Datalek bij logistiek partner CEVA treft klanten van Bol en De Bijenkorf
Een cyberincident bij een logistieke partner kan zomaar bij jou op het bord belanden, ook als je zelf nooit bent gehackt. Dat bleek begin augustus toen Bol en De Bijenkorf hun klanten waarschuwden voor een datalek bij CEVA Logistics, het bedrijf dat voor beide webwinkels orders verwerkt vanuit een distributiecentrum. Voor webwinkeliers is dit meer dan een incident bij twee grote namen: het legt bloot hoe kwetsbaar je wordt zodra je een deel van je logistiek uitbesteedt.
Wat is er precies gebeurd
CEVA Logistics liet Bol op 1 augustus weten dat onbevoegden toegang hadden gekregen tot twee systemen waarmee orders worden verwerkt. Twee dagen later meldde Bol het lek bij de Autoriteit Persoonsgegevens, zoals de wet voorschrijft. Klanten die mogelijk waren geraakt, kregen op woensdag 5 augustus een e-mail met uitleg. Bol benadrukte dat de eigen systemen niet zijn binnengedrongen: het probleem zat bij de partij die namens hen een deel van de orderafhandeling doet. De Bijenkorf, dat dezelfde logistieke dienstverlener inschakelt, stuurde een vergelijkbare waarschuwing. Ook Ajax en brillenketen Ace & Tate meldden zich als getroffen partij, wat laat zien hoe breed het netwerk van één logistiek bedrijf reikt.
Welke gegevens er op straat liggen
Volgens beide webwinkels gaat het om namen, adressen, postcodes en telefoonnummers, aangevuld met orderinformatie zoals ordernummers en track-and-tracegegevens. Wachtwoorden, inloggegevens en betaalgegevens zijn naar eigen zeggen niet geraakt. Dat klinkt geruststellend, maar juist de combinatie van naam, adres en een geldig ordernummer is goud waard voor oplichters. Daarmee kun je een sms of e-mail opstellen die net echt genoeg aanvoelt: een nep-bezorgbericht, een verzoek om alsnog verzendkosten te betalen. Beveiligingsmedia meldden bovendien dat een deel van de buitgemaakte data enkele dagen later al te koop stond op het dark web. Bij De Bijenkorf liepen de levertijden door de genomen voorzorgsmaatregelen medio augustus op tot bijna een maand, en ook bij Bol ontstonden vertragingen en annuleringen doordat de koppeling met de betrokken partner tijdelijk werd losgekoppeld.
Waarom dit ook jouw zaak is
Veel kleinere webwinkels besteden hun fulfilment, verzending of retourverwerking eveneens uit, en dan geldt onder de AVG iets wat nogal eens wordt vergeten: jij blijft verantwoordelijk voor de gegevens van je klanten, ook als een verwerker het laat afweten. Een verwerkersovereenkomst tekenen is niet genoeg als je nooit navraagt hoe die partij eigenlijk met beveiliging omgaat. Vraag daarom gewoon eens door bij je fulfilmentpartner of pakketdienst: hoe wordt toegang tot ordersystemen afgeschermd, is er een procedure voor het geval het misgaat, en hoe snel word jij dan geïnformeerd? Dat laatste weegt zwaar, want als jouw partner een lek heeft, moet jij mogelijk zelf je klanten inlichten en het incident melden.
Alert blijven loont
Voor je eigen klanten is de les simpel maar het waard om actief te communiceren: waarschuw hen als er iets speelt bij een partner waar je gebruik van maakt, en leg uit dat officiële berichten van jouw webwinkel nooit vragen om opnieuw te betalen via een link in een sms. Zo’n korte, eerlijke waarschuwing kost weinig tijd en voorkomt dat klanten alsnog in een phishingval trappen die met jouw naam wordt opgetuigd.