Belangrijk: jouw gegevens mogelijk in verkeerde handen

Beste leden,

We willen jullie informeren over een datalek bij AllUnited. Dit is het systeem dat 2CV Club Nederland gebruikt voor de ledenadministratie. AllUnited verzorgt de ledenadministratie voor veel verschillende clubs en verenigingen. Helaas zijn daarbij ook de persoonsgegevens van onze leden buitgemaakt.

Dat vinden we bijzonder vervelend. We begrijpen dat dit vragen of zorgen kan oproepen. In deze brief leggen we uit wat er is gebeurd, om welke gegevens het gaat en waar je de komende tijd op moet letten.

Wat is er gebeurd?

Op maandagavond 9 november 2026 heeft een onbekende aanvaller misbruik gemaakt van een kwetsbaarheid in de software van AllUnited. Hierdoor was het mogelijk om gegevens uit de database te kopiëren.

Dit betreft gegevens van verenigingen die gebruikmaken van AllUnited, waaronder 2CV Club Nederland.

AllUnited heeft het datalek op 10 november ontdekt en de kwetsbaarheid dezelfde dag verholpen.

Om welke gegevens gaat het?

Van onze leden zijn de volgende gegevens buitgemaakt:

• Naam, adres en woonplaats
• E-mailadres en telefoonnummer
• Geboortedatum en geboorteplaats
• Rekeningnummer (IBAN)
• Overige gegevens uit het ledenbestand, zoals lidnummer, team of functie.

Daarnaast zijn van vier leden die een persoonlijk AllUnited-account hebben ook de inloggegevens betrokken bij het datalek.

Wat kunnen de gevolgen zijn?

Met deze gegevens kunnen criminelen proberen zich voor te doen als 2CV Club Nederland, AllUnited of bijvoorbeeld je bank.

Omdat zij over echte persoonsgegevens beschikken, kunnen berichten en telefoontjes erg geloofwaardig overkomen. Denk bijvoorbeeld aan:

• Een e-mail die lijkt te komen van onze ledenadministratie, met het verzoek om contributie te betalen.
• Een WhatsApp-bericht of sms met een betaalverzoek.
• Een telefoontje van iemand die zich voordoet als medewerker van je bank.
• Berichten waarin persoonlijke gegevens worden genoemd om vertrouwen te wekken.

Wees hier de komende tijd extra alert op.

Wat kun je zelf doen?

We adviseren je om de komende tijd extra voorzichtig te zijn met berichten, telefoontjes en betaalverzoeken. Let daarbij op het volgende:

• Klik niet zomaar op links in e-mails, sms’jes of WhatsApp-berichten.
• Controleer altijd het e-mailadres of telefoonnummer van de afzender.
• Geef nooit wachtwoorden, pincodes of verificatiecodes door.
• Maak niet zomaar geld over op verzoek van iemand die je niet kent.
• Controleer regelmatig je bankrekening op onbekende afschrijvingen.

2CV Club Nederland stuurt nooit via Email, sms of WhatsApp een betaalverzoek om via een link de contributie te betalen. Ook vragen wij nooit per e-mail, sms of WhatsApp om wachtwoorden, bankgegevens of verificatiecodes. Bij een eventuele betalingsachterstand wordt er altijd gevraagd de contributie zelf over te maken naar de rekening van de 2CV Club.

Twijfel je over een bericht dat zogenaamd van onze vereniging afkomstig is? Klik dan niet op eventuele links, maar neem rechtstreeks contact met ons op via de bekende contactgegevens.

Wat doen wij en AllUnited?

Naar aanleiding van het datalek zijn de volgende maatregelen genomen:

• AllUnited heeft de kwetsbaarheid in de software verholpen.
• De wachtwoorden van de vier leden met een persoonlijk AllUnited-account zijn opnieuw ingesteld.
• AllUnited voert aanvullende beveiligingsmaatregelen en controles in.
• Wij hebben het datalek gemeld bij de Autoriteit Persoonsgegevens.
• Wij hebben onze leden zo snel mogelijk geïnformeerd en dit bericht ook op onze website geplaatst.

Vragen?

Heb je vragen naar aanleiding van dit bericht of twijfel je over een bericht dat je hebt ontvangen? Neem dan contact op met onze voorzitter, Gerrit Klijnhout, via ln.bulcvc2obfsctd-102d24@rettizroov.

Hoewel wij als vereniging geen invloed hebben gehad op het ontstaan van dit datalek, vinden we het bijzonder vervelend dat dit is gebeurd. We nemen de situatie serieus en houden jullie op de hoogte als er nieuwe informatie beschikbaar komt.

Met vriendelijke groet,

Gerrit Klijnhout
Voorzitter 2CV Club Nederland

Zo werkt phishing: uitleg voor clubs en leden

De onderstaande voorbeelden zijn fictief. Ook de namen, bedragen en rekeninggegevens zijn verzonnen.

Waarom dit nu extra belangrijk is

Bij het datalek zijn persoonsgegevens van onze leden buitgemaakt. Denk aan namen,
adressen, geboortedata, telefoonnummers, e-mailadressen en rekeningnummers.

Criminelen kunnen deze gegevens gebruiken om zeer geloofwaardige berichten te maken.
Een bericht waarin jouw echte naam, adres of laatste cijfers van je rekeningnummer staan,
kan daardoor betrouwbaar lijken. Maar dat betekent absoluut niet dat het bericht echt is.
Hieronder geven we twee voorbeelden.

Voorbeeld 1: een e-mail ‘van de club’

Van: Ledenadministratie 2CV Club Nederland
Onderwerp: Je contributie is niet geïncasseerd

Beste [jouw naam],

De incasso van je contributie (€ 60,00) van je rekening NL•• •••• •••• ••12 34 is niet gelukt.

Betaal het bedrag binnen 48 uur via onderstaande link. Als de betaling uitblijft, wordt je
lidmaatschap stopgezet en kun je niet meer deelnemen aan de activiteiten.

[Nu betalen]

Wat klopt er niet?

• Het afzenderadres lijkt op dat van de club, maar kan afkomstig zijn van een oplichter.
• Er worden echte persoonsgegevens gebruikt. Dat bewijst niet dat het bericht
  betrouwbaar is.
• Er wordt druk uitgeoefend met een korte betalingstermijn en een dreiging.
• De betaallink verwijst mogelijk naar een website van criminelen.

Let op: wij sturen nooit een sms of WhatsApp-bericht met een betaalverzoek!

Voorbeeld 2: een telefoontje ‘van de bank’

Je wordt gebeld door iemand die zegt dat hij van je bank is. Hij noemt je naam, adres en
rekeningnummer. Vervolgens vertelt hij dat er verdachte afschrijvingen zijn gedaan.

Om je geld veilig te stellen, moet je een code doorgeven of geld overmaken naar een
zogenaamde ‘veilige rekening’.

Wat klopt er niet?

• Een bank vraagt je nooit om je pincode of verificatiecodes door te geven.
• Een bank zal je nooit vragen om geld over te maken naar een zogenaamde veilige
  rekening.
• Vertrouw je het telefoontje niet? Hang op en bel zelf je bank via het officiële
  telefoonnummer op je bankpas of de website van je bank.

De vier belangrijkste regels

1. Geef nooit persoonlijke codes door.
   Je club, bank of AllUnited zal je nooit via e-mail, sms of WhatsApp vragen om je
   wachtwoord, pincode of verificatiecode.
2. Klik niet zomaar op links.
   Twijfel je aan een bericht? Klik niet op de link, maar ga zelf naar de officiële website of neem
   rechtstreeks contact op met de betreffende organisatie.
3. Controleer je bankrekening.
   Houd je afschrijvingen in de gaten. Een automatische incasso kun je doorgaans binnen 8
   weken zonder opgave van reden terugboeken. Is er nooit toestemming gegeven voor de
   incasso, dan kun je deze tot 13 maanden na afschrijving laten terugboeken.
4. Heb je toch betaald of gegevens doorgegeven?
   Neem onmiddellijk contact op met je bank. Verander zo nodig je wachtwoorden en meld de
   fraude bij de Fraudehelpdesk.

Blijf alert, maar raak niet in paniek. Met een beetje extra oplettendheid kun je veel
problemen voorkomen