De directeur van de MIVD stond op Strava. Dat is geen incident.

De directeur van de militaire inlichtingendienst had een openbaar Strava-account. Zeven jaar lang stonden zijn fiets- en hardlooprondjes online, inclusief de ritten van het MIVD-hoofdkantoor naar zijn eigen voordeur. Uit diezelfde data was af te leiden waar hij zijn camper stalde en wanneer hij op vakantie was.

Het gaat om viceadmiraal Peter Reesink, sinds februari 2024 directeur van de MIVD. De Volkskrant zocht het uit, de NOS vatte het samen. Na vragen van de krant staat het account op privé en is er een verzoek ingediend om het te verwijderen. Reesink zegt dat hij dacht dat het weg was: hij had de app van zijn telefoon gehaald, maar het account nooit gewist. Defensie laat weten dat hij de gang van zaken “betreurt” en “met de kennis van nu beter weet”.

De app verwijderen is niet het account verwijderen

Op dat laatste zinnetje willen we even blijven staan, want het is de kern van het hele verhaal. Een app van je telefoon vegen voelt als opruimen. Er verandert alleen niets aan de server. Het profiel blijft staan, de historie blijft staan, en de zichtbaarheid blijft staan zoals die ooit is ingesteld. Bij accounts van een paar jaar oud is dat vaak: zichtbaar voor iedereen.

Dat is geen fout van één persoon. Dat is een ontwerpkeuze van een platform die botst met wat de gebruiker denkt te doen. En het is precies het soort gat waar wij het hier vaker over hebben: geen hack, geen lek, geen malware. Gewoon een instelling die niemand meer heeft nagekeken.

Dit is niet de eerste keer

Wie roept dat dit een uitschieter is, heeft de afgelopen jaren niet meegelezen. Een kort lijstje:

• Amerikaanse en Israëlische militaire bases werden zichtbaar doordat militairen er hun rondjes liepen — de hardlooproutes tekenden letterlijk de omtrek van het terrein.
• Omroep Gelderland traceerde vorig jaar ruim duizend Nederlandse militairen via Strava.
• Eerder dit jaar gaf een Franse officier vermoedelijk de positie van vliegdekschip Charles de Gaulle prijs met een gelogd rondje aan boord, terwijl het schip onderweg was naar het Midden-Oosten.
• En nu dus de man die in Nederland leiding geeft aan de dienst die dit soort dreigingen moet zien aankomen.

De ironie is compleet als je terugleest wat Reesink zelf zei bij de presentatie van het MIVD-jaarverslag van 2025: Rusland wordt steeds brutaler, en grote organisaties zijn daar naïef over. Hij had gelijk. Alleen telde zijn eigen profiel mee in het rijtje.

Waarom een adres erger is dan een wachtwoord

Een gelekt wachtwoord verander je. Een woonadres niet. En het is niet alleen het adres: uit een paar jaar aan trainingsritten haal je vertrekt­tijden, vaste routes, vakantieperiodes, en welke dagen iemand thuiswerkt. Dat is de complete voorbereiding voor gerichte fysieke intimidatie, en het is ook precies het materiaal waarmee je een geloofwaardige spear-phishingmail bouwt. “Je pakket kon vanmorgen niet worden bezorgd op [adres]” wordt een stuk overtuigender als het adres klopt.

Het verschil met een datalek is dat niemand hoeft in te breken. De data lag er, publiek, jarenlang, doorzoekbaar.

Wat wij ervan vinden

Twee dingen, en ze spreken elkaar niet tegen.

Eén: dit is geen ontslagzaak. Reesink deed wat miljoenen mensen doen. Wie doet alsof een viceadmiraal hier dommer was dan gemiddeld, mist waar het misging.

Twee: Defensie heeft hier een richtlijn voor, en die richtlijn deed niets. Dat is de echte bevinding. Een regel die alleen bestaat in een document, en niet in een controle, is geen maatregel maar een intentie. Voor een functie waarin je thuisadres een risico is, hoort er periodiek iemand te kijken of wat er over je online staat nog klopt — niet één keer bij indiensttreding.

Dat geldt net zo goed voor gewone bedrijven. De meeste organisaties hebben ergens een beleidsstuk over sociale media. Bijna geen enkele controleert het. Datzelfde patroon zie je bij shadow AI op de werkvloer: het beleid bestaat, het gedrag wijkt af, en niemand merkt het verschil tot het misgaat.

Wat je vanavond kunt doen

1. Open je sportapp en zet je profiel op privé. Bij Strava zit dat onder de privacyinstellingen, niet in de app-instellingen van je telefoon.
2. Zet een privacyzone om je huis en je werk. Strava kan het begin en eind van een activiteit afschermen; doe die zone ruim, want een cirkel van 200 meter verraadt nog steeds de straat.
3. Ga je oude activiteiten na. Nieuwe instellingen werken meestal niet met terugwerkende kracht op wat er al staat.
4. Apps die je niet meer gebruikt: verwijder het account, niet alleen de app.

Benieuwd hoe scherp je eerste reflex is bij dit soort dingen? Doe de human firewall test.

Bron: NOS, op basis van onderzoek van de Volkskrant.

Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.