Dialog gehackt: gegevens van de invloedrijkste mensen ter wereld gelekt

Dialog gehackt: gegevens van de invloedrijkste mensen ter wereld gelekt

In juni 2026 opende een lek een onverwacht venster op Dialog, een besloten netwerk waar politieke leiders, techmiljardairs, hoge ambtenaren, militairen, academici, investeerders en andere invloedrijke figuren elkaar ontmoeten. De dienst stelt zich voor als een uiterst exclusieve ruimte, ontworpen om leden relaties te laten aanknopen en achter gesloten deuren te laten praten. Informatie over de werking en de deelnemers moest vertrouwelijk blijven.

Toch legde een ontwapenend eenvoudige ontwikkelfout een enorme hoeveelheid gegevens bloot: identiteiten, persoonlijke e-mailadressen, contactgegevens van assistenten, postadressen, telefoonnummers, voedingsvoorkeuren, boekentips, politieke antwoorden, deelname-informatie en zelfs de relatiestatus. Sommige fiches gaven aan wie een relatie zocht en wie liever buiten het koppelsysteem bleef.

Het meest verbazende is dat voor de ontdekking geen gesofisticeerde inbraak, geen malware en geen clandestiene operatie nodig was. Voor een deel van de informatie volstond het de ontwikkelaarstools van de browser te openen. Eén toets, F12, gaf toegang tot wat Dialog zelf naar elke bezoeker had gestuurd.

Dit verhaal laat zien hoe een lang ondoorzichtige kring functioneert. Het toont vooral dat het sociale, financiële of politieke niveau van de betrokkenen niet beschermt tegen elementaire fouten in cyberbeveiliging.

Een club die je alleen op uitnodiging binnenkomt

Dialog blijft weinig bekend bij het grote publiek omdat het geen publiek zoekt. De website legt uit dat het om een gemeenschap gaat die alleen op uitnodiging toegankelijk is. Wie hoopt binnen te raken, moet iets uitzonderlijks hebben verwezenlijkt en door een deelnemer worden aanbevolen. De slogan op de startpagina vat de positionering samen: leiders sluiten zich aan bij Dialog om onderwerpen te bespreken die niet publiek aan hen mogen worden toegeschreven.

Het netwerk bestaat sinds 2006. Het werd mee opgericht door Peter Thiel, medeoprichter van PayPal en Palantir, en ondernemer Auren Hoffman. Die laatste bouwde ook bedrijven uit die actief zijn in het verzamelen van gegevens, het herleiden van identiteiten en het analyseren van data, onder meer afkomstig van mobiele toestellen. Dialog werd bedacht als een gesloten club voor hoge verantwoordelijken en bedrijfsleiders uit de hele wereld.

In de loop der jaren ontvingen of nodigden de bijeenkomsten senatoren, academici, investeerders, vertegenwoordigers van grote fondsen en denktanks uit, en ook enkele filmpersoonlijkheden. Acteurs bepalen het overheidsbeleid niet rechtstreeks, maar ze zijn vaak het gezicht van nationale, humanitaire of wereldwijde initiatieven. Voor een netwerk dat draait op invloed en relaties heeft hun aanwezigheid dus een duidelijke waarde.

Bijna twintig jaar lang hield Dialog een minuscule publieke voetafdruk. Zijn werkelijke invloed kon alleen worden ingeschat op basis van fragmenten in de pers en anonieme getuigenissen van vroegere deelnemers. De meeste burgers probeerden die niet eens in te schatten, omdat ze het bestaan van de organisatie niet kenden.

Het programma van de Ierse bijeenkomst

Het lek van juni bracht de voorbereidingen aan het licht van een retraite die in augustus 2026 nabij Dublin gepland was. De ontspanningsactiviteiten omvatten onder meer privébezoeken aan distilleerderijen, een bezoek aan de Sint-Patrickskathedraal, een kennismaking met Guinness en verschillende activiteiten op het Ierse platteland. Het contrast tussen de vermeende macht van de gasten en het erg klassieke karakter van dat programma is niet zonder ironie.

De werksessies waren leerrijker. Het programma bevatte discussies met titels die vertaald kunnen worden als ‘Kernenergie terugbrengen’, ‘Navigeren door de Derde Wereldoorlog’, ‘Technologie op het slagveld’, ‘Desinformatie en deepfakes’ en ‘Drie voorspellingen voor Iran’. Een sessie over democratie onder toezicht kreeg een bijzondere betekenis in een netwerk dat mee werd opgericht door figuren die nauw verbonden zijn met de wereldwijde data- en surveillance-industrie.

Andere titels leken weggelopen uit een rondetafel van filmschurken: ‘Hoe gaat het met je seksleven?’, ‘Kan geld geluk kopen?’, ‘Een sekte bouwen’ en ‘Een partij bouwen’. De documenten maken het niet mogelijk te reconstrueren wat er tijdens die gesprekken gezegd zou worden, noch het precieze standpunt van de genodigden te bepalen.

Na de onthulling van het lek en de controverse die volgde in Ierland, werd de bijeenkomst die van 12 tot 16 augustus in het Powerscourt Hotel gepland was, door het hotel geannuleerd. Een uitnodiging of een vermelding in de bestanden bewijst overigens niet dat iemand een bijeenkomst heeft bijgewoond, de ideeën van een oprichter deelt of nog lid is van het netwerk.

Een lijst waar macht, technologie en financiën elkaar ontmoeten

De gelekte bestanden bevatten meer dan tweehonderd namen die verbonden waren aan de retraite van 2026, terwijl een ruimere gids leden, vroegere deelnemers, sprekers en genodigden samenbracht. Er stonden hoge Saudische functionarissen in, oud-ministers, financiële topmensen, militaire leiders, Amerikaanse senatoren van beide partijen en verschillende figuren uit Silicon Valley.

Tot de geciteerde namen behoorden Elon Musk, al lang via de geschiedenis van PayPal verbonden met Peter Thiel, Jonathan Levin, voorzitter van Stanford University, neurowetenschapper Sam Harris, de hoge vertegenwoordiger van de Europese Unie Kaja Kallas, ondernemer Bryan Johnson, bekend om zijn experimenten rond een lang leven, en journalist Ezra Klein.

De lijst bevatte ook Sarah Bond, president van Xbox, Strauss Zelnick, topman van Take-Two Interactive, Jason Kwon, strategieverantwoordelijke bij OpenAI, de voormalige Pakistaanse premier Shahid Khaqan Abbasi en de voormalige Japanse minister van Digitale Zaken Taro Kono. Garry Kasparov stond erin als wereldkampioen schaken en voormalig lid van de Coördinatieraad van de Russische oppositie.

Die namen moeten met voorzichtigheid worden geïnterpreteerd. De bestanden vermengden verschillende categorieën en periodes. Sommige mensen verklaarden na het lek dat ze slechts een oudere bijeenkomst hadden bijgewoond, dat ze waren uitgenodigd zonder in te gaan op de uitnodiging, of dat ze niet wisten waarom hun naam in de gids stond. Zelfs met dat voorbehoud biedt het geheel een zeldzame blik op een netwerk waar overheidsmacht, financiën, inlichtingen, de technologiesector en ideeënvorming elkaar kruisen.

Een ‘hack’ die neerkwam op één toets

De ontdekking werd openbaar gemaakt door maia arson crimew, een Zwitserse hacktiviste en beveiligingsonderzoekster. Ze was eerder bekend geworden door haar betrokkenheid bij de groep Arson Cats en door de Verkada-affaire van 2021, waarbij toegang tot zo'n 150.000 bewakingscamera's werd blootgelegd, onder meer in een Tesla-fabriek en een gevangenis in Alabama. Die operatie wilde tonen hoe ver het toezicht van technologiebedrijven reikt.

In de zaak-Dialog stuurden twee anonieme bronnen het onderzoek. De eerste doorzocht de archieven over Jeffrey Epstein die het Amerikaanse ministerie van Justitie had vrijgegeven. Die bron merkte op dat een uitnodiging van Dialog voor een andere spreker in 2012 naar hem was doorgestuurd. Een andere uitwisseling uit 2016 verwees naar de mislukte poging van Peter Thiel om een geheim genootschap op te richten. Die documenten wezen op minstens onrechtstreekse kennis van Dialog, zonder dat kon worden vastgesteld of Epstein lid was geweest.

De tweede bron raadde aan de website van de Ierse retraite te onderzoeken. Daar wordt het verhaal bijna absurd: een deel van de gegevens hoefde niet gehackt te worden. Het was al toegankelijk op de eigen diensten van Dialog, zonder gepaste bescherming.

Een webpagina bevat niet alleen wat op het scherm verschijnt. De browser ontvangt HTML, scripts, stylesheets en vaak dataobjecten die worden gebruikt om de interface op te bouwen. Een element visueel verbergen, belet niet dat het wordt doorgestuurd. Wanneer vertrouwelijke gegevens in de browser terechtkomen, moeten ze als toegankelijk voor de gebruiker worden beschouwd, ook al toont geen enkele knop ze.

Door de ontwikkelaarstools te openen, in de meeste browsers bereikbaar met F12, vond maia arson crimew in de code van de pagina een gids van deelnemers. De site leek bijna leeg, maar de code bevatte informatie die de organisatie altijd had geweigerd te publiceren. Een versie met die gids was zelfs door een webarchiveringsdienst gekopieerd voordat ze werd verwijderd.

De code bekijken die een server levert, is op zich geen omzeiling van een beveiliging. De browser heeft die code nodig om de pagina weer te geven. De essentiële fout bestond erin gegevens naar de client te sturen die een geauthenticeerde en geautoriseerde omgeving nooit hadden mogen verlaten.

Een registratie zonder wachtwoord en open fiches

Het onderzoek van de tweede site, die diende om zich in te schrijven voor de bijeenkomst in Dublin, bracht een andere zwakte aan het licht. Je kon je aanmelden met vrijwel elk e-mailadres, zonder wachtwoord. Eenmaal aangemeld kon de gebruiker de fiches van de andere genodigden bekijken.

De formulieren werden ingevuld via de dienst Fillout en daarna opgeslagen in een Airtable-database. De gegevens bevatten privé-informatie en gepersonaliseerde toegangstokens die als inloggegevens konden fungeren. De ironie is groot: de oprichter en CEO van Airtable stond zelf op de lijst van genodigden voor de retraite.

De situatie is spectaculair door wie erbij betrokken is en door het geheime karakter van Dialog. Technisch is ze echter heel gewoon. Veel diensten worden snel in elkaar gezet met tools van derden, kant-en-klare formulieren en onlinedatabases. Wanneer ze jarenlang verouderen zonder echt autorisatiemodel, leggen elementaire fouten uiteindelijk enorme hoeveelheden gegevens bloot.

Dezelfde fout, keer op keer

Een database zonder wachtwoord laten staan of objecten van andere gebruikers tonen zonder hun rechten te controleren, behoort tot de meest voorkomende fouten. Een app voor dating en gesprekken over relaties legde zo profielen, berichten, documenten en foto's van tienduizenden gebruiksters bloot, omdat een administratieve database rechtstreeks vanaf het internet bereikbaar was.

De website BeautifulPeople.com kende in 2015 een vergelijkbaar lek: een onvoldoende beveiligde database kon worden ingezien door iedereen die het adres vond. In oktober 2025 werden gesprekken van de dienst voor virtuele vriendinnen MyLovelyAI blootgesteld via een Kafka-berichteninfrastructuur die zonder voldoende controle toegankelijk was.

Begin 2026 illustreerde het geconnecteerde speelgoed Bondu, een kleine dinosaurus met een conversationele agent, een andere variant van het probleem. De gesprekken van kinderen werden naar de cloud doorgestuurd zodat hun ouders ze konden bekijken. Het portaal controleerde echter niet goed of de aangemelde account toegang mocht hebben tot een bepaald gesprek. Een gebruiker kon zo de uitwisselingen van andere gezinnen bereiken.

Dialog herhaalde die fouten op een bijzonder gevoelig niveau. De presentatiesite en het formulier voor een evenement werden waarschijnlijk als bijkomstige functies beschouwd. Ze werden mogelijk aan een klein team toevertrouwd, snel ontwikkeld en aan externe diensten gekoppeld zonder grondige beveiligingsreview. Die verklaring is banaal: de menselijke factor volstaat. De gevolgen zijn dat niet.

Wat de bestanden echt over het netwerk zeiden

Het lek ging niet alleen over voedingsvoorkeuren, lievelingsboeken of grappige antwoorden in een formulier. Het onthulde ook de interne structuur van de organisatie.

Dialog gaf leden en genodigden scores op basis van hun bekendheid, hun rijkdom en hun nut voor het netwerk. De dossiers bevatten categorieën en een score voor ‘toegevoegde waarde’. Wie minder invloedrijk, minder bekend of minder aangepast aan de cultuur van de groep werd geacht, kon geen uitnodigingen meer krijgen. De beoordelingen dienden ook om tafelschikkingen te bepalen, te beslissen wie aan wie werd voorgesteld en in sommige gevallen hoeveel deelname kostte.

De bestanden legden daarnaast een systeem bloot voor professionele en romantische koppelingen. De voorgestelde matches, voor netwerken of voor dates, bleven aan de profielen gekoppeld. Door die informatie te combineren, werd het mogelijk een sociale graaf te reconstrueren: wie kent wie, wie moet aan wie worden voorgesteld, welke relaties worden vermeden en wie invloed kan uitoefenen op iemand anders.

Zo'n geheel interesseert vanzelfsprekend inlichtingendiensten, oneerlijke economische concurrenten, criminele groepen en daders van gerichte aanvallen. De aanwezigheid van bedrijfsleiders zou al gevoelig zijn. Die van militaire leiders, generaals en ambtenaren die dicht bij de nationale veiligheid staan, maakt van het gedetailleerd volgen van hun interacties een strategisch risico.

Ideale grondstof voor gerichte phishing

Elk persoonlijk gegeven over een invloedrijke figuur kan worden gebruikt om een aanval voor te bereiden. Een privéadres, de naam van een assistent, een reisdatum, een allergie, een recent aanbevolen boek of een verwachte kennismaking geven een frauduleus bericht een ongewone geloofwaardigheid.

Een aanvaller hoeft geen generieke e-mail meer te sturen. Hij kan zich voordoen als organisator van een sessie, de exacte naam van een deelnemer gebruiken, een geplande activiteit vermelden en vragen een document te openen of een fiche te bevestigen. Hoe preciezer de context, hoe groter het risico dat het slachtoffer het verzoek als legitiem beschouwt.

Het lek vergemakkelijkt ook aanvallen op de omgeving. Assistenten, communicatieteams, chauffeurs, dienstverleners en naasten hebben soms onrechtstreeks toegang tot de agenda's en documenten van de geviseerde persoon. Hun beveiliging is mogelijk minder sterk, terwijl hun informatie een eerste stap richting het hoofddoelwit mogelijk maakt.

Het risico beperkt zich dus niet tot de mensen van wie de contactgegevens werden blootgesteld. Een relatiegraaf maakt het mogelijk tussenpersonen, vertrouwenspunten en de meest beloftevolle kanalen te identificeren. Voor inlichtingendiensten of georganiseerde criminele groepen kan die kaart meer waard zijn dan een lijst wachtwoorden.

De browser mag alleen ontvangen wat hij mag tonen

De eerste les is technisch en fundamenteel: gegevens verbergen in de interface is nooit een toegangscontrole. Rechten moeten aan serverzijde worden gecontroleerd, voor elk gevraagd object en voor elke gebruiker. De server mag alleen de records terugsturen die de geauthenticeerde persoon mag inzien.

Een applicatie moet ook haar publieke omgevingen, evenementformulieren, privégids en beheertools van elkaar scheiden. Elke integratie met een dienst van derden moet worden geëvalueerd: welke gegevens worden doorgegeven, waar worden ze opgeslagen, welke links geven toegang tot de fiches, hoelang blijven ze geldig en wat gebeurt er als iemand ze kopieert?

Tokens in URL's moeten kortlevend, intrekbaar en beperkt tot een specifieke handeling zijn. Aanmelden zonder wachtwoord kan veilig zijn wanneer het steunt op een unieke link die snel vervalt en naar een vooraf geverifieerd adres wordt gestuurd. Een willekeurig adres aanvaarden en daarna een volledige gids openen, is geen vereenvoudigde aanmelding: het is een gebrek aan autorisatie.

Ten slotte verdienen publieke pagina's en tijdelijke formulieren dezelfde review als het hoofdproduct. Een organisatie kan zwaar investeren in de beveiliging van haar centrale platform en toch haar gegevens verliezen via een microsite die voor één enkel evenement werd gemaakt.

Het lek voorbereiden voordat het zich voordoet

Elke geheime informatie kan ooit openbaar worden. Wanneer een organisatie vertrouwelijke gegevens bezit, moet ze die beschermen, maar ook vooraf beslissen hoe ze reageert als die bescherming faalt. Geen enkel systeem garandeert een nulrisico.

Een responsplan moet voorzien in het identificeren van de getroffen gegevens, het onmiddellijk intrekken van tokens, het informeren van de betrokkenen, het bewaren van bewijs, het analyseren van toegang en het monitoren van phishingcampagnes die het lek zouden kunnen uitbuiten. Teams moeten weten wie beslist, wie communiceert en wie de meest blootgestelde accounts beschermt.

De tweede les betreft de menselijke factor. De zwakste schakel in een beveiligingssysteem kan een gebruiker, een ontwikkelaar, een beheerder of de persoon zijn die een productierelease moet goedkeuren. Dat geldt voor de telefoon van een particulier evengoed als voor een netwerk dat de machtigste mensen ter wereld bezoeken.

Beveiliging hangt dus niet af van het prestige van een organisatie. Ze hangt af van concrete praktijken: de verzamelde gegevens beperken, elke autorisatie aan serverzijde controleren, applicaties testen zoals een externe gebruiker dat zou doen, integraties nakijken, blootstellingen monitoren en de incidentrespons voorbereiden. Dialog wilde zijn leden een ruimte bieden waar alles vertrouwelijk zou blijven. Een bijna lege pagina en een slecht beveiligd formulier volstonden om het tegendeel te bewijzen.