In maart 2018 maakte de Nederlandse directie van bioscoopketen Pathé 19,2 miljoen euro over naar rekeningen van fraudeurs. Er werd niet ingebroken. Er werd gemaild, vanaf een adres dat leek op dat van het Franse hoofdkantoor, met een verzoek dat paste bij iets wat het bedrijf plausibel zou kunnen doen.
De zaak is bruikbaar omdat zij goed gedocumenteerd is. Zij is ook bruikbaar omdat zij laat zien waar dit soort verhalen ophoudt — en dat tweede is waar wij het hier over willen hebben.
Wat deze zaak aantoont
Drie dingen, en ze zijn alle drie ongemakkelijk voor wie denkt dat dit een probleem van de IT-afdeling is.
Het doelwit was het bestuur, niet het systeem. De aanval hoefde geen enkele technische maatregel te passeren. Zij richtte zich op de twee mensen in de organisatie die een betaling van deze omvang konden goedkeuren.
Twijfel was niet genoeg. Beide bestuurders hebben hun twijfel uitgesproken — naar elkaar. Er is dus geen sprake van mensen die niets doorhadden; er is sprake van mensen die het niet zeker genoeg wisten om een verzoek van hun eigen hoofdkantoor te weigeren.
De gevolgen landden persoonlijk. Het bedrijf verloor geld. De twee bestuurders verloren hun functie, en de zaak die daarop volgde is openbaar. Dat is de reden dat dit onderwerp niet in het jaarplan van de securityafdeling thuishoort maar op de bestuurstafel.
Wat u er dan wél uit kunt halen
De zaak zegt niets over de bron van de gegevens. Zij zegt wel iets over wat een aanval nodig heeft om te slagen: kennis van wie tekent, van hoe de organisatie in elkaar zit, en van wat een geloofwaardig verzoek zou zijn.
Die kennis komt ergens vandaan. Bij een gerichte aanval gaat er een verkenningsfase aan vooraf waarin precies dat wordt verzameld, en een deel van dat materiaal is gewoon te koop. Dat is een redenering over het aanvalsoppervlak, en het is een andere bewering dan “dit is bij Pathé zo gegaan”.
Waar dit vandaan komt
Het bedrag van 19,2 miljoen euro, het vervalste afzenderadres, de data in maart, het ontslag in april en de uitspraak over de ontbinding per 1 december zijn afkomstig uit de openbare verslaggeving over deze zaak in 2018, onder meer door de NOS. Dat er in die verslaggeving niets staat over de herkomst van de gegevens die de aanvallers gebruikten, is een vaststelling van ons en de reden dat wij daar geen bewering over doen. Stand van zaken op 16 augustus 2026.