Na een cyberinbraak bij een onderaannemer van Bol.com en andere webwinkels duurde het vier dagen voordat zij hun klanten inlichtten. Al die tijd waren miljoenen consumenten kwetsbaar voor oplichters. Waarom duurt het zo lang voor een datalek wordt gemeld?
is nieuwsverslaggever van de Volkskrant.
Met wat voor datalek kampen Bol en andere webwinkels precies?
Bij een digitale inbraak zijn hackers aan de haal gegaan met allerlei privacygevoelige gegevens van consumenten. Het gaat om hun e-mailadres, hun woonadres, telefoonnummer en gegevens over bestelde producten.
Afgelopen woensdag kregen klanten van warenhuis De Bijenkorf als eersten een e-mail waarin ze werden ingelicht over een datalek. Daarna volgden ook e-mails van Bol.com, brillenwinkel Ace & Tate, voetbalclub Ajax en ING. Die laatste meldt dat bij een inbraak alleen de gegevens zijn gelekt van klanten die bestellingen hebben geplaatst in de ING Puntenwinkel, een webshop waar de bank met korting producten aanbiedt en kaartjes voor uitjes.
De privacygevoelige gegevens zijn niet gestolen bij die webwinkels zelf. Dat gebeurde bij Ceva Logistics, een Franse specialist in logistiek die voor tal van webwinkels bestellingen afwikkelt. Als onderaannemer verzamelt Ceva producten, pakt die in en geeft ze mee aan een bezorger. De logistieke reus heeft meer dan tien grote distributiecentra in Nederland en 1.700 wereldwijd. Acht van die Europese centra zouden zijn getroffen door de hack.
Wat is er precies misgegaan bij Ceva?
Dat is niet bekend. Het bedrijf hult zich in stilzwijgen over het lek. De gedupeerde webwinkels melden dat hun eigen computersystemen niet zijn gekraakt. Bol spreekt bijvoorbeeld van twee computersystemen die Ceva gebruikt om bestellingen af te handelen in een van de vijf distributiecentra die de webwinkel heeft. In dat centrum, in Waalwijk, zijn alle werkzaamheden tijdelijk stilgelegd.
Hoe de hackers zijn binnengekomen bij Ceva, is onbekend. Grosso modo zijn er twee tactieken gebruikelijk. In het ene geval ‘kloppen’ hackers via internet aan bij computersystemen van bedrijven en kijken ze of er ‘achterdeurtjes’ openstaan. Daarvoor gaan ze na of bedrijven misschien hebben verzuimd om gaten in de beveiliging van hun systemen te dichten. Zo dringen ze binnen.
In andere gevallen sturen hackers medewerkers van een bedrijf e-mails waarin ze een ‘breekijzer’ verbergen in de vorm van een link naar een kwaadaardig programma dat de beveiliging van een computer kraakt. Een hacker kan zich ook per e-mail of telefoon voordoen als een collega, toeleverancier of ICT-fabrikant en om toegang vragen.
Waarom duurde het zo lang voor bekend werd dat computerinbrekers bij Ceva hadden toegeslagen?
In hun berichten melden webwinkels dat Ceva hun op 1 augustus heeft geïnformeerd dat er iets was misgegaan. Het is niet bekend wanneer Ceva zelf achter de inbraak is gekomen en hoelang is gewacht met alarm slaan.
Er zijn geen wettelijke regels voor de termijn waarin een serieus datalek moet worden gemeld. De enige vereiste is dat de Autoriteit Persoonsgegevens (AP), de privacywaakhond, binnen 72 uur wordt ingeseind.
Die Autoriteit doet verder niets met zo’n melding: zij laat pas iets van zich horen als de pers aan de bel trekt. Ze controleert wel of een getroffen bedrijf zijn klanten ‘zo snel mogelijk’ waarschuwt.
In dit geval lag die verplichting niet bij Ceva, maar bij de webwinkels die de verwerking van bestellingen hebben uitbesteed aan dit logistieke bedrijf. Dat gebeurde pas woensdag, vier dagen nadat ze zelf op de hoogte waren gebracht.
Volgens de AP gaat bij datalekken zorgvuldigheid boven snelheid. De Autoriteit gunt ondernemingen de tijd om de ernst van een computerinbraak vast te stellen en het lek te dichten. ‘Het kan even duren om vast te stellen of bij het incident persoonsgegevens zijn geraakt’, schrijft de AP op haar website. Maar ‘als het weken duurt, kan de toezichthouder je daar echt voor op de vingers tikken’, signaleert jurist Arnoud Engelfriet op de website Security.NL.
Hoeveel consumenten zijn de dupe van de Ceva-inbraak? Waar moeten zij nu opletten?
Bol heeft naar eigen zeggen 14 miljoen Nederlanders als klant in Nederland en België. Daar rekent de websuper iedereen onder die in elk geval één aankoop heeft gedaan in het afgelopen jaar. Hoeveel mensen winkelen bij ING, Ajax, Ace & Tate en De Bijenkorf is niet bekend.
Sommige klanten moeten nu langer wachten op hun bestelling of totdat producten die zij hebben teruggestuurd zijn verwerkt.
Het datalek raakt ook andere ondernemingen die met Ceva werken, zoals Zalando, maar die heeft geen waarschuwing uitgezonden. Hoeveel Nederlanders de Duitse webshop bedient, is niet bekend. Onlangs verlengden Zalando en Ceva hun contract voor nog eens vier jaar, tot 2030, meldt de vaksite Trans.info.
Zover bekend hebben de hackers van Ceva geen losgeld geëist. De databerg is ook nog niet gesignaleerd op het dark web, een afgezonderde uithoek van het internet waartoe alleen met een speciale webbrowser toegang kan worden verkregen.
Bij de Ceva-inbraak zijn geen inloggegevens ontvreemd. De hackers kunnen dus niet bestellingen uit andermans naam plaatsen. Maar met alle data die ze in handen hebben kunnen ze wel proberen zich voor te doen als medewerker van een webwinkel, of een bank, of een beveiligingsbedrijf en consumenten misleiden.
Experts zeggen dat eindgebruikers waakzaam moeten zijn voor e-mails waarin snel handelen wordt gevraagd ‘om gegevens te beveiligen’. Tot die gewaarschuwden behoort ook het personeel van Ceva. Ook van hen hebben de inbrekers gegevens als namen en geboortedatum buitgemaakt, meldt de vaksite TTM.nl.
Phishing! Hoe herken je mails waarin een oplichter naar jouw gegevens hengelt?
1. De afzender spreekt je aan als ‘Geachte klant’ of ‘Beste gebruiker’. Bedrijven spreken hun klanten aan met hun naam.
2. Controleer het wérkelijke afzendadres: iemand@ergens.nl. Meestal staat daar niet de bedrijfsnaam in of anders nodeloos ingewikkeld. Let op afwijkende karakters: een 0 (nul) waar een O (hoofdletter o) hoort.
3. Het taalgebruik in phishing mails is vaak slordig, ze wemelen van de spelfouten. Of de tekst is in het Engels.
4. Er is altijd haast bij. ‘Uw account verloopt vandaag!’ Bedrijven waarschuwen klanten altijd ver van tevoren en meer dan eens.
5. De mail bevestigt een bestelling die je nooit hebt geplaatst. Of de verlenging van een abonnement. Vaak gaat het om dure grappen.
6. Oplichters beloven gouden bergen. Een gift van miljoenen van iemand die je niet kent. Een erfenis van een Nigeriaanse prins. Een grotere piemel.
7. Wis berichten waarin ze vragen om je wachtwoord, inloggegevens, bankrekeningnummer, pincodes of Burger Service Nummer (BSN).
8. Klik niet op links. Al helemaal niet als ze worden aanbevolen voor een snelle kuur voor een probleem. In de meeste mailprogramma’s kun je met je muiscursor boven een link ‘zweven’. Onderin het venster zie je dan de bestemming, meestal een obscuur internetadres. In Apple Mail kun je een preview oproepen.
9. Wantrouw bijlagen (attachments). Ook in Word-documenten kunnen virussen verborgen zitten, of andere malware. Net als in .html, pdf’s of .exe-bestanden.
10. Beantwoord dit soort mails niet. Dan weten oplichters dat ze een juist e-mailadres hebben. En komen ze terug. Stuur de mail door naar valse-email@fraudehelpdesk.nl.
Geselecteerd door de redactie
Source: Volkskrant