Let op: Datalek bij AllUnited

Op maandagavond 9 november 2026 heeft een buitenstaander misbruik gemaakt van een fout in de software van AllUnited en daarbij gegevens uit de database gekopieerd. Het datalek raakt alle organisaties die AllUnited gebruiken, dus ook Rugby Nederland en de rugbyclubs. AllUnited ontdekte het op dinsdag 10 november en heeft de fout dezelfde dag gedicht. Wij hebben direct contact opgenomen met onze contactpersonen bij AllUnited en rechtstreeks bevestigd gekregen dat het om een echte hack gaat. Wij zijn ons ervan bewust dat dit vervelend nieuws is en leven met alle betrokkenen mee.

Welke gegevens kunnen betrokken zijn?
Dat hangt af van wat je club of Rugby Nederland in het systeem heeft vastgelegd. Het kan gaan om je naam, adres en woonplaats, e-mailadres, telefoonnummer, geboortedatum, geboorteplaats en IBAN, plus eventuele overige gegevens of opmerkingen die in je ledenrecord staan. Heb je een account op het platform, dan kunnen ook je inloggegevens betrokken zijn. Wachtwoorden stonden versleuteld opgeslagen; AllUnited heeft ze desondanks allemaal ongeldig gemaakt.

Wat kunnen de gevolgen zijn?
Criminelen kunnen deze gegevens gebruiken om je te misleiden (phishing). Je kunt bijvoorbeeld een bericht krijgen dat van je club, Rugby Nederland, AllUnited of je bank lijkt te komen, waarin wordt gevraagd om een betaling, om in te loggen of om gegevens door te geven.

Voorbeeld 1: Betaalmail van de club

“De incasso van je contributie (€ 87,50) van je rekening NL•• •••• •••• ••12 34 is niet gelukt. Betaal binnen 48 uur via de link hieronder. Anders wordt je lidmaatschap stopgezet en kun je niet meer meedoen met de training op dinsdag”

Wat klopt er niet?

Het afzenderadres lijkt op dat van de club, maar is het niet.
Er staan echte gegevens in: je naam, de laatste cijfers van je rekening en je trainingsdag. Dat bewijst niets, want die gegevens zijn gestolen.
Er is haast (‘binnen 48 uur’) en een dreiging (‘lidmaatschap stopgezet’).
De link gaat naar een betaalpagina van de oplichter, niet van de club.

Voorbeeld 2: een WhatsApp namens de club

“Hoi Sanne, hier Mark van de ledenadministratie van AAC. Je geboortedatum 14-03-1988 klopt niet in ons systeem. Wil je even inloggen via deze link om het te controleren?”

Wat klopt er niet?

De club vraagt nooit via een link om in te loggen of iets te ‘controleren’.
Dat de afzender je geboortedatum kent, maakt het bericht niet echt.

Wat doen wij en AllUnited?

AllUnited heeft de fout gedicht en alle wachtwoorden ongeldig gemaakt.
AllUnited heeft het datalek gemeld bij de Autoriteit Persoonsgegevens en aangifte gedaan bij de politie.
Rugby Nederland meldt het datalek ook zelf bij de Autoriteit Persoonsgegevens en heeft de clubs geïnformeerd over de stappen die zij moeten nemen.
Wij hebben vertrouwen in de aanpak van AllUnited. Het platform kan weer gebruikt worden, zodra je een nieuw wachtwoord hebt ingesteld.

Wat kun je zelf doen?

Stel een nieuw wachtwoord in. Heb je een account? Kies bij de eerstvolgende keer inloggen via “Wachtwoord vergeten” een nieuw wachtwoord. Gebruik je dat wachtwoord ook ergens anders, wijzig het daar dan ook.
Wees alert op berichten. Een club vraagt niet zomaar via mail, sms of WhatsApp om je wachtwoord, een code of je rekeningnummer.
Twijfel je? Klik niet op de link. Ga zelf naar de website van je club of van Rugby Nederland, of bel de club.
Controleer de afzender. Twijfel je bij een e-mail die van je club of Rugby Nederland lijkt te komen en die vraagt om een wachtwoord, code of betaling? Controleer dan altijd het adres van de afzender.
Controleer je bankrekening. Kijk of er afschrijvingen tussen staan die je niet kent. Een incasso kan binnen 8 weken zonder reden worden teruggeboekt, en binnen 13 maanden als je er geen toestemming voor gaf. Vraagt iemand die zegt van de bank te zijn om een code of om geld over te maken naar een andere rekening? Hang op en bel zelf je bank, of meld het bij de Fraudehelpdesk.

Heb je kinderen bij de club?
Dan vragen wij je als ouder of verzorger extra alert te zijn. Gegevens als naam, adres en geboortedatum van een kind kunnen door oplichters worden gebruikt om geloofwaardig over te komen, bijvoorbeeld met een bericht dat zogenaamd van de club komt. Ook kinderen zelf kunnen via sms, WhatsApp of sociale media worden benaderd. Bespreek met je kind dat het nooit gegevens of codes deelt en nooit geld overmaakt op basis van een bericht, en dat het bij twijfel altijd eerst met jou of een andere volwassene overlegt.

Vragen?
Je club informeert haar leden zelf over wat dit voor jouw gegevens betekent. Vragen over jouw gegevens kun je dus het beste eerst aan je club stellen. Voor algemene vragen kun je ons bereiken via info@rugby.nl. Wij proberen zo spoedig mogelijk te antwoorden. Zodra er nieuwe informatie is, houden wij je op de hoogte.