Opnieuw een grote cyberinbraak en wéér moeten miljoenen consumenten lang wachten op informatie

In dit artikel:

Een cyberaanval op logistiek dienstverlener Ceva Logistics heeft persoonsgegevens buitgemaakt van klanten van meerdere webwinkels. Het gaat om e-mail- en woonadressen, telefoonnummers en informatie over bestelde producten. Ook gegevens van Ceva-medewerkers, waaronder namen en geboortedata, zouden zijn gelekt.

De inbraak vond niet rechtstreeks plaats bij Bol.com, De Bijenkorf, Ace & Tate, Ajax of ING, maar bij systemen van Ceva die bestellingen verwerken. Volgens Bol werden twee systemen in een distributiecentrum in Waalwijk getroffen; daar zijn de werkzaamheden tijdelijk stilgelegd. In totaal zouden acht Europese distributiecentra van Ceva zijn geraakt. Hoe de hackers binnenkwamen en wanneer Ceva de aanval ontdekte, is niet bekend.

Ceva meldde de problemen op 1 augustus aan de betrokken klanten. Die waarschuwden consumenten pas vier dagen later. De privacywet schrijft geen vaste termijn voor om gedupeerden te informeren. Wel moet de Autoriteit Persoonsgegevens binnen 72 uur worden gemeld dat er mogelijk een ernstig datalek is. Bedrijven krijgen vervolgens tijd om de omvang vast te stellen en de beveiliging te herstellen, maar volgens privacyjurist Arnoud Engelfriet kan een vertraging van weken wel tot kritiek van de toezichthouder leiden.

Hoeveel mensen precies zijn getroffen, is onduidelijk. Bol zegt 14 miljoen klanten in Nederland en België te hebben, terwijl aantallen voor de andere bedrijven niet bekend zijn. Ook Zalando, dat met Ceva samenwerkt, heeft vooralsnog geen waarschuwing verstuurd. Er zijn geen inloggegevens buitgemaakt en er is geen losgeld geëist. De gelekte informatie kan wel worden gebruikt voor phishing, bijvoorbeeld door zich voor te doen als een webwinkel, bank of beveiligingsbedrijf. Consumenten moeten daarom extra voorzichtig zijn met berichten die hen onder tijdsdruk vragen gegevens te beveiligen.