Zevenentachtig minuten, een week te laat gereconstrueerd

De inbraak zelf duurde ongeveer 87 minuten in de vroege ochtend van 27 op 28 juli 2026. Volgens technisch directeur David Simpson stond er een AWS-toegangssleutel bloot in JavaScript-buildbestanden die rechtstreeks vanaf Beacons eigen publieke website werden aangeleverd, precies het pakket dat de browser van elke bezoeker binnenhaalt zonder ooit een waarschuwing te activeren.

Beacon merkte de inbraak niet in real time op. Volgens Simpson reconstrueerde het bedrijf het gebeurde pas achteraf door AWS-kosten- en gebruiksrapporten van mei tot juli 2026 te analyseren, en vond daarbij een piek in de datatransportkosten precies op die twee dagen, een aanwijzing die overeenkomt met de downloadactiviteit in plaats van afkomstig te zijn van een systeem dat het in real time detecteerde.

Die retrospectieve methode verklaart de vertraging in de openbaarmaking: het datalek vond plaats op 27-28 juli, Beacon informeerde klanten op 4 augustus en publiceerde op 13 augustus een update die nog steeds niet alle vragen kon beantwoorden. Simpson zei klanten rechtstreeks dat er dingen zijn die misschien nooit achterhaald kunnen worden over dit incident, en beloofde in de komende weken meer details.

Wie er werkelijk aan blootgesteld is

Beacons klantenbestand telt meer dan 1.500 goede doelen, en het bedrijf heeft expliciet verklaard nog niet te hebben vastgesteld bij hoeveel er daadwerkelijk data zijn buitgemaakt, alleen dat er een volledige kopie van de database is gemaakt, inclusief bijlagen, en dat die vrijwel zeker in leesbare vorm is gedownload.

The Register noemt concrete getroffen organisaties, waaronder Molly Rose Foundation, Macmillan Cancer Support Jersey, English National Ballet, Sheffield Hospitals Charity, Shrewsbury and Telford Hospital Charity, British Deaf Association en Lincoln Cathedral, een reeks die loopt van rouwbegeleiding tot ziekenhuisfondsenwerving, doventolkondersteuning en cultureel erfgoed.

Dit zijn geen klinische gegevens zoals bij een ziekenhuis zelf, maar donateurs- en achterbangegevens bij dit soort organisaties betreffen regelmatig mensen in rouw, ziekte of crisis, precies de groep die een verwerkingsverantwoordelijke met meer, niet minder, zorg zou moeten beschermen dan een gewone adreslijst.

Het gat dat DORA en NIS2 moesten dichten, maar niet bereiken

De Europese DORA-verordening verplicht financiële instellingen om, op grond van de artikelen 28 tot en met 30, een register bij te houden van elke externe ICT-leverancier en het risico van elk daarvan te beoordelen, precies zodat de beveiligingsstatus van een leverancier wordt getoetst voor een incident, niet erna. NIS2 legt vergelijkbare beveiligings- en meldingsverplichtingen op aan essentiële en belangrijke entiteiten in sectoren als energie, gezondheidszorg, digitale infrastructuur en openbaar bestuur.

Goede doelen en de SaaS-leveranciers die hen bedienen vallen volledig buiten beide regimes. Hun enige vangnet is het algemene verantwoordingsbeginsel uit de Britse privacywetgeving, dat een organisatie nog steeds aansprakelijk houdt als verwerkingsverantwoordelijke, zelfs als het product van een verwerker faalt, plus de vrijwillige meldingsprocedure van de Charity Commission, die de toezichthouder zelf omschrijft als een prioritering op basis van risico in plaats van een gelijktijdige behandeling van alle meldingen.

Dat is de conclusie van Servola die in geen enkel afzonderlijk bericht naar voren komt: een sleutel die in publieke JavaScript is achtergebleven, is precies het type basale fout in de omgang met geheimen die de verplichte penetratietest en het auditspoor van DORA moeten opvangen bij een gereguleerde leverancier voordat het contract wordt getekend. Haal dat regime weg, zoals in de goededoelensector het geval is, en de controle die tijdens de inkoop had moeten plaatsvinden, gebeurt nu achteraf, melding na melding, in de wachtrij bij de Charity Commission.

Wat een goed doel zou moeten vragen voor het verlengen van een contract

Het praktische antwoord vergt geen nieuwe wet. Elke organisatie die een SaaS-contract ondertekent of verlengt, kan rechtstreeks aan de leverancier bewijs vragen van geautomatiseerd geheimen-scannen in zijn buildproces, een schriftelijke toezegging over de reactietijd bij incidenten, en bevestiging van welke velden voor donateurs of begunstigden echt nodig zijn en welke slechts gemakkelijk.

Het patroon is niet uniek voor Beacon. Datalekken bij leveranciers die worden veroorzaakt door basale fouten in de omgang met inloggegevens, van het nog altijd onverklaarde social-engineeringincident bij RingCentral tot het compromitteren van de logistieke leverancier bij Trezor en ShipMonk, herhalen zich omdat beveiligingswaarborgen voor de toeleveringsketen die zijn ontworpen voor gereguleerde sectoren zich niet automatisch uitstrekken tot aangrenzende sectoren die dezelfde klasse tools kopen met een fractie van het beveiligingsbudget en zonder enig contractueel drukmiddel.

Zolang dat drukmiddel niet bestaat voor goede doelen zoals het wel bestaat voor banken onder DORA, doet de vrijwillige melding bij de Charity Commission het controlewerk dat geen enkele externe toezichthouder vandaag op zich kan nemen, de ene onderbemande organisatie en de ene melding na de andere.

Lees hierna: 45.601 lekken, 171 worden echt misbruikt  |  Een bericht bereikte de SSH-sleutels