UWV verstrekt of geeft inzage in CV's aan neprecruiters

[Wim1147]

Een kennis van mij kreeg vandaag via het UWV een bericht van een neprecruiter. Het bericht werd verstuurd via het mailadres "[e-mail]" (er is dus weinig twijfel over de herkomst van het bericht). Het zou in ieder gaan om het door het UWV geven van inzage in CV's die op de website werk.nl staan vermeld. Het bericht begin met de volgende aanhef: "Door gewijzigde voorwaarden van het werk.nl/UWV richt ik mij direct tot jou met een aanvraag.". In het bericht wordt onder meer gevraagd om het toezenden van een recent CV, een telefoonnummer en nog een aantal andere persoonsgegevens. Ik heb werkelijk geen idee wat er hier bedoeld wordt met 'gewijzigde voorwaarden' maar het lijkt erop dat het UWV weinig heeft geleerd over het verstrekken van gegevens sinds eerdere datalekken zoals dit lek.

In het geval van mijn kennis wordt verwezen naar een recruiter met een website zonder fysiek contactadres of postadres. De afbeeldingen van de medewerkers op de website zijn daarnaast duidelijk door AI gegenereerd. Wie het aandurft kan hier of hier een kijkje nemen.

[Wispe]

Ik zou hier wel wat terughoudender zijn met de conclusie dat het UWV blijkbaar opnieuw persoonsgegevens aan het lekken is.

Dat een mail als afzender [e-mail] vermeldt, bewijst op zichzelf helemaal niet dat het bericht daadwerkelijk door het UWV is verstuurd. Een afzenderadres kan worden gespooft. Ook is uit dit verhaal niet duidelijk of het CV van de kennis daadwerkelijk via UWV/werk.nl toegankelijk is gemaakt, of dat de recruiter simpelweg willekeurig mensen benadert.

Dat er vervolgens geen fysiek adres op de website staat en AI-foto’s worden gebruikt, bewijst evenmin dat het UWV gegevens heeft verstrekt. Overigens is “geen fysiek contactadres of postadres” ook wat kort door de bocht. Op de website staat namelijk wél een KvK-nummer vermeld. Dat kun je gewoon in het Handelsregister controleren en daarmee kun je in ieder geval nagaan welke onderneming erachter zit en wie de eigenaar/directie is.

Voordat je het UWV verwijt opnieuw een enorm privacyprobleem te hebben, zou ik dus eerst de mailheaders controleren en bij UWV navragen of zij het betreffende bericht daadwerkelijk hebben verzonden en waarom. Anders trek je nogal een grote conclusie op basis van een paar aanwijzingen die ieder afzonderlijk ook een andere verklaring kunnen hebben.

[Wim1147]

Wispe schreef op zondag 16 augustus 2026 @ 20:13:


Dat een mail als afzender [e-mail] vermeldt, bewijst op zichzelf helemaal niet dat het bericht daadwerkelijk door het UWV is verstuurd. Een afzenderadres kan worden gespooft. Ook is uit dit verhaal niet duidelijk of het CV van de kennis daadwerkelijk via UWV/werk.nl toegankelijk is gemaakt, of dat de recruiter simpelweg willekeurig mensen benadert

Domeinnaam uwv.nl heeft een geldig SPF record. Kans op spoofen is daarom minimaal. Ook de mailheaders gecontroleerd (en geconcludeerd dat het echt gaat om een mailbericht van het UWV, bericht afkomstig van een Oracle product dat ze gebruiken, via 'voorzieningen.uwv.nl' ) De betreffende CV staat geregisteerd op werk.nl als anoniem en er staat aangegeven dat degene die het betreft niet door werkgevers gebeld en gemaild mag worden. Expliciet staat op werk.nl vermeld "Uw e-mailadres is niet zichtbaar voor werkgevers die uw cv bekijken.". Als het zo zou zijn dat deze zogenaamde recruiter willekeurig 'kandidaten' zou benaderen, dan is er sprake van een serieus probleem want het betreffende emailadres zal ergens vandaan moeten zijn gekomen.

[ Voor 9% gewijzigd door Wim1147 op 16-08-2026 20:48 ]

[Wispe]

Wim1147 schreef op zondag 16 augustus 2026 @ 20:45:
[...]

Domeinnaam uwv.nl heeft een geldig SPF record. Kans op spoofen is daarom minimaal. Ook de mailheaders gecontroleerd (en geconcludeerd dat het echt gaat om een mailbericht van het UWV, bericht afkomstig van een Oracle product dat ze gebruiken, via 'voorzieningen.uwv.nl' ) De betreffende CV staat geregisteerd op werk.nl als anoniem en er staat aangegeven dat degene die het betreft niet door werkgevers gebeld en gemaild mag worden. Expliciet staat op werk.nl vermeld "Uw e-mailadres is niet zichtbaar voor werkgevers die uw cv bekijken.". Als het zo zou zijn dat deze zogenaamde recruiter willekeurig 'kandidaten' zou benaderen, dan is er sprake van een serieus probleem want het betreffende emailadres zal ergens vandaan moeten zijn gekomen.

Heb je het UWV om uitleg gevraagd over hoe dit heeft kunnen gebeuren?

[toolkist]

Zeker weten dat ingesteld is dat er geen contact op mag worden genomen? Klinkt nl alsof die recruiter gewoon de 'stuur een bericht' functionaliteit heeft gebruikt.

[Wim1147]

toolkist schreef op zondag 16 augustus 2026 @ 21:17:
Zeker weten dat ingesteld is dat er geen contact op mag worden genomen? Klinkt nl alsof die recruiter gewoon de 'stuur een bericht' functionaliteit heeft gebruikt.

Zeker weten. Is al maanden het geval. Normaal gesproken krijgt mijn kennis alleen een bericht van het UWV wanneer het CV verlengd moet worden in werk.nl.

[ Voor 15% gewijzigd door Wim1147 op 17-08-2026 11:23 ]

[Patriot]

Wim1147 schreef op zondag 16 augustus 2026 @ 20:45:
[...]

Domeinnaam uwv.nl heeft een geldig SPF record. Kans op spoofen is daarom minimaal. Ook de mailheaders gecontroleerd (en geconcludeerd dat het echt gaat om een mailbericht van het UWV, bericht afkomstig van een Oracle product dat ze gebruiken, via 'voorzieningen.uwv.nl' ) De betreffende CV staat geregisteerd op werk.nl als anoniem en er staat aangegeven dat degene die het betreft niet door werkgevers gebeld en gemaild mag worden. Expliciet staat op werk.nl vermeld "Uw e-mailadres is niet zichtbaar voor werkgevers die uw cv bekijken.". Als het zo zou zijn dat deze zogenaamde recruiter willekeurig 'kandidaten' zou benaderen, dan is er sprake van een serieus probleem want het betreffende emailadres zal ergens vandaan moeten zijn gekomen.

Hieruit blijkt dat je niet echt kunt aantonen dat er persoonsgegevens naar die recruiter zijn gegaan. Ervan uitgaande dat die mail echt vanuit het UWV is verstuurd (dat is nog enigszins discutabel, SPF wordt doorgaans als ontoereikend gezien en in sommige gevallen al genegeerd) valt er juist wat voor te zeggen dat het e-mailadres niet aan een andere partij is verstrekt.

Terzijde, ik denk dat de kans aanwezig is dat het wel gewoon gaat om een 'echte' recruiter. Het is natuurlijk al heel lang zo dat er veel sjacheraars actief zijn in deze branche. Daar zullen er wel een heleboel tussen zitten die het allemaal heel leuk willen laten lijken en lekker overijverig in de weer zijn gegaan met AI om dat te bereiken. Liegen blijft liegen en ik keur het niet goed, maar waarschijnlijk is dit gewoon een sukkel die wel recruiter is. Dat zegt natuurlijk op zich nog niks, want recruiter is geen beschermd beroep ofzo dus als je zegt dat je hebt bent dan ben je het al

[Chromoris]

Ik denk ook dat de kans groot is dat het daadwerkelijk een recruiter is geweest. Er is een topic waarin je kunt lezen wat die gasten allemaal uitvreten. Samengevat, je hebt er genoeg met nul moreel besef en die de vreemdste dingen uithalen om maar hun (sales-)targets te halen. Misschien dat ze ook het e-mailadres van een of andere people aggregator hebben verkregen en dan gewoon een bulk bericht eruit gooien.

Aan de andere kant is er ook een (goede) kans dat het UWV hun dingen niet in orde hebben waardoor het toch mogelijk is om berichten in bulk te sturen, ook al is die optie uitgezet. Je kunt het melden bij UWV, maar ik vermoed dat men hier niet veel mee gaat doen.

Er zijn te veel gehaaide jongens/meiden in de recruitment business die het in bulk versturen van berichten tot een kunstvorm hebben verheven. Daar kun je wat van vinden, maar daar valt ook helaas weinig aan te doen.

[Wim1147]

Patriot schreef op maandag 17 augustus 2026 @ 11:34:
[...]

Ervan uitgaande dat die mail echt vanuit het UWV is verstuurd (dat is nog enigszins discutabel, SPF wordt doorgaans als ontoereikend gezien en in sommige gevallen al genegeerd) valt er juist wat voor te zeggen dat het e-mailadres niet aan een andere partij is verstrekt.

Als het betreffende e-mailadres niet is/zou zijn verstrekt, dan maakt het de situatie niet minder ernstig. Het UWV heeft in dat geval deze zogenaamde 'recruiter' van faciliteiten voorzien.

[Patriot]

Wim1147 schreef op maandag 17 augustus 2026 @ 15:49:
[...]

Als het betreffende e-mailadres niet is/zou zijn verstrekt, dan maakt het de situatie niet minder ernstig. Het UWV heeft in dat geval deze zogenaamde 'recruiter' van faciliteiten voorzien.

Natuurlijk maakt dat de zaak wel minder ernstig. Als zij alleen een bericht van een recruiter hebben doorgegeven op basis van een geanonimiseerd profiel dan is er in ieder geval geen sprake van een datalek. Of er in de praktijk sprake is van een datalek kan ik op basis van deze beperkte informatie niet zeggen, maar belangrijk is dat je op basis van deze mail in ieder geval ook niet kunt vaststellen dat er wél sprake is van een datalek.

Dat jij of je kennis het verder nog steeds hinderlijk (of anderszins kwalijk) vind dat die mail is verstuurd doet daar niets aan af.

[J_C_W]

Als een recruiter je via werk.nl een bericht stuurt, dan krijg je die inderdaad via [e-mail]. Je kunt er ook voor kiezen je e-mail en telefoonnummer zichtbaar op werk.nl te zetten voor recruiters. Maar als je dat niet doet dan sturen ze dus eerder genoemd bericht. Zolang je CV actief op werk.nl staat (wat verplicht is bij een WW uitkering), kunnen recruiters je zo benaderen.

In mijn eigen ervaring kreeg ik van recruiters die mij via werk.nl benaderden in ieder geval veel relevantere vacatures aangeboden dan van recruiters op LinkedIn.

[SPee]

Wim1147 schreef op maandag 17 augustus 2026 @ 15:49:
[...]

Het UWV heeft in dat geval deze zogenaamde 'recruiter' van faciliteiten voorzien.

Zeker, ze voorzien de werkzoekende namelijk ook van faciliteiten mbt het zoeken van werk.
Werk.nl werkt voor beide kanten, dus heeft ook een werkgevers(/recruiters) deel.

Het zou in ieder gaan om het door het UWV geven van inzage in CV's die op de website werk.nl staan vermeld. Het bericht begin met de volgende aanhef: "Door gewijzigde voorwaarden van het werk.nl/UWV richt ik mij direct tot jou met een aanvraag.". In het bericht wordt onder meer gevraagd om het toezenden van een recent CV, een telefoonnummer en nog een aantal andere persoonsgegevens. Ik heb werkelijk geen idee wat er hier bedoeld wordt met 'gewijzigde voorwaarden' maar het lijkt erop dat het UWV weinig heeft geleerd over het verstrekken van gegevens sinds eerdere datalekken zoals dit lek.

Ik denk dat het heeft te maken met dat het UWV minder van die persoonlijke gegevens verstrekt via hun platform. Daarom vraagt die recruiter nu om die gegevens zelf op te sturen. Zelf zou ik meer willen weten van die recruiter, want je weet nu niet om wat voor aanvraag het gaat, hoe reëel de kans op een baan is en of die wel aansluit bij wat die persoon zoekt. Pas als die kan aantonen dat hij een goede baan kan aanbieden, zou ik mijn CV en contactgegevens sturen.

Maar van "datalek" en "verstrekken van gegevens" door het UWV lijkt hier geen sprake van. Het UWV zou in die mail wel duidelijker moeten zijn dat dit een vraag is van de recruiter en dus enige terughoudendheid behoeft.

[Wim1147]

J_C_W schreef op maandag 17 augustus 2026 @ 19:57:
In mijn eigen ervaring kreeg ik van recruiters die mij via werk.nl benaderden in ieder geval veel relevantere vacatures aangeboden dan van recruiters op LinkedIn.

Ben het ermee eens dat LinkedIn en de daarop actieve zelfbenoemde 'HR-professionals' (allen levend in de eigen 'bubbel') weinig nuttigs doen als het gaat om het vinden van personeel. Dat staat even los de problematiek die speelt bij het UWV. Als de instelling op werk.nl is dat er niet benaderd mag worden door (potentiele) werkgevers via e-mail en/of telefoon dan lijkt het mij niet meer dan voor de hand liggend dat het ook niet de bedoeling is om op die manier benaderd te worden.

Wispe schreef op zondag 16 augustus 2026 @ 20:13:
Op de website staat namelijk wél een KvK-nummer vermeld. Dat kun je gewoon in het Handelsregister controleren en daarmee kun je in ieder geval nagaan welke onderneming erachter zit en wie de eigenaar/directie is.

Als het KvK nummer klopt tenminste. Een KvK nummer kan ook gewoon door iedereen worden gekocht voor € 85,15. Dat bedrag is daarna ook nog eens fiscaal aftrekbaar als bedrijfskosten en kan ook vrij eenvoudig worden aanpast en gewijzigd. Er is geen enkele reden om ook maar enig vertrouwen te ontlenen aan een dergelijke inschrijving.

SPee schreef op maandag 17 augustus 2026 @ 19:57:
[...]Zeker, ze voorzien de werkzoekende namelijk ook van faciliteiten mbt het zoeken van werk.
Werk.nl werkt voor beide kanten, dus heeft ook een werkgevers(/recruiters) deel. Ik denk dat het heeft te maken met dat het UWV minder van die persoonlijke gegevens verstrekt via hun platform. Daarom vraagt die recruiter nu om die gegevens zelf op te sturen.

Het UWV is vooral op zoek naar werk voor zichzelf. De werkzoekende zal vaak niet om werk.nl heen kunnen. Dit omdat 'inschrijving'/registratie een vereiste is voor het aanvragen van een uitkering. Dit komt nog voort uit het vroegere maar volstrekt achterhaalde idee van het 'Arbeidsbureau'. Verder fungeert werk.nl deels als registratie voor het CBS. In de praktijk doet het UWV niets als het gaat om het vinden van werk. Die zogenaamde hulp is namelijk regionaal uitbesteed aan Werkcentra, gemeenten en 'regionale mobiliteitsteams'. In het geval van mijn kennis: is niet actief op zoek naar werk en heeft ook geen uitkering. Daarom ook staan de 'privacyinstellingen' op het niet door werkgevers mogen worden gebeld en het (daarnaast) niet mogen worden gemaild door (potentiele) werkgevers.

Wat het erg vervelend maakt is dat 'recruiter', 'HR-professional' of 'arbeidsbemiddelaar' geen beschermde beroepen of titels zijn. Iedereen kan zich zo voordoen (en doen waarin deze lieden goed zijn: het voor de gek houden van werkzoekenden). Een KvK inschrijving is daarna vrij snel gekocht en blijkbaar heb je dan meteen toegang tot de bestanden van het UWV of laat je het UWV gewoon het werk voor je doen. Allemaal zonder noemenswaardige eisen en volledig tegen de wens van (een deel van) de geregistreerden op werk.nl in.

[...]Zelf zou ik meer willen weten van die recruiter, want je weet nu niet om wat voor aanvraag het gaat, hoe reëel de kans op een baan is en of die wel aansluit bij wat die persoon zoekt. Pas als die kan aantonen dat hij een goede baan kan aanbieden, zou ik mijn CV en contactgegevens sturen

Linkjes naar deze 'AI'-recruiter staan vermeld in de topicstart. Het bericht zelf lijkt vooral een volledig geautomatiseerd tekstje. Er wordt geen enkel concreet voorstel gedaan of een concrete functie aangeboden. Er is alleen iets vermeld over een 'positie' en een 'rol'. Letterlijk staat daarover in het bericht de volgende: "Voor deze rol zijn we op zoek naar gemotiveerde professionals met een passie voor mensen en een scherp oog voor detail. Deze positie biedt een uitstekende kans om je vaardigheden verder te ontwikkelen en een waardevolle bijdrage te leveren aan het proces van onze organisatie en klanten. Graag ontvangen we jouw NAW-gegevens (naam, adres, woonplaats), telefoonnummer, en e-mailadres, samen met een bijgewerkt CV."

[Wispe]

Wim1147 schreef op maandag 17 augustus 2026 @ 21:18:
[...]

Als het KvK nummer klopt tenminste. Een KvK nummer kan ook gewoon door iedereen worden gekocht voor € 85,15. Dat bedrag is daarna ook nog eens fiscaal aftrekbaar als bedrijfskosten en kan ook vrij eenvoudig worden aanpast en gewijzigd. Er is geen enkele reden om ook maar enig vertrouwen te ontlenen aan een dergelijke inschrijving.

Dat een KvK-inschrijving op zichzelf geen betrouwbaarheidskeurmerk is, ben ik met je eens. Maar “er is geen enkele reden om er vertrouwen aan te ontlenen” vind ik ook wat overdreven. Een KvK-inschrijving maakt in ieder geval inzichtelijk welke onderneming erachter zit, sinds wanneer die bestaat en wie erbij betrokken zijn. Dat zegt niets over de betrouwbaarheid van de onderneming, maar het is wel iets anders dan een volledig anonieme website.

[J_C_W]

@Wim1147 Ik vermoed dat het CV van die kennis nog wel op actief staat op werk.nl, dan is die nog zichtbaar voor recruiters. Je moet je CV zelf weer op inactief zetten als je geen werk meer zoekt, zodat je niet meer zichtbaar bent.

In het verleden kwam het voor dat malafide partijen op grote schaal persoonlijke gegevens van werk.nl haalden, maar dat zou nu beter beveiligd zijn.

Verdachte mails van het UWV kun je hier melden: https://www.uwv.nl/nl/contact/phishing

[Rolfie]

Wim1147 schreef op zondag 16 augustus 2026 @ 19:26:
Een kennis van mij kreeg vandaag via het UWV een bericht van een neprecruiter. Het bericht werd verstuurd via het mailadres "[e-mail]" (er is dus weinig twijfel over de herkomst van het bericht). Het zou in ieder gaan om het door het UWV geven van inzage in CV's die op de website werk.nl staan vermeld. Het bericht begin met de volgende aanhef: "Door gewijzigde voorwaarden van het werk.nl/UWV richt ik mij direct tot jou met een aanvraag.". In het bericht wordt onder meer gevraagd om het toezenden van een recent CV, een telefoonnummer en nog een aantal andere persoonsgegevens. Ik heb werkelijk geen idee wat er hier bedoeld wordt met 'gewijzigde voorwaarden' maar het lijkt erop dat het UWV weinig heeft geleerd over het verstrekken van gegevens sinds eerdere datalekken zoals dit lek.

In het geval van mijn kennis wordt verwezen naar een recruiter met een website zonder fysiek contactadres of postadres. De afbeeldingen van de medewerkers op de website zijn daarnaast duidelijk door AI gegenereerd. Wie het aandurft kan hier of hier een kijkje nemen.

Er gaan bij mij allemaal rode vlaggen op vanuit die website. Links die niet werken bijvoorbeeld.

Ook bij over ons, staat geen egbert, die wel weer in de Leveringsvoorwaarden voorbij komt.

Maar vanuit gedachte van het UWV, lijkt de opzet vanuit privacy bij het UWV juist hun beveiliging goed te werken. Deze recruter wil meer informatie hebben, zo te zien, omdat hij hier geen toegang meer tot heeft vanuit het UWV. Dus proberen ze het op een andere manier.

Ik zou het UWV bellen met de nodige vragen over dit bedrijf en hoe ze werken.

[Wim1147]

J_C_W schreef op dinsdag 18 augustus 2026 @ 12:11:
@Wim1147 Ik vermoed dat het CV van die kennis nog wel op actief staat op werk.nl, dan is die nog zichtbaar voor recruiters. Je moet je CV zelf weer op inactief zetten als je geen werk meer zoekt, zodat je niet meer zichtbaar bent.

In het verleden kwam het voor dat malafide partijen op grote schaal persoonlijke gegevens van werk.nl haalden, maar dat zou nu beter beveiligd zijn.

Verdachte mails van het UWV kun je hier melden: https://www.uwv.nl/nl/contact/phishingz

Blijkbaar is het niet beter beveiligd en het vermoeden klopt niet. Zoals ik al eerder heb aangegeven staan de instellingen al maanden zo dat er geen contact mag worden opgenomen door werkgevers (en dus ook niet door recruiters en uitzendbureau's e.d.). Ik vermoed dat er nog steeds op grote schaal persoonlijke gegevens worden gehaald van werk.nl

Rolfie schreef op dinsdag 18 augustus 2026 @ 12:22:
[...]

Maar vanuit gedachte van het UWV, lijkt de opzet vanuit privacy bij het UWV juist hun beveiliging goed te werken. Deze recruter wil meer informatie hebben, zo te zien, omdat hij hier geen toegang meer tot heeft vanuit het UWV. Dus proberen ze het op een andere manier.

Die website geeft al voldoende reden om de boel te wantrouwen. Het blijf een feit dat deze zogenaamde recruiter met zijn 'AI medewerkers' direct of indirect toegang heeft gehad tot de betreffende e-mailadressen en blijkbaar ook tot de namen van degenen die als werkzoekend staan geregistreerd, het inschrijfnummer van het UWV en hun 'werkveld´. Voor degenen die willen doen aan 'social engineering' of een ´dossier' voor het plegen van identiteitsfraude willen opbouwen is dit uiteraard een kans. Het lijkt er daarnaast ook op dat het UWV/werk.nl vervolgens ook nog eens het werk voor deze neprecruiter heeft uitgevoerd. Dat had m.i. allemaal nooit mogen gebeuren.

[Croga]

Wim1147 schreef op zondag 23 augustus 2026 @ 19:52:
Die website geeft al voldoende reden om de boel te wantrouwen. Het blijf een feit dat deze zogenaamde recruiter met zijn 'AI medewerkers' direct of indirect toegang heeft gehad tot de betreffende e-mailadressen en blijkbaar ook tot de namen van degenen die als werkzoekend staan geregistreerd, het inschrijfnummer van het UWV en hun 'werkveld´.

Je posts doen nergens vermoeden dat dit het geval is. Het enige wat er gebeurt is is dat dat bedrijf toegang gehad heeft tot een CV op de website en de functionaliteit van die website heeft gebruikt om een bericht te laten versturen. Nergens reist hier een vermoeden dat er toegang tot een EMail adres geweest is, noch tot die persoonsgegevens aangezien ze daar expliciet naar vragen.

[Wim1147]

J_C_W schreef op dinsdag 18 augustus 2026 @ 12:11:In het verleden kwam het voor dat malafide partijen op grote schaal persoonlijke gegevens van werk.nl haalden, maar dat zou nu beter beveiligd zijn.

Verdachte mails van het UWV kun je hier melden: https://www.uwv.nl/nl/contact/phishing

Verdachte e-mail is inmiddels (al een aantal dagen geleden) gemeld. Het "UWV Cyber Defense Center" (blijkbaar moet een Nederlandse overheidsdienst zichzelf zo noemen) heeft ook al een aantal dagen geleden per e-mail gevraagd om een toelichting. Die is vrijwel direct na het verzoek ook (per e-mail) verstuurd. Inmiddels is het al weer een aantal dagen oorverdovend stil van de kant van het UWV

[ Voor 15% gewijzigd door Wim1147 op 26-08-2026 08:27 ]

[Wim1147]

Weer een tijdje verder en het is nog altijd oorverdovend stil van de kant van het UWV. Gezien de toch al beroerde reputatie van het UWV ben ik niet bepaald verbaasd hierover.