Het datalek bij een logistieke dienstverlener blijkt een steeds grotere impact te hebben. Nadat eerder klanten van onder meer bol.com en de Bijenkorf werden getroffen, waarschuwt nu ook ING dat persoonsgegevens van deelnemers aan het ING Punten-programma zijn buitgemaakt. Criminelen kunnen de gegevens gebruiken voor gerichte phishingaanvallen.
Opnieuw een grote naam getroffen
ING meldt dat een logistieke partner waarmee het samenwerkt voor het verzenden van producten uit het ING Punten-programma slachtoffer is geworden van een cyberincident. Daarbij zijn persoonsgegevens van klanten buitgemaakt die een bestelling hebben geplaatst via het spaarprogramma.
Volgens ING gaat het om gegevens zoals naam, adres, woonplaats, e-mailadres, telefoonnummer en informatie over geplaatste bestellingen. Er zijn geen betaalgegevens, bankrekeningnummers, inloggegevens of pincodes buitgemaakt. Klanten hoeven hun betaalrekening daarom niet te blokkeren, maar moeten wel alert zijn op verdachte berichten die verwijzen naar een recente bestelling.
Zelfde incident als bij bol en de Bijenkorf
Het incident sluit aan bij het datalek waar bol.com en de Bijenkorf bekendmaakten dat ook hun klanten waren getroffen doordat hun logistieke partner slachtoffer was geworden van een cyberaanval. Inmiddels blijkt dat de gevolgen zich uitstrekken tot meerdere organisaties die gebruikmaken van de diensten van deze logistieke leverancier.
Het laat opnieuw zien dat een beveiligingsincident bij één externe dienstverlener gevolgen kan hebben voor verschillende bedrijven én honderdduizenden klanten. Leveranciers vormen steeds vaker een aantrekkelijke ingang voor cybercriminelen, omdat zij gegevens van meerdere organisaties tegelijk verwerken.
Kans op gerichte phishing
Hoewel geen financiële gegevens zijn buitgemaakt, waarschuwt ING dat de gestolen informatie voldoende kan zijn om geloofwaardige phishingberichten op te stellen. Criminelen kunnen bijvoorbeeld verwijzen naar een recente bestelling uit de ING Punten-shop en slachtoffers vragen een bezorgprobleem op te lossen of een kleine betaling te doen. Juist doordat de aanvallers beschikken over echte bestelgegevens, kunnen dergelijke berichten overtuigender overkomen dan willekeurige phishingmails.
Wees extra alert
HCC adviseert gebruikers die recent een bestelling hebben geplaatst via het ING Punten-programma extra alert te zijn op e-mails, sms-berichten of telefoontjes waarin naar die bestelling wordt verwezen. Controleer altijd de afzender, klik niet zomaar op links en log alleen in via de officiële website of app van ING.
Twijfel je aan een bericht? Neem dan rechtstreeks contact op met ING via de bekende contactgegevens en niet via een telefoonnummer of link in het verdachte bericht.
Wat betekent dit voor HCC-leden?
Dit incident onderstreept dat ook betrouwbare organisaties afhankelijk zijn van externe leveranciers voor logistiek en dienstverlening. Een beveiligingslek bij zo'n partner kan gevolgen hebben voor meerdere bedrijven tegelijk. HCC-leden doen er daarom verstandig aan extra kritisch te zijn op berichten die aansluiten bij recente aankopen of bestellingen. Cybercriminelen maken juist van die actuele informatie gebruik om phishing geloofwaardig te laten lijken.
Standpunt van HCC
HCC vindt dat organisaties niet alleen hun eigen beveiliging op orde moeten hebben, maar ook streng moeten toezien op de cybersecurity van leveranciers die persoonsgegevens verwerken. Daarnaast is snelle en transparante communicatie essentieel wanneer zich een datalek voordoet, zodat consumenten tijdig maatregelen kunnen nemen. Dit incident laat opnieuw zien hoe belangrijk ketenbeveiliging is in een steeds verder digitaliserende samenleving.
