Datalek bij bol en De Bijenkorf via logistiek partner: pas op voor phishing

Webwinkels bol en De Bijenkorf hebben klanten gewaarschuwd voor een beveiligingsincident bij logistiek partner CEVA Logistics. Daarbij zijn mogelijk persoonsgegevens van klanten buitgemaakt, waaronder namen, adresgegevens, e-mailadressen, telefoonnummers, ordernummers en track&trace-informatie. Beide winkels behandelen het incident als een datalek en hebben dit gemeld bij de Autoriteit Persoonsgegevens.

Volgens bol heeft het incident betrekking op twee systemen die worden gebruikt voor de verwerking van bestellingen vanuit een van de distributiecentra. “Omdat onbevoegden mogelijk toegang hebben gehad tot persoonsgegevens van klanten, behandelen wij dit als een datalek,” aldus de webwinkel. Bol werd op 1 augustus door de logistiek partner ingelicht en deed twee dagen later melding bij de toezichthouder. Hoeveel klanten precies zijn getroffen is nog niet bekend; getroffen klanten worden rechtstreeks geïnformeerd. Bij De Bijenkorf loopt eveneens een onderzoek naar de omvang van het incident.

Waarom dit soort datalekken een phishingrisico vormt

Een datalek bij een webwinkel of logistiek partner lijkt op het eerste gezicht vooral een privacykwestie, maar vormt in de praktijk vaak de opmaat naar gerichte phishingcampagnes, zoals eerder ook al bleek bij het datalek bij Basic-Fit. Criminelen combineren gestolen namen, adressen en ordernummers tot geloofwaardige nepberichten die zich voordoen als bezorgmeldingen, betaalverzoeken of accountwaarschuwingen. Omdat de aangesproken naam en bestelgegevens kloppen, is zo’n bericht voor veel mensen moeilijk van echt te onderscheiden.

Zo herkent u een valse bezorg- of accountmail

Let op een afzenderadres dat net niet overeenkomt met het officiële domein van bol of De Bijenkorf, op spelfouten of een onnodig dwingende toon, en op links die niet naar de officiële website leiden. Meer voorbeelden van dit soort kenmerken vindt u in onze uitleg over het herkennen van phishingmails. Bol en De Bijenkorf vragen nooit per e-mail om inloggegevens, betaalgegevens of een creditcardnummer te bevestigen via een link. Beweeg met de muis over een link (zonder te klikken) om de werkelijke bestemming te zien voordat u erop klikt.

Wat te doen als u een verdacht bericht ontvangt

Klik niet op links of bijlagen in een verdacht bericht en verwijder het direct. Log bij twijfel altijd rechtstreeks in via de officiële app of website in plaats van via een link in een e-mail of sms. Heeft u toch gegevens ingevuld op een nepsite, wijzig dan onmiddellijk uw wachtwoord en neem contact op met uw bank als u betaalgegevens heeft achtergelaten. Meld verdachte berichten bij de Fraudehelpdesk, zodat andere consumenten gewaarschuwd kunnen worden.

Dit incident past in een breder patroon: steeds vaker vormen datalekken bij bedrijven en hun logistieke partners het startpunt van phishingcampagnes die inspelen op vertrouwde merknamen. Een goed ingesteld extern spamfilter, zoals Maqs spamfilter, kan een groot deel van deze berichten al onderscheppen voordat ze de inbox bereiken, maar alertheid blijft onmisbaar.