de lijst in je browser.

Heb je een WordPress-site, dan vraagt Europol je om je inloggegevens te vernieuwen, tweefactorauthenticatie aan te zetten en alles bij te werken. Een bijgewerkte WordPress is overigens niet altijd het hele verhaal. En een modelcontract haal je voortaan bij je beroepsfederatie, je boekhouder of je advocaat, niet bij de eerste zoekresultaten.

Zes miljoen inloggegevens is een groot getal, en het klinkt als iets wat bij anderen gebeurt, bij een groot bedrijf met een slechte beveiliging. Deze keer zat het lek niet bij een groot bedrijf. Het zat in de portefeuille van gewone mensen, en de politie heeft het briefje met de pincodes teruggevonden. Kijk even na of het jouw handschrift is.