Een datalek bij een logistieke partner raakt klanten van bol en de Bijenkorf. Onbevoegden kregen mogelijk toegang tot systemen van dienstverlener CEVA Logistics. Dat bedrijf verzorgt de opslag en verzending van bestellingen voor beide winkels. De aanval vond plaats op 1 augustus. Beide retailers benadrukken dat hun eigen systemen buiten schot bleven. Toch kunnen klantgegevens in verkeerde handen zijn gevallen. Het gaat om namen, adressen, postcodes, e-mailadressen en telefoonnummers. Ook bestelgegevens horen bij de mogelijk gestolen informatie, zoals ordernummers en trackinglinks. De Bijenkorf noemt in een e-mail aan klanten daarnaast productinformatie en het gebruikte betaalmiddel. Beide bedrijven waarschuwden hun klanten begin augustus per e-mail. Zij deden dat naar eigen zeggen uit voorzorg. Het onderzoek naar de precieze omvang van het lek loopt nog. Hoeveel mensen precies getroffen zijn, is dus nog onduidelijk.
De tijdlijn laat zien hoe snel het incident zich ontvouwde. CEVA Logistics ontdekte op 1 augustus onbevoegde activiteit in zijn omgeving. Het bedrijf lichtte bol vrijwel meteen in. De logistieke partner blokkeerde direct de toegang tot de getroffen systemen. Daarnaast nam hij aanvullende beveiligingsmaatregelen. Op 3 augustus meldden de bedrijven het lek bij de Autoriteit Persoonsgegevens. Die melding is wettelijk verplicht binnen 72 uur na ontdekking. Een dag later ontvingen klanten hun waarschuwingsmail. Bol zegt eerst grondig onderzoek te hebben gedaan. Pas daarna informeerde de webwinkel haar klanten over het incident. Bol legde bovendien de gegevensuitwisseling met CEVA stil. Externe cybersecurityspecialisten onderzoeken nu wat er precies is gebeurd. De samenwerking hervat pas na een uitgebreide veiligheidscontrole. Ook de Bijenkorf startte een extern onderzoek naar de oorzaak en de omvang. Beide bedrijven beloven klanten bij nieuwe inzichten opnieuw te informeren.
Het verschil tussen wél en niet gelekte gegevens verdient aandacht. Volgens bol en de Bijenkorf raakten wachtwoorden en inloggegevens niet betrokken bij het incident. Ook betaalgegevens lijken op dit moment veilig. Klanten hoeven hun bankpas dus niet meteen te laten blokkeren. De Bijenkorf noemt wel het gebruikte betaalmiddel in haar bericht. Dat betekent alleen de betaalmethode, bijvoorbeeld iDEAL of creditcard. Complete kaartnummers of rekeninggegevens vallen daar niet onder. Dat onderscheid is belangrijk voor het risico dat klanten lopen. De gelekte informatie leent zich namelijk vooral voor misleiding, niet voor directe fraude met een rekening. Toch blijft voorzichtigheid verstandig. De onderzoeken zijn nog niet afgerond. Nieuwe bevindingen kunnen het beeld dus alsnog bijstellen. Wie een uniek wachtwoord gebruikt, loopt sowieso minder risico. Het aanpassen van een wachtwoord kost weinig moeite en biedt extra zekerheid.
Juist de combinatie van naam, adres en bestelling maakt dit lek gevaarlijk. Criminelen gebruiken zulke gegevens graag voor gerichte phishing. Zij sturen dan een mail of sms over een pakket dat vastzit. Zo’n bericht noemt een echt ordernummer en de juiste winkel. Daardoor oogt de fraude bijzonder overtuigend. Vaak vragen de oplichters om een kleine betaling voor verzendkosten. Soms leiden zij slachtoffers naar een nagemaakte inlogpagina. Experts adviseren daarom om nooit op links in onverwachte berichten te klikken. Controleer de status van een bestelling altijd via de app of de officiële website. Bol en de Bijenkorf vragen klanten nooit per mail om wachtwoorden. Ook telefonisch vraagt een winkel nooit om een pincode of een bankcode. Twijfelt u over een bericht? Neem dan zelf contact op via een bekend telefoonnummer. Verdachte berichten kunt u melden bij de Fraudehelpdesk.
Het incident heeft ook praktische gevolgen voor bestellingen. De Bijenkorf waarschuwt dat de verwerking van orders langer duurt. Datzelfde geldt voor retouren en terugbetalingen. Bij bol kunnen bestellingen vertraging oplopen of zelfs geannuleerd worden. Het getroffen distributiecentrum staat in Waalwijk. Daar verwerkt CEVA dagelijks grote aantallen pakketten voor de webwinkel. Het stilleggen van de gegevensuitwisseling raakt die stroom direct. Klanten merken dat aan langere levertijden. Beide bedrijven vragen om geduld en beloven duidelijkheid zodra dat kan. Wie een terugbetaling verwacht, moet mogelijk langer wachten. Bewaar in dat geval de bevestigingsmails van uw bestelling. Zo kunt u later eenvoudig aantonen wat u wanneer heeft gekocht of geretourneerd.
De zaak legt een breder probleem bloot in de webwinkelketen. Grote retailers besteden hun logistiek uit aan gespecialiseerde partners. Die partners krijgen daarbij toegang tot persoonsgegevens van klanten. Een aanval op zo’n schakel raakt dus meteen meerdere merken tegelijk. De eigen beveiliging van een winkel biedt dan geen bescherming. Toezichthouders letten daar steeds scherper op. De privacywet legt de verantwoordelijkheid namelijk bij het bedrijf dat de gegevens verzamelt. Een retailer moet zijn verwerkers dus actief controleren. Ook moet hij afspraken maken over beveiliging en melding van incidenten. De Autoriteit Persoonsgegevens beoordeelt nu of beide bedrijven zorgvuldig hebben gehandeld. Voor consumenten blijft de les eenvoudig. Deel zo min mogelijk gegevens, gebruik unieke wachtwoorden en wantrouw onverwachte berichten over pakketjes. Die basisregels helpen ook bij het volgende lek.
