Bestellingen vertraagd of ophalen in de winkel: hack dreunt na bij Bijenkorf en Bol

Het is waarschijnlijk een teken dat CEVA in gesprek is met de criminelen die verantwoordelijk zijn voor de hack, zegt Daniël Verlaan, techjournalist bij RTL Nieuws. Zolang die onderhandelingen over het vrijgeven van de data – vaak in ruil voor losgeld in de vorm van crypto's – nog worden gevoerd, is het in het belang van beide partijen om niet te veel informatie te delen.

Dat verklaart ook waarom we nog niet weten wie de hack heeft uitgevoerd. "Als een bedrijf wordt gehackt, duurt het vaak even voordat een cybercriminele groep de hack opeist", zegt Verlaan. "Dat opeisen gebeurt vaak pas als de onderhandelingen vastlopen."

Wat we wel weten is dat de hack op 1 augustus plaatsvond in een deel van het systeem van CEVA waar bestellingen van de Nederlandse bedrijven worden verwerkt. Op 3 augustus meldde het Franse bedrijf zich weer bij de betrokken bedrijven, met de mededeling dat er mogelijk persoonsgegevens gestolen zijn. Het gaat om mail- en woonadressen, telefoonnummers en wat klanten hebben besteld.

Vraagtekens blijven

Hierop waren de bedrijven genoodzaakt melding te doen bij toezichthouder Autoriteit Persoonsgegevens en hun klanten te informeren. Of er echt data weg is? Dat wordt nog onderzocht, laten de bedrijven stuk voor stuk weten aan RTL Nieuws.

Ajax, Ace & Tate, Bijenkorf en Bol houden zich op de vlakte over de impact van de hack. "Op dit moment is nog niet duidelijk welke en hoeveel persoonsgegevens daadwerkelijk betrokken zijn geweest", laat een woordvoerder van opticien Ace & Tate weten.

Hoeveel bestellingen er zijn geannuleerd bij de bedrijven? Daar willen ze niets over kwijt. "Wij delen geen aantallen", aldus Bol. Bij dat bedrijf is één locatie geraakt door de hack, het overgrote deel van het bedrijf draait wel door.

Het herstel van de storing duurt wel langer dan verwacht, laat de woordvoerder van het online warenhuis weten. Klanten die iets bestellen, krijgen de actuele levertijd te zien.

Bestelling oppikken in de winkel

Bij Ace & Tate is het euvel ook nog niet verholpen. Wie online bestelt, moet naar de winkel om het op te halen. Contactlenzen kunnen overigens wel thuis worden geleverd. Bij ING Punten zijn de bestellingen geannuleerd die zijn gedaan tussen 1 en 5 augustus, omdat het delen van gegevens met CEVA is stopgezet. Pas als het lek boven is, kan er weer worden besteld, meldt ING. 

Ook de Bijenkorf moet improviseren. De warenhuisketen is zo zwaar geraakt door de problemen bij CEVA, dat er niet meer vanuit de webshop-voorraad geleverd kan worden. Klanten die al hadden besteld, krijgen de melding dat hun bestelling pas begin september kan worden geleverd.

De site dient momenteel alleen als etalage. Het enige aanbod waar klanten uit kunnen kiezen, zijn de winkelvoorraden en die van partners. Zij handelen dan ook de bestelling af, zonder bemoeienis van CEVA. Het duurt daardoor wel langer dan normaal voor je je aankoop binnen hebt.

Op de site hanteert de Bijenkorf een leveringstijd van tussen de 2 en 5 werkdagen. Of dit geldt voor de categorie 'snel leverbaar' of voor het gehele assortiment is onduidelijk. Het bedrijf reageerde niet meer op aanvullende vragen.

Geen commentaar

Ook voetbalclub Ajax is weinig toeschietelijk met informatie over hoe de fans online worden bediend. De club meldt geen gegevens meer te delen met CEVA, maar wil desgevraagd niet zeggen hoe het online bestellen dan nu in zijn werk gaat. "We hopen op korte termijn meer info te verstrekken", aldus een woordvoerder.

Hoe groot de schade is voor de bedrijven, blijft ook geheim. De vier bedrijven die RTL Nieuws benaderde, willen niets kwijt over de financiële impact of over eventuele stappen tegen CEVA om de schade te verhalen. "Over eventuele aansprakelijkheidskwesties (...) doen wij geen uitspraken", laat Bol weten. Bijenkorf en Ace & Tate laten zich in soortgelijke bewoordingen uit.

Franse transportreus

CEVA zelf reageert helemaal niet op vragen. Het bedrijf is onderdeel van het Franse CMA CGM, een van de grootste containervervoerders ter wereld. De naam van dat bedrijf prijkt sinds kort ook naast die van Decathlon op de shirts van de gelijknamige en rijkste Franse wielerploeg.

Het bedrijf kan dat ook best lijden. Ondanks de 'geopolitieke spanningen' door de onrust in het Midden-Oosten draaide het bedrijf op volle toeren in het tweede kwartaal van het jaar. De omzet steeg met bijna 20 procent tot 15,7 miljard dollar. En de winst (voor belastingen en andere aftrekposten) steeg tot 3 miljard dollar. Een stijging van 31 procent.

Het bedrijf is actief in meer dan 170 landen en heeft ruim 160.000 mensen in dienst. CEVA, de logistieke tak, presteerde ook prima. Het bedrijf kondigde een samenwerking met BYD aan en verlengde onlangs het partnership met Zalando.

Dat bedrijf laat weten niet te zijn getroffen door het datalek. In Nederland werken de twee samen in een groot logistiek centrum bij Bleiswijk. CEVA hoort in ons land al jaren tot de top-3 van logistieke dienstverleners, blijkt uit een ranglijst die de site logistiek.nl bijhoudt.

Alert zijn op phishing

Er staat dus wel wat op het spel voor het bedrijf. Of dat van invloed is in eventuele onderhandelingen, is de vraag. "Iets minder dan de helft van de getroffen bedrijven betaalt, andere slachtoffers zoals Odido weigeren dat", vertelt Verlaan.

Als de gegevens daadwerkelijk op het dark web worden gepubliceerd, kun je weer een nieuwe golf aan phishingmailtjes en -belletjes verwachten, waarschuwt Verlaan. "Als je iets niet vertrouwt, neem dan contact op met het betreffende bedrijf." Een meevaller: je hoeft je wachtwoord niet te veranderen omdat dit volgens de bedrijven niet is buitgemaakt.

Wat moet je doen bij een hack? Verlaan legde het al eerder uit, naar aanleiding van het datalek bij Odido: