Je hebt het vast weleens gedaan: bij het openen van een account op een beurs een foto van je rijbewijs of paspoort uploaden. Even een vervelend klusje, en dan denk je er niet meer aan. Maar wat gebeurt er eigenlijk met dat document nadat je op verzenden hebt gedrukt? Deze week kreeg die vraag opeens een heel ongemakkelijk antwoord.
Beveiligingsonderzoeker en journalist Brian Krebs ontdekte een darkweb-dienst met de naam Nexus, die beweert scans van meer dan 153 miljoen rijbewijzen te koop aan te bieden. Het zou gaan om documenten van mensen uit de Verenigde Staten en Canada. En dat heeft binnen de crypto-wereld een storm van kritiek losgemaakt op de verplichte identiteitscontroles.
Wat is er precies gelekt?
Even terug naar de basis. KYC staat voor “Know Your Customer”, oftewel: ken je klant. Het is de verplichting voor bedrijven om te controleren wie je bent voordat je hun dienst mag gebruiken. Beurzen, banken en steeds meer apps vragen daarom om een foto van je rijbewijs of paspoort, vaak samen met een selfie.
Het idee erachter is goed bedoeld: witwassen en fraude tegengaan. Maar er zit een addertje onder het gras. Al die gevoelige documenten moeten ergens worden opgeslagen. En zodra ze op een server staan, vormen ze een aantrekkelijk doelwit voor hackers. Volgens het onderzoek van Krebs zou de dienst zelfs identiteitsbewijzen van hooggeplaatste personen aanbieden. Inmiddels doet ook de FBI onderzoek naar de zaak, zo bleek uit het verslag van Krebs on Security.
Waarom is de crypto-wereld zo boos?
Voor veel mensen in crypto is dit precies waar ze al jaren voor waarschuwen. Het argument is simpel: hoe meer bedrijven verplicht worden om jouw persoonsgegevens te verzamelen, hoe groter de kans dat die gegevens ooit uitlekken. Je levert je privacy in voor de belofte van veiligheid, maar krijgt er een nieuw risico voor terug.
Erik Voorhees, een bekende voorvechter van financiële privacy, reageerde fel op X. Hij en anderen zien het lek als het levende bewijs dat het massaal opslaan van identiteitsgegevens vroeg of laat misgaat. Het punt dat ze maken: de databases zelf zijn het probleem, niet de dieven.
Wat betekent dit voor jou?
Ook als je in Nederland woont, raakt dit thema je. Ook hier moet je bij elke gereguleerde beurs je identiteit bewijzen, en onder Europese regels zoals MiCA en de nieuwe anti-witwaswetgeving wordt die verplichting eerder strenger dan losser. Je gegevens belanden dus net zo goed in databases die kwetsbaar kunnen zijn.
Dat maakt de discussie zo ingewikkeld. Aan de ene kant helpen identiteitscontroles echt om oplichters en witwassers te weren. Aan de andere kant creëer je gigantische schatkamers vol persoonsgegevens die, zoals dit lek laat zien, niet altijd veilig zijn. Het is een afweging tussen twee soorten risico, en er is geen makkelijk antwoord.
Wat je hier vooral uit kunt meenemen: wees je ervan bewust dat een geüpload identiteitsbewijs nooit helemaal onder jouw controle blijft. Kies waar mogelijk voor betrouwbare, gereguleerde partijen, gebruik sterke en unieke wachtwoorden met tweestapsverificatie, en blijf alert op phishing. Want zodra jouw gegevens ergens rondzwerven, worden pogingen om je op te lichten een stuk overtuigender.
