Home   2026-10-22 19:56:51

←

Ransomwaregroep hackt onlinesupermarkt Flink en vraagt slachtoffers om losgeld

Original article

Bezorgbedrijf en onlinesupermarkt Flink is gehackt. Hackers van waarschijnlijk LPG Group zijn binnengedrongen in interne systemen van het bedrijf en hebben persoonsgegevens van klanten gestolen. Het gaat onder andere om naam-, adres- en woonplaatsgegevens, maar niet om wachtwoorden of betaalgegevens. Opvallend genoeg vragen de hackers losgeld aan individuele slachtoffers.

Dit nieuws in het kort

  • Bij een hack op Flink zijn NAW-gegevens en telefoonnummers gestolen, en bezorggeschiedenis en -instructies.
  • Wachtwoorden en rekeninggegevens zijn niet buitgemaakt.
  • De ransomwarebende perst ook slachtoffers af en vraag hen 10 euro per persoon.

Volgens Flink zijn er namen, e-mailadressen, postcodes en telefoonnummers buitgemaakt. Daarnaast hebben de hackers bestellingsinformatie en bezorggegevens gestolen, zoals de verdieping, de ingang, de naam op de deurbel en eventuele bezorginstructies. Flink zegt dat wachtwoorden, betalingsgegevens en bankgegevens niet zijn gestolen. Het bedrijf waarschuwt klanten om alert te zijn op phishingpogingen uit naam van het bedrijf.

Flink zegt dat het bedrijf extra veiligheidsmaatregelen heeft ingevoerd. Het heeft een cybersecuritybedrijf ingeschakeld en aangifte bij de politie gedaan. Ook heeft Flink de hack gemeld bij de Autoriteit Persoonsgegevens. Dat is in de meeste gevallen verplicht als er persoonsgegevens betrokken zijn bij een hack.

Hack cyber malware hacker hackers ransomware

Losgeld van slachtoffers

De hack lijkt te zijn uitgevoerd door de ransomwarebende LPG. Dat blijkt uit een e-mail die sommige tweakers hebben ontvangen op een uniek e-mailadres. De groep zegt daarin dat het gegevens van een miljoen klanten en 13.000 medewerkers heeft gestolen. Opvallend genoeg klopt de bende bij individuele slachtoffers aan voor het losgeld. De groep zegt met Flink te hebben onderhandeld, maar de supermarktketen wilde niet betalen.

Daarom vraagt de groep 10 euro in cryptomunt ether van slachtoffers. "Zodra we 100 ETH hebben ontvangen, verwijderen we alle gebruikersdata", zegt de groep. Met de huidige koers is dat ongeveer 239.000 euro.

Het komt niet vaak voor dat ransomwarecriminelen individuele slachtoffers benaderen. Ransomwarebendes stappen steeds vaker over op dubbele of zelfs driedubbele afpersingstechnieken. Cybersecuritydeskundigen zeggen al langer dat de kans groot is dat bendes in de toekomst ook individuele slachtoffers proberen af te persen, maar in de praktijk komt dat maar weinig voor.

Tweakers heeft Flink om een reactie gevraagd. Het bedrijf heeft nog niet gereageerd op de hack of op die vragen.

Door Lumen Heijdendael

Stagiair nieuwsredactie

Feedback • 25-09-2026 13:38
94 • submitter: Merelzeii

25-09-2026 • 13:38

94

Submitter: Merelzeii

Reacties (94)

Na het lezen van het zoveelste bericht over een hack vraag ik me af: waarom gaan we het niet compleet anders doen? Bedrijven zouden standaard geen gegevens moeten opslaan.

Zo'n 15 jaar geleden bracht ik een webshop in de lucht voor een klant, deze klant sloeg online geen persoonsgegevens op, na afhandeling van een bestelling werden alle persoongegevens uit de database verwijderd en enkel offline opgeslagen (lees: op een systeem zonder internet). Is het niet beter dat we dit standaard gaan doen, want alles lijkt tegenwoordig zo lek als een mandje.
Hoe krijg je de gegevens van je database naar je offline systeem?
'Offline' is redelijk extreem maar concepten als data diodes (bij voorkeur hardware) zijn hier nuttig: De data kan maar 1 kant op. Dan zit je ook redelijk veilig. Dit soort constructies worden al toegepast in OT omgevingen maar kan net zo goed voor dit soort problemen ingezet worden vermoed ik
Iedere nacht een backup maken op een fysiek medium en 's ochtends kopieren naar het offline systeem en als dat succesvol is de gegevens verwijderen van het online systeem. Nadeel is wel dat een klant geen overzicht meer heeft van eerdere bestellingen. Als ik naar mezelf kijk: ik bestel kleding basics bij een bekende leverancier voor lange mensen en dan is het handig om gewoon opnieuw te bestellen uit de lijst van eerdere bestellingen.
Nadeel is wel dat een klant geen overzicht meer heeft van eerdere bestellingen.
Waarom niet? Je productregels en bestelling zelf zijn geen persoonsgegeven die kan je dus gewoon online beschikbaar houden. Blijft natuurlijk wel iets van een login over in theorie kan dat ook zonder persoonsgegevens zijn (wat lastig bij wachtwoord vergeten dat wel).
Maar ik zou ook wel graag het adres kunnen zien waar het heen gaat en al dat soort dingen. Zeker als je soms iets besteld voor anderen en het dus niet allemaal naar je eigen adres gaat. Of omdat je soms bij je vriendin of soms thuis laat afleveren.

Ik wil wel wat meer zien dan een bestelregel en een login.
"Nadeel is wel dat een klant geen overzicht meer heeft van eerdere bestellingen."

Makkelijk opgelost met een factuur (per e-mail) waar alle productinformatie en een link naar de productpagina bijstaat. Het is dan wel aan de klant zelf om deze op te slaan en bij te houden, maar datzelfde geldt voor producten die je in de winkel koopt. Zelf heb ik een aparte mailbox voor facturen i.v.m. garanties, als ik online kleren zou kopen zou ik een zelfde daarvoor maken als ik zou geven om mijn bestelgeschiedenis.
Krijg je daar niet een bevestigingsmail van in je mail? In dat geval zou je wanneer je opnieuw wil bestellen kunnen zoeken in je mail op naam van de leverancier.
Of, helaas, met toestemming een persistent cookie zodat deze geschiedenis enkel bij jou bestaat. Maar een bestelgeschiedenis lijkt mij ook prima indirect gekoppeld kunnen zijn aan je NAW, toch? Ik denk hardop hier.
Flush naar tape, schijf of een systeem dat niet constant verbonden is met het netwerk?
Incrementele backup elke dag voor 2 minuten en huppakee.

Of gewoon in je browser de formuliergegevens opslaan, moet je ze niet meer ingeven. Mogelijheden zat die dat versleuteld lokaal opslaan.
Alleen de minimale data opslaan achter een datadiode.
Als die niet goed opgezet is of er zijn exploits/0-days ben je er wel niet echt veel mee...
En dat was hier precies het geval als ik het lees.
Dit verliep via een client die de data ophaalde uit de database en vervolgens de tabellen leeggooide. Echt extreem simpel in opzet, maar dus geen data online!

[Reactie gewijzigd door paradoXical op 25 september 2026 15:03]

Er staat een vrij uitgebreide handleiding hier, per database type, en stap voor stap handleiding. Best handig Giybf
Ik denk dat je wat kritischer mag gaan kijken naar de overheid. Bedrijven moeten vaak deze gegevens zo lang opslaan. Uit mijn hoofd een jaar of 7.

Neemt niet weg dat Odido klantgegevens had van 20 jaar of ouder, maar het is een wisselwerking. Ja we mogen met zijn allen wel wat woedender zijn op deze bedrijven maar wat mij betreft is de overheid de eerste die het zou moeten ontgelden.

Er is geen enkele reden om zo streng te zijn met regels. Vrijwel iedereen die de regels overtreedt gaat dat niet opeens doen door strengere regels. Je hebt zoals vrijwel altijd alleen de mensen ermee die alles netjes en eerlijk doen.

Maar goed, dat is hier natuurlijk vloeken in de kerk, want oh die overheid, daar worden we met zijn allen toch zo geil van. Zum kotzen.
Niemand dicteert waar je die gegevens 7 jaar lang moet opslaan, dat is aan jou als verkopende partij qua invulling. Kan ook separaat een export zijn van gegevens die in cold-storage/los van een netwerk opgeslagen worden. Maar het gemak dient de mens dus dat gebeurd niet altijd en die gegevens blijven (veelal langer dan die 7 jaar) vaak in een CMS staan waar ook de verkoop in afgehandeld is wat of niet tijdig bijgewerkt wordt of wat een of andere zero-day bevat of wat zo slappe was is dat het gewoon net zo goed publiek open had kunnen staan.
Ik denk dat je wat kritischer mag gaan kijken naar de overheid. Bedrijven moeten vaak deze gegevens zo lang opslaan. Uit mijn hoofd een jaar of 7.
Het zijn er precies 7, bij wet geregeld. (Artikel 52, lid 4) De belastingdienst moet ook jaren na een boekjaar nog kunnen controleren of een aangifte juist was, net als jij over een aantal jaren terug nog kunt verrekenen.
Vastgoed gerelateerd 10 jaar
Een bedrijf hoeft die helemaal niet op te slaan. Een bedrijf heeft alleen maar nodig:
  • Sluitend factuurnummer, waarbij er geen gaten mogen zijn.
  • De geleverde producten/diensten op deze factuur met prijzen.
  • Geïnde BTW en andere belastingen.
Meer is er niet nodig. Dit is ook exact wat er op een standaard ouderwetse BTW bon staat, zo eentje uit een doorslag boekje.

Een goede boekhouder en accountant kunnen de benodigde informatie hiermee gewoon uit de boekhouding halen en presenteren aan de belastingdienst.

Dat online winkels meer nodig hebben is een ander verhaal, dat heeft meer te maken met afleveren van producten. Maar in theorie zou je gewoon een online bestelling kunnen doen met een adres van een afgiftepunt, van bijvoorbeeld PostNL, een referentienummer en als het echt moet een nummer van een ID bewijs voor afhalen. Meer is er niet nodig. Je zou eenmalig tijdens bestelling bijvoorbeeld een e-mail adres kunnen opgeven voor jouw factuur kopie, en bij ontvangen e-mail met factuur een controle getal meesturen die je moet opgeven om de koop overeenkomst definitief te bevestigen.

Maar voor de rest is het allemaal niet nodig.
de knetter man. Heb jij opvoeding gehad of ben je echt gewoon altijd boos? je kan toch gewoon normaal reageren ookal wil je iemand erop wijzen dat iets vernieuwd is, of mogelijk anders dan dat diegene dacht?

Soms he, is niet iedereen, precies op de hoogte, van ALLES. Dus je kan er ook vanuit gaan dat iemand het gewoon niet weet en die persoon informeren ipv af te zeiken.
Eigenlijk is het bijzonder dat bedrijven sowieso jouw naam, adres en andere gegevens mogen bewaren. Behalve voor marketing is daar geen enkele goede reden voor. Garantie kan je als klant ook claimen als alleen je rekeningnummer als aankoopbewijs in de administratie staat.

Daarnaast is een offline systeem schijnveiligheid: je loopt in no time enorm achter met updates waardoor zo'n systeem in de praktijk onveiliger is als iemand een keer 'per ongeluk' een verbinding met internet maakt.
Onderschat niet hoeveel tijd bedrijven stoppen om de 'User Experience' te optimaliseren zodat men sneller iets koopt. Als je met 2x klikken een bestelling kan doen omdat al je gegevens al zijn ingevuld, haken mensen minder snel af.

Als de regering of, nog 'erger': de EU, dit zou verbieden dan krijg je een vloedgolf van geklaag over betutteling en hoe ons alles moeilijker wordt gemaakt terwijl dat nergens goed voor is. Stel je voor dat je elke keer je adres moet opgeven als je WC-papier bij Bol besteld...
Dan is er nog steeds geen dwingende reden om de bestelling aan mijn adres gekoppeld te houden nadat die is geleverd.

Er zijn ook andere manieren om vlot formulieren voor in te vullen. De meeste browsers herkennen een logisch ingedeeld naw formulier prima.
Er zijn ook andere manieren om vlot formulieren voor in te vullen. De meeste browsers herkennen een logisch ingedeeld naw formulier prima.
Als dat 90% is (is imo al veel) dan is dat nog steeds geen 100% wat het wel is als je die gegevens zelf bewaard. Dus je loopt bestellingen (door gebrek aan gemak) mis.

Daarnaast vullen die dingen ook niet altijd alles perfect in, hoevaak ik mijn huisnummer moet weghalen omdat het ergens ineens in een apart vakje moet (en de andere keer weer niet) kan ik niet op 1 hand tellen.
[...]

Als dat 90% is (is imo al veel) dan is dat nog steeds geen 100% wat het wel is als je die gegevens zelf bewaard. Dus je loopt bestellingen (door gebrek aan gemak) mis.
Als je ze wil bewaren zal je wel aan eisen moeten voldoen. Dat kost ook geld, maar aan de hoeveelheid spam die ik op gelekte mailadressen met een bedrijfsnaam er in zie langskomen willen webwinkels daar niet in investeren. Dan ook maar minder verkopen.
Daarnaast vullen die dingen ook niet altijd alles perfect in, hoevaak ik mijn huisnummer moet weghalen omdat het ergens ineens in een apart vakje moet (en de andere keer weer niet) kan ik niet op 1 hand tellen.
Meestel de schuld van de website, misschien zelfs intentioneel om het daar opslaan van mijn gegevens aantrekkelijker te maken...
Het grootste probleem is dat mensen geen idee hebben wat hun eigen gegevens waard zijn en wat de risico's zijn als deze data in verkeerde handen vallen. Daarnaast ruilen ze bewust en maar al te graag risico voor gemak (lees: luiheid) als het ze moeite scheelt.

Diezelfde mensen trappen drie jaar later in een phishing-mail of social-engineering campaign en klagen dan dat overheden en providers ze niet voldoende beschermd hebben.

We hebben al 30 jaar internet en weten al 25 jaar dat het voor het grootste deel een platform is waarop criminelen ongehinderd en in anonimiteit hun gang kunnen gaan. Als je dan nog steeds loopt te rommelen met Poekie01 als wachtwoord voor al je accounts en te lui bent om MFA waar mogelijk in te stellen, mag een verzekeraar wat mij betreft de handdoek in de ring gooien en niets uitkeren.
Ik doe zelf veel boodschappen bij de AH of laat bezorgen. Maar zoveel gegevens hebben die niet van mij, die niet openbaar zijn.

[Reactie gewijzigd door FicoF op 25 september 2026 15:15]

Ik vind dat niet. Als ik op meerdere adressen woon en werk wil ik op elke order gewoon kunnen zien waar ik het ook al weer heen gestuurd had. Het is gewoon een gewenste feature om de complete bestelling te kunnen zien. Ja je krijgt een email vaak, maar die is wellicht weggegooid etc.

En hoe zit het met klantenservice? Heb je bij bellen alleen een nummer dat wel iedereen kan hebben. Een bestelnummer is geen wachtwoord.

De gegevens zijn gewoon nodig voor tal van praktische zaken.
Dan nog is er geen reden om bestellingen inclusief adresgegevens tot lang na het verlopen van de garantieperiode te bewaren. Zeker niet ongevraagd.
Nee, niet buiten de relevante periode. Maar de relevante periode is nog steeds een paar jaar. En binnen Nederland is de garantieperiode ook niet vast maar, "zolang als verwacht mag worden dat het apparaat werkt". Wat ooit handig leek voor de consument, maar probeer het maar eens uit te vechten. Dus de regels zijn voor consument en leverancier al niet eens goed duidelijk. En ik kan mij voorstellen dat ze dan om gezeur te voorkomen dan maar langer opslaan. Dat kan natuurlijk offline, maar dat brengt ook weer kosten en moeite met zich mee.

Ik zou eerder zeggen dat ze open source voor software moeten verplichten. Niet noodzakelijk GPL, maar met meer inzicht is er meer risico dat hackers lekken vinden, maar ook dat meer ogen leiden tot minder bugs. Of bugs die sneller gevonden worden. Kan je zelfs de AI vragen de software van de shop te evalueren als je het niet veilig lijkt :)

En dat kan je combineren met een verplichting om interne processen voor wat er wanneer met je data gebeurd accuraat op de site te hebben. Met de mogelijkheid om dat te verifiëren.

Maar wat je ook doet. Je kan er maar beter vanuit gaan dat het altijd lekt. Dus mfa => tokens etc. zodat ze er niets mee kunnen.

[Reactie gewijzigd door bzuidgeest op 25 september 2026 16:49]

Ik begrijp niet helemaal hoe je 'open source' in je betoog neerzet als 'de oplossing'. Juist in deze AI tijden waarin publiek beschikbare code (source _en_ binary) compleet tot gatenkaas wordt gereduceerd zou een zelfgebouwde, proprietary site misschien nog wel de veiligste optie kunnen zijn...
Dat is een veelvoorkomende redenatie. Maar alhoewel dat in eerste instantie zo zou kunnen zijn. Kan het ook leiden tot exact het tegenovergestelde. Enorm goed geverifieerde en doorgelichte dus veilige software.

Wat jij voorstelt is security by obscurity. Ik verwijs je naar google als je niet weet waarom dat heel slecht is. Maar ik denk dat het geen uitleg behoeft.

En ja, ik gebruik AI zelf om binaries uit elkaar te lichten. Top. Maar dat betekend eerder dat het geen enkel nut meer heeft om code achter te houden. Niets is meer veilig door de schijn voor obscurity. Een AI rukt in principe zelfs elke obfuscation uit elkaar, want iets dat een mens in de war brengt stopt een AI niet. Het kost alleen een berg tokens en dus heeft het kosten. Alles wat op jou computer start is in principe door jou te inspecteren en uit elkaar te rukken. Voor websites is dat een beetje anders omdat je geen toegang tot een binary hebt op de server (als het goed is). Maar ook daar telt beter een goede review. Dan een mysterieuze gatenkaas.

Het is misschien niet de eerste oplosrichting. Maar zoals met alles dat publiek is en je naam op staat worden mensen ineens voorzichtiger en netter. Dat telt ook voor code denk ik. Als jij een shop site maakt en je publiceert de code open (en nogmaals dat wil niet zeggen geen copyright of dat iedereen zomaar mag builden en verkopen) dan word de naam van je bedrijf synoniem met de kwaliteit van je code. Iedereen kan het zien, inclusief jou klanten en zijn consumenten.

Bedrijven met antieke software en protocols moeten dan bijna sociaal gedwongen upgraden.

En het stopt meteen vendor lock-in wegens ongedocumenteerde protocollen en bestand formats.

[Reactie gewijzigd door bzuidgeest op 25 september 2026 17:07]

Wat jij voorstelt is security by obscurity. Ik verwijs je naar google als je niet weet waarom dat heel slecht is. Maar ik denk dat het geen uitleg behoeft.
Wie zegt dat een goed gebouwd en -eventueel door AI - gereviewede site backend minder secure zou zijn?

Security by obscurity is doelbewust bekend onveilige software te draaien in de hoop dat niemand het vindt.
Het is misschien niet de eerste oplosrichting. Maar zoals met alles dat publiek is en je naam op staat worden mensen ineens voorzichtiger en netter. Dat telt ook voor code denk ik.
Succes daarmee. Populairste website platform is Wordpress. Open source, maar gatenkaas. Linux desktop met Xorg is gatenkaas qua security, maar de halve community vertikt het om naar Wayland over te stappen. Zelfs bij serieuze inrichting om de security te verbeteren zoals SELinux wordt bij het eerste probleem direct het advies 'zet uit' gegeven.

Ik ben niet bepaald overtuigd dat OSS per definitie meer secure is.
Bedrijven met antieke software en protocols moeten dan bijna sociaal gedwongen upgraden.
Wie zegt dat dat het probleem is met de security issue uit dit artikel?
En het stopt meteen vendor lock-in wegens ongedocumenteerde protocollen en bestand formats.
Wat heeft dit met het topic te maken? Of ben je toevallig een hallucinerende AI bot?
Wie zegt dat een goed gebouwd en -eventueel door AI - gereviewede site backend minder secure zou zijn?

Security by obscurity is doelbewust bekend onveilige software te draaien in de hoop dat niemand het vindt.
Verkeerde conclusie. Ik zeg dat je zonder openheid geen mogelijkheid hebt om dat te verifieren. Dus je weet het gewoon niet. Kan prut zijn, kan veilig zijn. Maar zonder openheid geen garanties. En gezien de hoeveelheid lekken is het prut.
Succes daarmee. Populairste website platform is Wordpress. Open source, maar gatenkaas. Linux desktop met Xorg is gatenkaas qua security, maar de halve community vertikt het om naar Wayland over te stappen. Zelfs bij serieuze inrichting om de security te verbeteren zoals SELinux wordt bij het eerste probleem direct het advies 'zet uit' gegeven.

Ik ben niet bepaald overtuigd dat OSS per definitie meer secure is.
Niet bij definitie. Maar... Jij hebt de keuze om geen wordpress te gebruiken, je hebt de keuze om wayland gebaseerde distro te gebruiken. De openheid heb je niet alleen inzicht, maar omdat die gebreken bekend zijn, zijn er alternatieven gemaakt. Of had je die zelf kunnen maken. En je kan een advies om het dan maar uitzetten van SELinux gewoon negeren. Advies closed of open kan goed of slecht zijn. En met een LLM zou je het probleem zelfs zelf kunnen repareren en aanbieden voor upstream. Draag je nog bij ook.
Wie zegt dat dat het probleem is met de security issue uit dit artikel?
niemand. Ik noemde het als een leuke bijvangst.
Wat heeft dit met het topic te maken? Of ben je toevallig een hallucinerende AI bot?
beetje waardeloos om iemand meteen voor AI bot uit te maken. Is dat hoe jij discussie voert? Wat het met het topic te maken heeft? Niets direct. Het is ook weer een positieve bijvangst van mijn oplossing. Iets dat veel open source ontwikkelaars graag zouden zien. Scheelt ze een hoop tijd. En ook dan, meer evaluatie en meer ogen is meer veiligheid.
Bedrijven zouden standaard geen gegevens moeten opslaan.
Hoe werkt het bij online supermarkt? Gaan ze bij een pakketautomaat bezorgen? Hoe lang is een diepvries artikel houdbaar in zo een automaat? Is de weg naar daarnaartoe niet verder dan naar een supermarkt in de buurt?

[Reactie gewijzigd door ccnl op 25 september 2026 14:13]

Na het lezen van het zoveelste bericht over een hack vraag ik me af: waarom gaan we het niet compleet anders doen? Bedrijven zouden standaard geen gegevens moeten opslaan.

Zo'n 15 jaar geleden bracht ik een webshop in de lucht voor een klant, deze klant sloeg online geen persoonsgegevens op, na afhandeling van een bestelling werden alle persoongegevens uit de database verwijderd en enkel offline opgeslagen (lees: op een systeem zonder internet). Is het niet beter dat we dit standaard gaan doen, want alles lijkt tegenwoordig zo lek als een mandje.
Er zijn volgens mij genoeg oplossingen om risico's en gevolgen te beperken, maar twee redenen waarom dit niet gebeurt:
1.) Gemak;
2.) Kosten.
Dan moeten die punten geadresseerd worden. Gegevens van mensen afhandelen kan via een API van een cloud-authenticater en vervolgens via een API van een cloud-register-persoonsgegevens, zodat een bedrijf wel kan werken, maar het niet zelf hoeft te verwerken.

Kosten zijn dan voor de staat.

En online shopping alles letter snel en gemakkelijk willen? Browser shopping-plugin met al je gegevens, opt-in, natuurlijk…
Wat is offline? Zodra het in een database zit, kan het via social engineering worden gehackt. Het kaartenbaksysteem wordt vrijwel niet meer gebruikt.
Een systeem waar alleen offline (lokaal) mee gewerkt wordt, updates via repository. Dus geen verbinding naar internet.

[Reactie gewijzigd door paradoXical op 25 september 2026 15:55]

Victim blaiming much? Nee, de overheid en justitie moeten dit soort bendes gewoon eens gaan vervolgen. En dat zouden we gewoon internationaal via de VN kunnen regelen.

Waarom gaat flink wel onderuit en hebben ze pech maar zodra er een oliepijplijn gehacked wordt komt zelfs het losgeld terug. Politie en justitie laten hier hun taak liggen. Ga jagen op die lui zoals dat met veel andere zaken ook gebeurd. Dan hou je als het goed is aan het eind alleen noord korea over en die mieteren we dan gewoon van het internet af.

Alternatief is internet 2.0 waar je alleen bepaalde landen op gaat toelaten en je als consument/bedrijf alleen na verificatie een verbinding kan krijgen en dan ook, 1 keer mis, eraf en nooit meer terug.

Dan is het echt zo over met dit soort nonsense.
Helaas kreeg ik vannochtend ook deze email. Wie is de volgende, de AH shop?
Je boodschappen niet online doen, maar gewoon na de supermarkt zelf gaan, of drogist etc :).

Maar goed alle gekheid effe op een rijtje, dat houd je natuurlijk niet alles tegen.
Want ja dan kan je net zo goed ook je kast bij de ikea, de wasmachine bij Coolblue etc ook zelf daar in de winkel kopen(En dus niet online).

Het is zeker slim bedacht, want ja al die klanten 10 euro laten betalen. hebben ze als ze het doen toch ook een goed gevulde portemonnee weer.
Juist door dat tientje zelf betalen, ging ik nadenken. Waarom zou ik een tientje betalen als mijn gegevens al op straat liggen na de hack bij Odido.

Geregeld zie je voorbij komen dat er beter niet betaald kan worden, omdat dit het verdienmodel is en daardoor in stand wordt gehouden. Maar als er niet betaald wordt, dan liggen direct de gegevens van alle Nederlanders op straat en is het ook om die reden niet meer interessant om bedrijven hier te hacken.
Je boodschappen niet online doen, maar gewoon na de supermarkt zelf gaan, of drogist etc .
En dan lekker je bonuskaartje scannen aan de kassa voor de extra korting, uiteraard.
Nehh, gewoon een random bonuskaart gebruiken.
Betaal je dan niet gewoon voor de koopzegels van een ander?
Betaal je dan niet gewoon voor de koopzegels van een ander?
Niet als jij geen koopzegels koopt.
[...]


Niet als jij geen koopzegels koopt.
Koopzegels zet je aan of uit op de bonuskaart en deze worden pas bij het totaal opgeteld zodra je op "afrekenen" drukt.
En ik neem aan dat je bonuskaart daarvoor moet registeren, dus op naam etc.
Een anonieme om het zo maar even te noemen, kan je denk ik geen koopzegels mee kopen ?.

Goed krijg je ook geen persoonlijke bonus actie enzo, indien je dat wel zal willen.
En wie zegt dat wanneer je zo'n random kaart gebruikt, die anoniem is? Als ik mijn geregistreerde bonuskaart op zo'n site zet en mensen kopen er van alles mee stromen bij mij de zegeltjes binnen...... Én ik wordt zelf ook nog eens anoniemer aangezien mijn aankoopgedrag niet meer te herleiden is
Je kan natuurlijk zelf ook een kaart halen, en die niet online registeren.
Je hoeft niet van die rare hobby websites te gebruiken.
Koopzegels moet je bijkopen toch? Kan me alleen voorstellen dat de houder misschien airmiles(ofzo) eraan overhoudt wat je "gratis" spaart door gebruik van de bonuskaart, maar dan verdeeld over 600 passen ofzo? geen idee hoe en hoeveel er gegenereerd worden
Heb overigens wel een keer gehad aan een zelfscan dat er een bedrag op de kaart stond door gespaarde punten en of we dit wilden verrekenen met de boodschappen, die heb ik voor de volgende gelaten want ik had niet zo veel dingen :)

[Reactie gewijzigd door Boomas op 25 september 2026 15:26]

En diegene die dit aanbied kan zien wat jij koopt? :-)
en wie heeft dan de betere beveiliging? een random projectje of een grote multinational
Kleine projectjes meestal. Bovendien weet dat bedrijfje niet wie "jij" bent, die hebben totaal geen persoonsgegevens van je.
Wat iemand met een iPhone en een KPN telco IP range gekocht heeft. Afhankelijk van de implementatie.

Vroeger was - zover ik begrijp - de bonuskaart een barcode van een getal met een verificatie rekensom erachter. Die kon je in een JavaScript front-end genereren. Hoe de geldigheid nu in elkaar steekt weet ik niet.
Niet voor de extra korting, voor korting sowieso. anders geen korting bij de AH zonder bonuskaart.

Niet na de AH gaan kan ook al helpen, genoeg supermarkten die je niet verplichten tot een bonus kaart systeem(Anders krijg je geen korting).
Volgens mij doet echt alleen de AH dit, wat ik gewoon bijzonder slecht vind.

Dat je persoonlijke kortingen etc wil aanbieden, kan ik allemaal iets in vinden.
Of je het nou wat vind of niet verder.
Maar mensen verplichten tot een kortingskaart, want tja anders geen weekacties voor jou. vind ik gewoon echt slecht.

[Reactie gewijzigd door Carlos0_0 op 25 september 2026 14:51]

De AH was wel 1 van de eerste of enige inderdaad met een bonus kaart. tegenwoordig zie ik in steeds meer winkels dat bepaalde aanbiedingen alleen gelden via een app waarbij je registreert moet zijn. ook de lidl heeft dit volgens mij. bij steeds meer ketens zie ik dat helaas, ook fastfood restaurants etc
Ja de Lidl is sinds kort ook begonnen opnieuw, nu ook met scannen / betalen op de telefoon.
Allemaal winkels worden omgebouwd.

Zij hebben volgens mij nu wel bepaalde acties alleen via de app idd, maar gelukkig niet alle producten die in de actie zijn.
AH is daar wel heer en meester in volgens mij.

Andere winkels hebben wel vaak een klantenkaart, maar vaak is dit meer om punten te sparen volgens mij.
Fastfoodketens als Mac enzo hebben het ook wel ja, maar veel van die dingen vind je dan ook op de bestel terminal terug bij acties(Tenminste bij de Mac).
En is het scannen van de app eigenlijk niet meer dan punten sparen, voor eens een keer iets met korting of gratis.

Moet wel zeggen ik de laatste tijd actief bezig ben met accounts verwijderen, uiteraard zal ik wel wat dingen houden.
En zeker door al dit gehack, het wordt alleen maar erger. hoe minder accounts hoe beter.
Maar ik had dit jaar bijv account bij de mediamarkt al eens verwijderd, kreeg ik dit jaar toch ineens mail over het spaar programma en mijn punten.
Dus gelijk maar weer hun gecontacteerd, en gezegd van ik wil dat jullie alles van mij verwijderen(Ik koop er toch nooit iets).
En ja je online facturen zijn leuk(Als iets stuk is ofzo), maar ik kan ook de pdf wel bewaren in de email bijv.

Ik ga denk ik nu ook mijn Mac app verwijderen + account, ik kom zo weinig bij de Mac(Dat punten sparen toch geen zin heeft).
En aangezien die punten ook nog eens een verloopdatum hebben, schiet dat ook niet echt op.
Nu zullen hackers hier niet veel aan hebben, om mensen hiermee lastig te vallen denk ik.
Maar goed gebruik het te weinig om eigenlijk een account te hebben(Laatste bezoek al bijna 1 maand geleden).

[Reactie gewijzigd door Carlos0_0 op 25 september 2026 15:56]

Veel meer dan er bij de Odido hack is vrijgekomen kan er niet meer lekken in mijn geval. Naam, adres, bankrekeningnummer.

Ik wens ze succes met de boodschappenlijsten van het afgelopen jaar :)
Tijdens de COVID lockdown had ik de keus tussen COVID oplopen in een overvolle supermarkt omdat deze om 20.00 sloten of een flitsbezorger á la Flink of Getir. Flink was destijds een goede flitsbezorger en ik gebruik het hier en daar nog steeds omdat de AH soms pas na 5 dagen kan bezorgen.

Maar je hebt gelijk, zolang deze incompetente oelewappers hun zaken niet in orde hebben, zeg ik mijn account op en ga ik kijken of ik ergens een schade-claim kan indienen want dit mag écht niet.
En tijdens het thuis blijven zitten, was je ook helemaal niet veilig.
Die bezorger zit ook met zijn handen overal aan, zal ook wel eens niezen. Na een openbaar toilet gaan en of ze handen niet altijd wassen / of ontsmetten.

Dus ja als die jou krat of tas met boodschappen pakt, weet je ook niet wat die er voor gedaan heeft.
Misschien heeft die er voor wel een krat vast gehouden, van een persoon die Corona had. En vervolgens pakt die jou krat(Of spuugt of niest per ongeluk een beter over je boodschappen).
Juist je zelf opsluiten was veel slechter, want dan kon en deed je helemaal niks.

Ik ging juist alsnog naar de winkel, na het kantoor etc. zodat ik gewoon nog buiten kwam en mensen zag / sprak(In plaats van mij helemaal af te sluiten van de wereld).
Uiteraard voor oudere mensen, of iets met hun gezondheid hebben was het een mooie oplossing.

Maar een beetje wat accounts / gegevens laten verwijderen is nooit slecht, ben daar zelf dit jaar ook aardig actief mee geweest.

[Reactie gewijzigd door Carlos0_0 op 25 september 2026 17:48]

Mijn strategie om afgesloten ruimtes waarin veel mensen zich bevinden (waaronder supermarkten) heeft wel gewerkt, pas na 2 jaar start eerste geval in Nederland had ik mijn eerste COVID besmetting opgelopen en destijds was het virus een relatief zwakke variant die iit. tot de eerste varianten veel minder tot long-COVID leidde. Dit in tegenstelling tot mijn collegea die door COVID langdurig in de ziektewet kwamen en zelfs afgekeurd werden door long-COVID. Dit natuurlijk in combinatie met vaccineren en gezond verstand/hygiene te gebruiken.
Ik heb het uiteindelijk zover ik weet maar 1 keer gehad, ik deed alles wat mocht. en ook wat niet mocht.
Borrels gehad op het werk etc, met de vaste club die elke dag op kantoor was net als ik.

Ik heb mij niet elke week / maand getest, misschien zelfs maar 2 testen totaal waarvan 1 officieel en 1 thuis test.
thuistest alleen gedaan omdat bleef niezen etc(Beetje de symtonen zeg maar).
Kwam positief uit de bus, echter had ik het niet gedaan. Een dag later had ik nergens meer last van(En had ik dus sowieso geen test gedaan).
Toen moest je nog 5 dagen thuis blijven, nu was het op woensdag avond en donderdag en vrijdag was ik vrij. Dus ja maandag ging ik gewoon weer na het werk(En volgens mij heb ik in weekend ook gewoon boodschappen gedaan).

Ik had ook de corona melder app niet, als je in de buurt was geweest van iemand die wel positief gemeld was.
Ik Fietste gewoon elke dag na het werk, deed boodschappen etc. ging buiten hardlopen zoals gewoonlijk.
Ik vergat het mondkapje soms wel eens zelfs op het werk, wat in ieder geval in de openbare ruimtes vanwege ook andere bedrijven verplicht was.
Ik gebruikte zelfs gerust hele week het zelfde mondkapje, Meer onbewust omdat ik het vergat.

Maar goed dit verhaal gaat niet over Covid, maar hackers en flink :P.

[Reactie gewijzigd door Carlos0_0 op 25 september 2026 18:20]

Wat had je gekocht dat je chanteerbaar maakte?
Je hoeft niets bijzonders te hebben gekocht om chantabel te zijn. Ook jouw privégegevens zijn een reden om chantabel te zijn.
Heel veel dildo's en glijmiddel.
Ik kreeg de mail van Flink, maar ze zijn welkom om individueel losgeld te vragen. Verwijs ik ze even door naar mijn gegevens bij Odido :')
Mijn gegevens zijn eind juni dit jaar uit de Flink database gewis op mijn verzoek, en ik heb geen e-mail ontvangen. Ik vermoed daarbij dat Flink ook daadwerkelijk wist en dat de gelekte data heel recent is.
Ze doen hun best maar, mijn geld krijgen ze niet. Alles ligt toch al op straat sinds de Odido hack
Hoe meer er op straat ligt des te waardelozer nieuwe data wordt. Het lost zich wel een keer op.
Ze zijn weer Flink aan hacken de laatste tijd..
Voor zo weinig info gaat hopelijk niemand overstag voor €10. Bij het overgrote deel van de mensen die bij Flink boodschappen hebben gedaan, is die informatie zelfs al gewoon openbaar, dus alleen de mensen waarbij het echt belangrijk is, zouden graag €10 betalen, maar dan halen ze nooit die 239.000 natuurlijk.
Dan nog, elke euro is mooi meegenomen voor ze. Een nieuw dieptepunt in cybercriminaliteit. Blijkbaar levert het direct afpersen minder op doordat er meer geweigerd wordt te betalen, en verschuift het naar de klanten.
Dat is hoe de overheid het ook doet, de bedrijven en rijken zijn moeilijk, dus dan maar de gewone burgers.
Doet me denken aan een scene uit Pulp Fiction. Een restaurant overvallen voor de kassa. En alle bezoekers de portemonnee laten inleveren.
Als je bug bounty of vulnerability disclosure draait heb je een constante controle van honderden danwel duizenden hackers. Dit kan echt een hoop veiligheidsrisico's beperken.

[Reactie gewijzigd door zen84 op 25 september 2026 14:14]

helaas ik ook, maar ik zat toch al in de odido hack dus de haxx0rs hebben er niets extras bij... behalve dat ik graag cola drink als ze de boodschappenlijstjes ook erbij hebben. ik kreeg trouwens die email in het duits? zal wel :)

Om te kunnen reageren moet je ingelogd zijn