ING heeft klanten van zijn spaarprogramma gewaarschuwd: hun persoonlijke gegevens zijn mogelijk in verkeerde handen gevallen. Niet via de bank zelf, maar via een externe logistieke partner die fysieke bestellingen afhandelt. Daarmee staat een vraag centraal die veel klanten bezighoudt: welke gegevens zijn precies op straat beland?
Wat is het spaarprogramma ING Punten?
Het spaarprogramma ING Punten stelt klanten in staat om punten te verdienen via bankactiviteiten. Die punten zijn vervolgens in te wisselen voor producten of diensten. Klanten die voor een fysiek product kiezen, bijvoorbeeld een koffer of een barbecue, laten hun bestelling rechtstreeks thuisbezorgen. Daarvoor werkt ING samen met een externe logistieke partner. Juist bij die partij deed zich een datalek voor, zo laat de bank nu weten.
Bovendien is dit niet de eerste keer dat een logistiek bedrijf in Nederland in verband wordt gebracht met een grootschalig datalek. Eerder werden al platforms zoals bol en De Bijenkorf geraakt nadat een cyberaanval een vergelijkbare logistieke dienstverlener trof. Hoewel ING de naam van de betrokken partner niet publiekelijk noemt, is het patroon opvallend gelijkend. Daarmee groeit de bezorgdheid over de veiligheid van klantgegevens bij externe leveranciers in de logistieke sector.
Welke klanten zijn mogelijk getroffen?
Volgens ING gaat het specifiek om klanten die via ING Punten een fysiek product hebben besteld en dat thuis hebben ontvangen. De bank benadrukt dat het hier om een afgebakende groep gaat. Klanten die uitsluitend digitale producten of diensten hebben ingewisseld, lopen vermoedelijk geen risico. Toch spreekt ING slechts van mogelijk getroffen klanten. Daarmee is dus nog niet zeker hoeveel mensen daadwerkelijk benadeeld zijn.
Daarnaast geeft de bank aan dat betrokken klanten persoonlijk worden geïnformeerd. Wie een dergelijke waarschuwing ontvangt, weet daarmee dat zijn of haar gegevens zijn meegenomen in het incident. Wie geen bericht krijgt, heeft vermoedelijk niets te vrezen. Toch roept de situatie vragen op bij consumenten die niet direct terugvinden of ze ooit een fysiek product via het puntenprogramma hebben besteld.
Geen bankgegevens buitgemaakt, zegt ING
ING stelt nadrukkelijk dat financiële gegevens noch inloggegevens zijn buitgemaakt. Dat is een belangrijke nuance, omdat het risico voor klanten daarmee beperkter lijkt dan bij een volledig banksysteem dat is gecompromitteerd. De bank legt er de nadruk op dat het lek zich bij de logistieke partner bevond, buiten de eigen banksystemen om. Echter, dit sluit niet uit dat andere persoonsgegevens wel degelijk zijn blootgesteld.
Welke persoonsgegevens precies zijn uitgelekt, maakt ING niet concreet duidelijk. Dat is een van de onduidelijkheden die blijft hangen. Denk daarbij aan naam- en adresgegevens, die bij een bezorgingsdienst standaard aanwezig zijn. Dergelijke gegevens kunnen, hoewel ze op het eerste gezicht onschuldig lijken, door kwaadwillenden worden gebruikt voor phishing, oplichting of identiteitsfraude. Daarom adviseert ING klanten waakzaam te blijven voor verdachte berichten.
Wat betekent dit voor getroffen klanten?
De directe impact verschilt per persoon. Klanten die een waarschuwing van ING ontvangen, doen er goed aan extra alert te zijn op verdachte e-mails, sms-berichten of telefoontjes. Criminelen maken namelijk gretig gebruik van gelekte adresbestanden om gerichte phishing-aanvallen op te zetten. Daarin doen ze zich voor als een bank, bezorgdienst of overheidsinstelling. Wie zo’n bericht ontvangt, moet het nooit zomaar vertrouwen en liever direct contact opnemen met ING via de officiële kanalen.
Bovendien kunnen gedupeerde klanten overwegen een melding te doen bij de Autoriteit Persoonsgegevens. Die instantie houdt in Nederland toezicht op de naleving van de privacywetgeving en kan onderzoek instellen naar het incident. ING is als verwerkingsverantwoordelijke verplicht om een melding van een datalek te doen bij die toezichthouder, indien de inbreuk een risico vormt voor betrokkenen. Of dat al is gebeurd, is op dit moment nog niet bevestigd.
Bredere context: logistieke sector kwetsbaar
Het incident bij de logistieke partner van ING past in een bredere trend. Logistieke bedrijven verwerken enorme hoeveelheden persoonsgegevens van eindklanten, terwijl ze doorgaans minder streng worden gecontroleerd dan de banken en webwinkels die hen inhuren. Daardoor vormen ze een aantrekkelijk doelwit voor cybercriminelen. Bovendien werken grote retailers en financiële instellingen met meerdere logistieke partners tegelijk, waardoor een lek bij één partij veel organisaties tegelijk kan treffen.
Experts in cyberbeveiliging wijzen er al langer op dat de zwakste schakel in een keten vaak niet de grote naam is, maar de onzichtbare tussenpersoon. Dat geldt voor webwinkels, maar ook voor banken die fysieke producten laten bezorgen via hun spaarprogramma. Vervolgens zijn het de consumenten die de gevolgen dragen, ook al hebben zij zelf niets fout gedaan. Dat gegeven maakt dit soort lekken extra pijnlijk.
Wat doet ING nu?
ING heeft aangegeven de getroffen klanten actief te informeren. De bank roept iedereen op die een bericht heeft ontvangen, waakzaam te zijn en geen gevoelige informatie te delen via onbekende kanalen. Verder onderzoek naar de precieze omvang van het datalek is gaande. Nieuwe informatie kan de komende dagen of weken meer duidelijkheid geven over hoeveel klanten er daadwerkelijk bij betrokken zijn en welke gegevens zijn gecompromitteerd. Tot die tijd geldt: houd uw inbox en telefoon in de gaten, en vertrouw alleen officiële berichten van ING zelf.
