Klanten van Bol en De Bijenkorf krijgen vandaag te maken met een verontrustend bericht: hun persoonsgegevens zijn mogelijk ingezien of gestolen. Achter de schermen raakte logistiek dienstverlener CEVA getroffen door een cyberaanval, met directe gevolgen voor bestellingen en privacy. Wie iets besteld heeft via een van deze twee grote retailers, doet er goed aan de komende dagen extra alert te zijn op verdachte berichten.
CEVA in het middelpunt van de aanval
Het logistieke bedrijf CEVA verzorgt voor zowel Bol als De Bijenkorf een deel van de logistieke afhandeling. Daardoor verwerkt het bedrijf ook klantgegevens van beide winkels. Omdat CEVA precies in dat knooppunt opereert, raakten de gevolgen van de aanval vrijwel direct voelbaar bij twee van de bekendste Nederlandse e-commercemerken. Het toont aan hoe kwetsbaar retailers kunnen zijn via hun toeleveranciers en partners, ook als hun eigen systemen onaangetast blijven.
Beide winkels bevestigen het cyberincident en waarschuwen hun klanten voor mogelijke risico’s. Zo laat Bol weten dat de eigen systemen van de webwinkel niet zijn geraakt. Desondanks zijn klantgegevens van Bol-gebruikers wel in gevaar gekomen, omdat die gegevens via CEVA werden verwerkt. Dat onderscheid klinkt technisch, maar is voor de getroffen klant nauwelijks geruststellend: de gegevens lagen immers buiten de eigen muren van Bol, maar bleven daarmee niet automatisch veilig.
Ook De Bijenkorf werkt samen met CEVA en bevestigt dat klantdata door het incident in gevaar kunnen zijn gekomen. De precieze omvang van het datalek is vooralsnog onduidelijk. Hoeveel klanten zijn getroffen, welke gegevens precies zijn blootgesteld en of criminelen daadwerkelijk toegang kregen tot die informatie, is op dit moment nog niet vastgesteld. Beide retailers communiceren daarom voorzichtig: het gaat vooralsnog om een mogelijkheid, geen zekerheid.
Welke gegevens zijn mogelijk getroffen
De bronnen melden dat persoonsgegevens van klanten mogelijk zijn ingezien of gestolen. Het gaat om gegevens die CEVA verwerkte in het kader van de logistieke afhandeling van bestellingen. Daarbij valt te denken aan namen, adressen en contactgegevens, hoewel de exacte aard van de gelekte informatie nog niet publiekelijk is bevestigd. Juist die onduidelijkheid maakt het voor klanten moeilijk in te schatten hoe ernstig de situatie voor hen persoonlijk is.
Bovendien zorgt de aanval niet alleen voor privacyzorgen. Volgens het AD lopen bestellingen bij beide winkels vertraging op, of zijn ze tijdelijk geannuleerd. De aanval op CEVA verstoorde daarmee de hele logistieke keten, van verwerking tot levering. Klanten die op een pakket wachten, kunnen dus ook praktische hinder ondervinden, los van de zorgen over hun privacygegevens. Dat maakt dit incident breder dan een puur digitaal probleem.
Klanten gewaarschuwd door beide retailers
Zowel Bol als De Bijenkorf zijn inmiddels actief begonnen hun klanten te informeren over het mogelijke datalek. Die stap is wettelijk verplicht zodra een organisatie vermoedt dat persoonsgegevens zijn getroffen. De Autoriteit Persoonsgegevens, de Nederlandse privacytoezichthouder, eist in zulke gevallen dat betrokkenen tijdig worden ingelicht. Daarna kunnen ook zij zelf maatregelen nemen, zoals het extra in de gaten houden van verdachte e-mails of berichten.
Klanten doen er verstandig aan extra alert te zijn op phishingberichten. Criminelen die beschikken over namen, adressen en bestelgegevens kunnen die informatie namelijk inzetten voor gerichte oplichtingspogingen. Daarbij doen ze zich vaak voor als een bekende retailer of bezorgdienst. Omdat de betrokken bedrijven, Bol, De Bijenkorf en CEVA, brede naamsbekendheid genieten, is de kans op geloofwaardige neppraktijken groter dan bij een onbekende aanbieder.
Logistieke problemen raken klanten direct
Naast de privacykwestie kampen klanten dus ook met concrete leveringsproblemen. Bestellingen die normaal binnen een of twee dagen arriveren, lopen nu vertraging op. Sommige bestellingen zijn zelfs tijdelijk geannuleerd. Hoeveel pakketjes daadwerkelijk zijn getroffen, is niet bekendgemaakt. Toch is duidelijk dat de aanval op CEVA de dagelijkse logistieke operatie van beide retailers fors heeft verstoord.
Voor klanten die afhankelijk zijn van tijdige levering, is dat een extra bron van frustratie. Zeker in een periode waarin online aankopen de norm zijn geworden, raakt een logistieke stilstand mensen direct in hun dagelijks leven. Bovendien onderstreept de situatie hoe nauw privacy en logistiek met elkaar verweven zijn: de systemen die bestellingen verwerken, bevatten tegelijk ook gevoelige klantgegevens. Een aanval op het ene raakt automatisch ook het andere.
Ketenrisico’s in e-commerce opnieuw zichtbaar
Dit incident benadrukt een bredere kwetsbaarheid binnen de e-commerce sector. Grote retailers vertrouwen voor hun logistiek op externe partners zoals CEVA. Die partners verwerken daarvoor noodzakelijkerwijs klantgegevens, ook al zijn het geen directe onderdelen van de retailer zelf. Omdat die gegevens buiten de directe controle van de winkel worden opgeslagen, brengt elk incident bij een leverancier automatisch risico’s mee voor de klanten van die winkel.
Bovendien worden retailers en hun partners steeds vaker doelwit van gerichte cyberaanvallen. Criminelen richten zich bewust op de zwakste schakel in een keten, want die levert toegang tot gegevens van meerdere partijen tegelijk. Eén succesvolle aanval op CEVA treft daarmee niet één winkel, maar tegelijkertijd de klanten van zowel Bol als De Bijenkorf. Dat maakt partnerbeveiliging minstens zo belangrijk als de beveiliging van de eigen systemen.
Onderzoek loopt nog
Op dit moment loopt het onderzoek naar de precieze omvang van het incident nog. Of gegevens daadwerkelijk zijn gestolen of openbaar gemaakt, staat formeel nog niet vast. Bol, De Bijenkorf en vermoedelijk ook CEVA werken aan het in kaart brengen van de schade. Intussen wachten klanten op duidelijkheid, zowel over hun persoonsgegevens als over de status van hun bestellingen. Zodra meer bekend wordt over de omvang en de aard van het datalek, zullen beide retailers naar verwachting aanvullend communiceren.
