BSN, paspoortnummer of IBAN gelekt — wat betekent dat echt?

Laatst bijgewerkt: augustus 2026

Staat in de melding van een datalek dat je BSN, paspoortnummer of IBAN is gelekt? Dat klinkt ernstig, en het is ook niet niks. Maar de praktische gevolgen verschillen sterk per gegeven — en zijn vaak minder dramatisch dan het lijkt. Op deze pagina lees je per gegeven wat een crimineel er wél en niet mee kan, wat je zelf moet doen en waar je terechtkunt als er echt iets misgaat.

Kort samengevat: met alleen een los nummer — of het nu een IBAN, documentnummer of BSN is — kan een crimineel meestal weinig. Het risico ontstaat vooral wanneer meerdere gegevens gecombineerd worden, of wanneer er een volledige kopie van je identiteitsbewijs is gelekt. Alertheid is dus belangrijker dan paniek.

IBAN gelekt: wat kan een crimineel er wél en niet mee?

Niet: geld van je rekening halen. Met alleen een rekeningnummer kan niemand geld opnemen of overboeken vanaf jouw rekening — daarvoor zijn inloggegevens, je pas of je pincode nodig. Dat bevestigt ook de Nederlandse Vereniging van Banken. Een nieuw IBAN aanvragen is na een datalek dan ook niet nodig; je rekeningnummer staat bovendien op elke factuur en elk betaalverzoek dat je ooit hebt verstuurd.

Wél: gerichte oplichting. Wie jouw naam en IBAN kent, kan een geloofwaardig phishingbericht sturen of zich telefonisch voordoen als “je bank”. Ook kan iemand proberen een valse automatische incasso af te schrijven. Het goede nieuws: onterechte incasso's kun je als consument binnen 56 dagen door je bank laten terugboeken (storneren). En ontdek je een afschrijving pas later? Voor een incasso zonder geldige machtiging — een valse incasso dus — kun je via je bank tot 13 maanden na afschrijving je geld terugvorderen met een Melding Onterechte Incasso. Na dag 56 ben je dus niet te laat.

Controleer regelmatig je afschriften op onbekende afschrijvingen en incasso's.
Laat onterechte incasso's binnen 56 dagen storneren via je bank of bankieren-app — bij een incasso zonder geldige machtiging kun je tot 13 maanden na afschrijving terugvorderen via een Melding Onterechte Incasso.
Wees extra alert op telefoontjes, sms'jes en e-mails die van je bank lijken te komen — je bank vraagt nooit om je pincode of om geld 'veilig te stellen'.

Paspoort- of rijbewijsnummer gelekt

Niet: zomaar identiteitsfraude plegen. Volgens het Centraal Meldpunt Identiteitsfraude (CMI) is alleen het documentnummer — dus zonder een kopie of scan van het document zelf — onvoldoende om identiteitsfraude te plegen. Bij het afsluiten van een abonnement of lening wordt om meer gevraagd dan een los nummer. Een nieuw paspoort of rijbewijs aanvragen is bij alleen een gelekt nummer dan ook meestal niet nodig.

Wél een risico: als er een volledige kopie van je identiteitsbewijs is gelekt. Met een kopie kan een crimineel zich bij sommige diensten wel als jou proberen voor te doen. Is dat bij jou het geval, overweeg dan om het document via je gemeente te laten vervangen en blijf de komende tijd extra alert op fraudesignalen, zoals post over producten of abonnementen die je niet hebt afgesloten.

BSN gelekt: wat nu?

Je burgerservicenummer (BSN) kun je niet laten wijzigen — het is aan jou als persoon gekoppeld. Alleen in zeer uitzonderlijke gevallen, bijvoorbeeld bij aantoonbaar en aanhoudend misbruik, kan via de Rijksdienst voor Identiteitsgegevens (RvIG) een nieuw BSN worden toegekend. Dat klinkt vervelend, maar er is ook geruststellend nieuws: met alleen een BSN kan een crimineel meestal geen fraude plegen. Instanties die met BSN's werken, vragen altijd om aanvullende identificatie.

Het risico neemt wel toe wanneer je BSN samen met andere gegevens is gelekt: je volledige naam, geboortedatum, adres of — het gevaarlijkst — een kopie van je identiteitsbewijs. Die combinatie maakt identiteitsfraude realistischer. Monitor in dat geval actief op signalen van misbruik en meld een verdenking bij het CMI (via rvig.nl). In ons artikel identiteitsfraude melden lees je precies hoe dat werkt.

Signalen van misbruik

Gelekte gegevens worden soms pas maanden later misbruikt. Let daarom de komende tijd op deze signalen:

Onbekende afschrijvingen, incasso's of rekeningen op je naam.
Post over producten, abonnementen of leningen die je niet kent.
Aanmaningen of brieven van incassobureaus voor iets dat je nooit hebt besteld.
Telefoontjes of berichten waarin iemand verrassend veel persoonlijke gegevens over je weet.
Meldingen dat er op jouw naam is ingelogd of een account is aangemaakt.

Criminelen gebruiken gelekte gegevens ook vaak voor geloofwaardige phishingberichten. Lees hoe je die herkent in phishing herkennen na een datalek.

Waar meld je het?

Politie — doe aangifte bij daadwerkelijke (identiteits)fraude via politie.nl.
Centraal Meldpunt Identiteitsfraude (CMI) — onderdeel van de RvIG, voor advies en registratie van je melding, via rvig.nl.
Je bank — bij financiële schade, verdachte afschrijvingen of valse incasso's.
Fraudehelpdesk — voor het melden van oplichting en verdachte berichten, via fraudehelpdesk.nl.

Wil je weten welke stappen je verder kunt zetten na een datalek — van wachtwoorden wijzigen tot tweestapsverificatie? Bekijk dan ons complete stappenplan wat te doen na een datalek.

Veelgestelde vragen

Moet ik een nieuw paspoort aanvragen als mijn paspoortnummer is gelekt?

Meestal niet. Volgens het Centraal Meldpunt Identiteitsfraude (CMI) is alleen een documentnummer — zonder kopie van het document zelf — onvoldoende voor identiteitsfraude. Is er een volledige kopie of scan van je paspoort of rijbewijs gelekt, dan ligt dat anders: overweeg dan om het document via je gemeente te laten vervangen en blijf alert op signalen van misbruik.

Kan iemand geld van mijn rekening halen met alleen mijn IBAN?

Nee. Met alleen een rekeningnummer kan niemand geld van je rekening opnemen — dat bevestigt ook de Nederlandse Vereniging van Banken. Een crimineel kan wel een valse incasso proberen, maar die kun je als consument tot 56 dagen na afschrijving door je bank laten terugboeken (storneren). Ontdek je zo'n afschrijving pas later? Bij een incasso zonder geldige machtiging (een valse incasso) kun je via je bank tot 13 maanden na afschrijving je geld terugvorderen met een Melding Onterechte Incasso. Het grootste risico is gerichte phishing waarbij iemand zich als je bank voordoet.

Kan ik mijn BSN laten wijzigen?

Nee, in principe niet. Je BSN is gekoppeld aan jou als persoon en wordt niet vervangen na een datalek. Alleen in zeer uitzonderlijke gevallen, bijvoorbeeld bij aantoonbaar en aanhoudend misbruik, kan via de Rijksdienst voor Identiteitsgegevens (RvIG) een nieuw BSN worden toegekend. Gelukkig is alleen een gelekt BSN voor fraude meestal onvoldoende.

Waar meld ik identiteitsfraude?

Bij daadwerkelijke identiteitsfraude doe je aangifte bij de politie. Daarnaast kun je terecht bij het Centraal Meldpunt Identiteitsfraude (CMI, onderdeel van de RvIG) voor advies en registratie van je melding. Bij financiële schade neem je direct contact op met je bank, en bij oplichting of verdachte berichten kun je ook melden bij de Fraudehelpdesk.