Een beveiligingsincident bij een logistieke dienstverlener heeft mogelijk geleid tot een datalek waarbij persoonsgegevens van klanten van bol.com en de Bijenkorf zijn ingezien of gekopieerd. Beide bedrijven benadrukken dat hun eigen systemen niet zijn gehackt, maar waarschuwen getroffen klanten wel voor mogelijke risico's.
Cyberaanval bij externe partner
Het beveiligingsincident vond plaats bij een externe logistieke warehousingpartner die voor beide retailers de afhandeling van een deel van de online bestellingen verzorgt. Volgens bol.com werd het bedrijf op 1 augustus geïnformeerd over de cyberaanval. Uit onderzoek van de logistieke partner blijkt dat onbevoegden toegang hebben gekregen tot twee systemen die worden gebruikt voor de verwerking van bestellingen vanuit één distributiecentrum. De eigen IT-systemen van bol.com zijn daarbij niet getroffen.
Ook de Bijenkorf meldt dat een logistieke partner slachtoffer is geworden van een beveiligingsincident. Daardoor kunnen bestellingen, retouren en terugbetalingen vertraging oplopen. Winkels, webshop en app blijven gewoon beschikbaar.
Mogelijk persoonsgegevens buitgemaakt
Omdat de aanvallers mogelijk toegang hebben gehad tot persoonsgegevens, behandelen beide bedrijven het incident als een datalek. Zij hebben hiervan melding gedaan bij de Autoriteit Persoonsgegevens en informeren klanten van wie gegevens mogelijk betrokken zijn.
Volgens de bedrijven kunnen onder meer namen, adresgegevens, e-mailadressen, telefoonnummers en gegevens over online bestellingen zijn ingezien. Ook informatie over bestelde producten, bezorggegevens en de gebruikte betaalmethode kan onderdeel uitmaken van de buit. Er zijn geen aanwijzingen dat volledige betaalkaartgegevens of wachtwoorden zijn buitgemaakt.
Gevolgen voor bestellingen
Naast de mogelijke privacyrisico’s heeft het incident ook praktische gevolgen. Bol.com heeft de gegevensuitwisseling met de getroffen logistieke partner voorlopig stilgelegd en een deel van het assortiment tijdelijk offline gehaald. Daardoor zijn sommige bestellingen geannuleerd of lopen ze vertraging op. Andere distributiecentra van bol.com blijven wel operationeel.
De Bijenkorf waarschuwt eveneens voor langere verwerkingstijden van bestellingen, retouren en terugbetalingen zolang het onderzoek loopt.
Wees alert op phishing
Hoewel nog niet vaststaat dat gegevens daadwerkelijk zijn misbruikt, adviseren beide bedrijven klanten alert te zijn op phishing. Criminelen kunnen persoonlijke gegevens gebruiken om geloofwaardige e-mails, sms’jes of telefoontjes te sturen die afkomstig lijken van bol.com, de Bijenkorf of een bezorgdienst.
Controleer daarom altijd de afzender van berichten, klik niet zomaar op links en verstrek nooit wachtwoorden of verificatiecodes. Bij twijfel is het verstandig rechtstreeks in te loggen via de officiële website of app van de betreffende winkel.
Wat betekent dit voor HCC-leden?
Dit incident laat opnieuw zien dat ook wanneer een webwinkel zijn eigen systemen goed beveiligt, een beveiligingslek bij een externe leverancier grote gevolgen kan hebben. HCC-leden die recent bij bol.com of de Bijenkorf hebben besteld, doen er goed aan extra alert te zijn op phishingberichten die verwijzen naar hun bestelling. Gebruik waar mogelijk tweefactorauthenticatie, unieke wachtwoorden en controleer regelmatig uw accounts op verdachte activiteiten.
Standpunt van HCC
HCC vindt dat organisaties niet alleen verantwoordelijk zijn voor de beveiliging van hun eigen systemen, maar ook kritisch moeten toezien op de cybersecurity van hun leveranciers. Transparante communicatie, snelle melding van incidenten en goede begeleiding van getroffen klanten zijn essentieel om de schade voor consumenten zoveel mogelijk te beperken.
