Besteld bij Bol, Bijenkorf of ING Punten? Hack zorgt voor vertraging en geannuleerde aankopen

De aanval vond op 1 augustus plaats in een deel van de systemen van CEVA. Het logistieke bedrijf verwerkt bestellingen voor verschillende bekende ondernemingen, waaronder Bol, de Bijenkorf, Ace & Tate, Ajax en ING Punten.

Op 3 augustus waarschuwde CEVA de getroffen bedrijven dat mogelijk klantgegevens waren geraakt. Het kan gaan om namen, e-mailadressen, woonadressen, telefoonnummers en informatie over bestelde producten.

Of al die gegevens daadwerkelijk zijn gestolen, is nog onderwerp van onderzoek. De betrokken bedrijven hebben wel meldingen gedaan bij de Autoriteit Persoonsgegevens en klanten geïnformeerd.

Bij ING Punten zijn bestellingen die tussen 1 en 5 augustus werden geplaatst geannuleerd. ING stopte tijdelijk met het delen van informatie met CEVA.

Dat betekent dat klanten hun bestelling niet alsnog met vertraging krijgen. Zij moeten controleren wat ING over de annulering, gebruikte punten en een eventuele bijbetaling communiceert.

De mogelijkheid om opnieuw te bestellen hangt af van het herstel van de systemen en de hervatting van de samenwerking.

Bij Bol is één locatie getroffen. Andere onderdelen van het bedrijf draaien door. Klanten zien tijdens het bestellen volgens Bol de actuele verwachte levertijd. Het herstel duurt wel langer dan aanvankelijk werd gedacht.

De Bijenkorf is zwaarder geraakt. Sommige klanten die al een bestelling hadden geplaatst, hebben te horen gekregen dat hun aankoop mogelijk pas begin september wordt geleverd.

De webwinkel kan voorlopig niet normaal uit de centrale webshopvoorraad leveren. Een deel van het aanbod wordt geleverd vanuit fysieke winkels of door externe partners. Daardoor kan de levertijd per artikel sterk verschillen.

Bij brillenketen Ace & Tate moeten veel onlinebestellingen in een winkel worden opgehaald. Contactlenzen kunnen volgens de huidige informatie wel thuis worden bezorgd.

De volledige stand van zaken per getroffen onderneming is verzameld in een reconstructie van RTL Z.

Voor klanten is vooral belangrijk welke informatie mogelijk is buitgemaakt. Volgens de betrokken bedrijven zijn wachtwoorden niet bij het incident betrokken.

Dat betekent dat klanten hun wachtwoord niet uitsluitend vanwege deze aanval hoeven te wijzigen. Wie hetzelfde wachtwoord op verschillende websites gebruikt, doet er los daarvan verstandig aan die gewoonte te beëindigen. Eén lek bij een andere dienst kan dan anders meerdere accounts kwetsbaar maken.

De mogelijke buit bij CEVA is op een andere manier waardevol voor criminelen. Met een naam, adres, telefoonnummer en informatie over een recente aankoop kunnen zij een bijzonder overtuigend phishingbericht maken.

Een algemene nepmail met de tekst dat “uw pakket vertraging heeft” valt sneller op. Een bericht waarin de juiste winkel, het juiste soort product en een geloofwaardig bezorgprobleem worden genoemd, kan veel betrouwbaarder lijken.

Criminelen kunnen proberen aan te sluiten bij de werkelijke storing. Denk aan een sms waarin staat dat enkele euro’s moeten worden betaald om het pakket opnieuw te laten bezorgen, of een mail waarin klanten zogenaamd hun adres moeten bevestigen.

Een getroffen webwinkel kan uiteraard zelf informatie versturen. Het verschil is dat een legitieme vertraging geen reden is om via een onbekende link opnieuw bankgegevens, wachtwoorden of pincodes door te geven.

Wie twijfelt, kan beter zelf de app of website van de winkel openen. Gebruik niet de link uit het onverwachte bericht. Controleer daar de bestelstatus en neem via de officiële klantenservice contact op wanneer de informatie niet overeenkomt.

Ook telefoontjes verdienen extra argwaan. Een beller die al weet wat iemand heeft besteld, hoeft nog geen echte medewerker te zijn.

Voor klanten is de webwinkel het eerste aanspreekpunt over een bestelling. Dat het probleem bij een externe logistieke partner is ontstaan, verandert voor de consument niet wie het product heeft verkocht.

Bewaar daarom de oorspronkelijke bestelbevestiging, de beloofde leverdatum en berichten over vertraging of annulering. Bij een geannuleerde aankoop is ook relevant wat er gebeurt met betaald geld, cadeaubonnen, spaarpunten of ING Punten.

Er bestaat op dit moment nog veel onzekerheid. Niet bekend is hoeveel klanten werkelijk zijn geraakt en of de mogelijke persoonsgegevens daadwerkelijk zijn gekopieerd. Ook heeft nog geen criminele groep de aanval publiekelijk opgeëist.

Juist die onzekerheid maakt voorzichtigheid nodig. De storing zelf is vervelend, maar de grootste schade kan later ontstaan wanneer gestolen bestelgegevens worden gebruikt voor geloofwaardige fraude.