Gegevens klanten Bol, Bijenkorf en ING buitgemaakt bij grote hack

CEVA is 1 augustus slachtoffer geworden van een cyberaanval. Daarbij zijn gegevens buitgemaakt en systemen offline gegaan. Het gaat om acht Europese distributiecentra die zijn geraakt door de aanval. Het bedrijf wil niet zeggen om wat voor soort cyberaanval het gaat en of er losgeld is gevraagd.

Op het dark web wordt een database met CEVA-klantgegevens te koop aangeboden, blijkt uit onderzoek van RTL Nieuws. Dat zou gaan om klantgegevens die in 2025 zijn buitgemaakt door cybercriminelen. CEVA is de afgelopen jaren meerdere keren gehackt. 

Bol en Bijenkorf maken gebruik van CEVA voor het leveren van bestellingen. De twee bedrijven waarschuwen hun klanten voor het datalek bij 'een logistieke (warehouse) partner'. Bol mailt aan zijn klanten dat het om CEVA gaat, de Bijenkorf noemt geen naam. 

ING en Ajax

Ook ING meldt een datalek bij een 'logistieke partner' van het spaarprogramma van de bank, ING Punten genaamd. De bank benadrukt dat daarbij geen 'betaalgegevens, spaargelden, financiële gegevens of inloggegevens' zijn buitgemaakt. 

Het zijn hooguit de gegevens van klanten die via ING Punten een koffer, barbeque of ander artikel hebben besteld dat daadwerkelijk thuis bezorgd moest worden. 

Ook Ajax zegt dat CEVA zijn logistieke partner is en dat er mogelijk gegevens van klanten van de webshop zijn buitgemaakt. Ace & Tate maakte aan het begin van de avond bekend ook getroffen te zijn. 

Grote speler

CEVA reageerde niet direct op een verzoek om commentaar. Het bedrijf, onderdeel van de Franse logistieke reus CMA CGM Group, meldt op de site dat het naast de twee genoemde bedrijven ook onder meer Zalando als klant heeft in Nederland. 

Bol stelt op dit moment niet te kunnen zeggen hoeveel klanten door het incident zijn getroffen. Het zou alleen om gegevens gaan die vanwege recente bestellingen vanuit het getroffen distributiecentrum in het geraakte systeem van CEVA waren opgeslagen.

Autoriteit Persoonsgegevens

Zowel Bol als Bijenkorf heeft het datalek gemeld bij de Autoriteit Persoonsgegevens. Dat is verplicht als de mogelijkheid bestaat dat er klantgegevens in vreemde handen zijn gekomen.

Daar is sprake van, blijkt uit de toelichting die de bedrijven online hebben geplaatst. Het gaat namelijk mogelijk om naam en contactgegevens, zoals e-mailadres, adres en telefoonnummer. Daarnaast kunnen gegevens over wat je hebt besteld en track & trace-info buit zijn gemaakt. Bij zakelijke klanten kan het ook gaan om btw-nummers. Dat is zorgwekkend: als het om oudere btw-nummers van zelfstandigen gaat, kunnen deze ook het burgerservicenummer (bsn) bevatten.

"Het gaat om standaardgegevens zoals je naam en telefoonnummer, die worden regelmatig buitgemaakt bij hacks, en wat je hebt besteld", zegt techjournalist Daniël Verlaan van RTL Nieuws. "Daar kunnen gevoelige dingen tussen zitten, maar voor de meeste mensen zal het gewoon om boeken, cadeautjes en elektronica gaan. Eén van de meest gevoelige gegevens, je IBAN, zit er gelukkig niet bij."

Desondanks is het raadzaam om waakzaam te zijn de komende tijd. "Cybercriminelen kunnen deze data misbruiken om je via e-mail en sms phishingberichten te sturen", legt Verlaan uit. "Dat kan bijvoorbeeld uit naam van Bijenkorf of Bol zijn, omdat ze weten wat je hebt besteld."

Nog geen losgeld

Criminelen kunnen zelfs inspelen op dit datalek door je een mail te sturen namens Bol of Bijenkorf, met de oproep om gelijk actie te ondernemen, waarschuwt Verlaan. Dat de data van CEVA nog op het dark web te koop wordt aangeboden, is volgens hem een teken dat er nog geen losgeld is betaald.

De webshops van Bol en Bijenkorf functioneren even niet zoals normaal. Het kan langer duren voor je pakketje bezorgd wordt. En wie iets retourneert, moet mogelijk langer wachten op zijn of haar geld, melden de twee bedrijven.

Wat moet je doen bij een hack? Verlaan legde het al eerder uit, naar aanleiding van het datalek bij Odido: