Apollo Global Management heeft bekendgemaakt dat er sprake is van een datalek waarbij gevoelige persoonsgegevens mogelijk zijn blootgekomen. In een kennisgeving aan betrokkenen stelt het bedrijf dat een social engineering-aanval toegang mogelijk maakte tot (een deel van) de cloudplatformen van de organisatie.
Hoewel het onderzoek nog loopt, geeft Apollo aan dat persoonlijke gegevens mogelijk zijn aangetast, waaronder namen, contactgegevens en burgerservicenummers (SSN). Tegelijk benadrukt de onderneming dat er geen aanwijzingen zijn dat die informatie openbaar is gemaakt of is gebruikt voor fraude.
Wat is er gebeurd bij het Apollo datalek?
Volgens de melding aan betrokkenen vond de toegang plaats tussen 6 en 10 juli. Apollo koppelt de gebeurtenis aan een social engineering-aanval: aanvallers wisten op die manier toegang te krijgen tot cloudomgevingen. Dat betekent in de praktijk dat niet alleen technische zwakheden of onbeveiligde accounts een rol speelden, maar dat ook menselijke processen zijn benut.
De exacte route die de aanvallers hebben genomen, wordt in de openbare communicatie niet uitgewerkt. Apollo stelt wel dat de gecompromitteerde data ziet op een set persoonsgegevens. Daarbij gaat het om namen, contactinformatie en SSN.
Welke persoonsgegevens zijn mogelijk geraakt?
Apollo noemt een aantal categorieën gegevens die mogelijk zijn gecompromitteerd. Concreet gaat het om:
- namen
- contactgegevens
- SSN
Het bedrijf geeft aan dat er tot nu toe geen bewijs is gevonden dat de informatie daadwerkelijk openbaar is gemaakt. Ook ontbreekt volgens Apollo informatie waaruit blijkt dat de gegevens al zijn gebruikt voor frauduleus handelen.
Wel is er een belangrijke kanttekening: Apollo laat weten dat het nog onderzoekt wat precies is gebeurd en hoe omvangrijk de impact uiteindelijk is.
Hoe groot is de impact?
Het is op dit moment niet duidelijk hoeveel personen zijn getroffen door het Apollo datalek. In de bekendmaking ontbreken aantallen of een exacte populatie die is beïnvloed.
Wat betrokkenen wél kunnen verwachten, is dat Apollo identity protection en credit monitoring aanbiedt. Dat soort dienstverlening is bedoeld om risico’s op identiteitsfraude en misbruik van financiële profielen sneller te signaleren, ook als er (nog) geen directe fraudemelding is.
Social engineering en vishing: waarom dat extra risico geeft
Social engineering-aanvallen richten zich niet primair op het kraken van systemen, maar op het manipuleren van mensen of processen. In dit geval was dat ook de kern van Apollo’s uitleg: de toegang tot cloudplatforms werd mogelijk door een aanval met een social-engineering element.
Onderzoekers koppelen een bredere campagne aan een cybercrimegroep die is gevolgd als UNC6671 en BlackFile. Volgens berichtgeving kwam die groep begin 2026 op en gebruikt zij vishing—aanvallen via spraak—met een helpdesk-achtige insteek om organisaties te benaderen.
Met dat format mikken aanvallers vaak op medewerkers die in de praktijk informatie kunnen vrijgeven of stappen kunnen uitvoeren die toegang faciliteren. Denk aan het resetten van inloggegevens of het verlenen van rechten nadat iemand zich ‘legitim’ voordoet als IT-helpdesk.
Geen openbare bekendmaking van de dader
Apollo deelt in de openbaarmaking geen informatie over wie verantwoordelijk is. Wel geeft de onderneming aan dat er op basis van het onderzoek geen aanwijzingen zijn dat de gecompromitteerde persoonsgegevens openbaar zijn gemaakt of gebruikt voor fraude.
Voor organisaties is dit wel een signaal: zelfs zonder publieke lekkage kan er sprake zijn van datalekrisico door het type gegevens dat is geraakt—zeker wanneer het om SSN gaat, omdat dat in de praktijk vaak wordt gebruikt bij identiteits- en kredietprocessen.
Wat we weten over de BlackFile/UNC6671-campagne
Hoewel Apollo’s melding draait om één concreet incident, plaatsen onderzoekers de gebeurtenis in een breder patroon. De groep zou gericht zijn geweest op organisaties in Noord-Amerika, Australië en het Verenigd Koninkrijk.
Daarnaast zou de campagne zich hebben uitgebreid: de aanvallen zouden zijn hernoemd en gediversifieerd, met een recente focus op sectoren zoals private equity, financiële dienstverlening en professionele dienstverlening.
Belangrijk is ook dat niet alles wat wordt genoemd automatisch betekent dat er is ingebroken. Berichtgeving beschrijft een lijst van mogelijke doelwitten op basis van zaken als waargenomen phishing-infrastructuur, domeinregistraties of gemelde pogingen. Dat is dus niet hetzelfde als “bevestigd datalek”.
Gerichte organisaties genoemd in rapportages
In verband met de vishing-campagne worden onder meer private equity en investeringspartijen genoemd, waaronder: Blackstone, Bain Capital, KKR, TPG, Bridgewater Associates, Clearlake Capital en CME Group.
Ook hedge funds zouden zijn geraakt of benaderd, met voorbeelden als Point72, Citadel, Two Sigma en Millennium Management. Nogmaals: in de openbare context wordt dit gepresenteerd als een lijst van gerichte partijen op basis van waarnemingen, niet als een definitieve bevestiging van datadiefstal bij elke organisatie.
Ransomware en andere datacampagnes in de achtergrond
De beschrijving van de BlackFile-groep wijst ook op succesvolle resultaten in bredere aanvallen. In eerdere rapportage werd bijvoorbeeld genoemd dat een bedreigingsactor meer dan 10 miljoen dollar aan Bitcoin-ransomgelden zou hebben ontvangen in een periode van januari tot en met mei.
Daarnaast zijn er referenties aan andere campagnes waarin een ransomwaregroep of gerelateerde actor slachtoffers benoemt, maar Apollo’s eigen melding blijft specifiek over het incident rond persoonsgegevens en cloudtoegang.
Wat kunt u hier als organisatie van leren?
Het Apollo datalek laat vooral zien hoe belangrijk het is om social engineering serieus te nemen—ook als uw infrastructuur technisch op orde lijkt. Vishing en helpdesk-achtige benaderingen kunnen medewerkers of operationele processen onder druk zetten.
Praktische aandachtspunten die organisaties kunnen meenemen:
- Train medewerkers op herkenning van helpdesk-achtige telefoons en ‘urgentie’-tactieken.
- Gebruik sterke verificatie bij verzoeken om accountacties (zoals resets en wijzigingen).
- Beperk rechten en controleer toegang tot cloudplatforms op ongebruikelijke patronen.
- Monitor en reageer op signalen die wijzen op ongeautoriseerde toegang, ook als er geen directe leak is gemeld.
Wie daarnaast kijkt naar recente ontwikkelingen rond AI en beveiligingsgovernance weet dat aanvallers steeds vaker combinatieaanvallen uitvoeren: van mensgerichte social engineering tot technische misleiding. Een vergelijkbare les komt terug in andere security-analyses op deze site, zoals Bron: https://www.securityweek.com/personal-information-exposed-in-apollo-global-data-breach/
