TL;DR
- Bij het datalek via logistiek dienstverlener CEVA zijn mogelijk naam, adres, e-mailadres, telefoonnummer en bestelgegevens ingezien van klanten van bol, De Bijenkorf, ING, Ajax en Ace & Tate.
- Dat is precies de set gegevens waarmee een oplichter een bericht bouwt dat klopt: jouw naam, jouw adres, jouw bestelling.
- De golf komt meestal niet meteen. Reken op weken tot maanden, en op sms in plaats van mail.
- Twijfel je over een link of bericht? Controleer hem hier eerst.
Een datalek eindigt niet bij de melding aan de Autoriteit Persoonsgegevens. Het begint daar pas, want de gegevens die eruit komen worden grondstof. Bij het incident rond CEVA Logistics gaat het om adres- en bestelgegevens van klanten van vijf bekende merken tegelijk. Wie snapt wat een oplichter met die velden kan, herkent het bericht dat straks binnenkomt een stuk sneller.
Wat er precies gelekt kan zijn
Ace & Tate meldt dat naam, adres, e-mailadres en telefoonnummer mogelijk zijn ingezien, en bij zakelijke klanten ook bedrijfsnaam en btw-nummer. Wachtwoorden zaten er niet bij. Bij Ajax kan het om adres-, order- en contactgegevens gaan; het onderzoek loopt nog. Bol stopte de gegevensuitwisseling met de partner en informeert klanten van wie gegevens mogelijk geraakt zijn.
Geen wachtwoorden dus. Dat klinkt als goed nieuws, en voor je account is het dat ook. Voor phishing maakt het weinig uit: een oplichter heeft je wachtwoord niet nodig als hij je zover krijgt dat je het zelf intypt.
Waarom “geen wachtwoorden” je niet beschermt
Zet de velden naast elkaar en je ziet het probleem. Naam, adres, telefoonnummer en een bestelling geven een oplichter genoeg voor een bericht dat nergens meer op “Beste klant” lijkt:
- Je naam en adres maken een bezorgbericht geloofwaardig — hij noemt de straat waar je woont.
- Je telefoonnummer verplaatst de aanval van mail naar sms of WhatsApp, waar je minder scherp bent en de afzender moeilijker te controleren is.
- Je bestelgegevens leveren het detail dat de twijfel wegneemt: een ordernummer dat klopt, of de naam van de winkel waar je écht iets besteld hebt.
- Een btw-nummer maakt van een consumententruc een zakelijke: een nepfactuur die past bij een bestelling die er ooit was.
Dat laatste is het gevaarlijke. Wij zeggen al jaren dat te veel kloppende details juist verdacht zijn, en dat blijft waar — maar het gaat wel in tegen je gevoel. Precies daarom werkt het.
De vier controles die altijd werken
Ongeacht hoe goed een bericht klopt, deze vier vragen halen de meeste nepberichten eruit:
- Wie vraagt er iets van me? Controleer het volledige afzenderadres of nummer, niet de weergavenaam. Een winkel mailt niet vanaf een gratis maildienst.
- Wat wordt er gevraagd? Betalen, inloggen of gegevens bevestigen naar aanleiding van een pakket is bijna nooit echt. Bezorgkosten worden niet achteraf per link geïnd.
- Waar wijst de link heen? Kijk naar het domein vlak vóór de eerste schuine streep.
bol.nl.pakket-check.comis niet bol. - Kan ik het zelf nakijken? Log in via de app of typ het adres van de winkel zelf in. Staat er geen bericht in je account, dan was het bericht dat niet.
Reken op vertraging, en op sms
Een veelgemaakte denkfout is dat je meteen na een lek de mails krijgt. Zo werkt het zelden. Bestanden worden doorverkocht, gesorteerd en gecombineerd met eerdere lekken. Een bericht dat over drie maanden binnenkomt hoort net zo goed bij dit incident — je legt het verband dan alleen niet meer.
Wij verwachten het zwaartepunt bij sms. Een pakketbericht per sms is normaal geworden, je leest het op je telefoon terwijl je iets anders doet, en de afzender is een nummer zonder verdere context. Dat is precies de mix waar smishing bij pakketdiensten het van moet hebben.
Wat je nu concreet doet
Kreeg je bericht dat je gegevens mogelijk geraakt zijn: je hoeft geen wachtwoord te wijzigen, want die zijn niet gelekt. Wel is dit een goed moment om tweestapsverificatie aan te zetten op je winkelaccounts, want een oplichter met jouw gegevens kan ook proberen in te loggen.
Verder: verwijder niets in paniek en klik niet weg. Krijg je een verdacht bericht, meld het dan bij de winkel waar het van zou komen. Bedrijven kunnen zo’n campagne laten neerhalen, maar alleen als iemand hem meldt. Snel melden is net zo belangrijk als niet klikken, ook als je zelf niets fout deed.
En bij twijfel over een mail of link: plak hem in onze controle voor phishingmails voordat je iets doet. Een controle van tien seconden is altijd goedkoper dan de schade erna.
Bronnen: de melding van bol en Dutch IT Channel over het incident bij CEVA Logistics en de melding van Ace & Tate.