Home   2026-10-22 19:56:51

←

RTL: geen enkele klant betaalde losgeld aan hackers van onlinesupermarkt Flink

Original article

sluiten

Uitnodiging Tweakers halfjaaronderzoek

Graag nodigen we je uit om deel te nemen aan het Tweakers halfjaaronderzoek. Via deze enquête willen we een beeld krijgen van hoe je Tweakers ervaart en de verschillende onderdelen waardeert. Invullen duurt ongeveer vijf tot tien minuten.

Vul de vragenlijst in

Tot dusver heeft nog geen enkele klant losgeld betaald aan de ransomwarebende die onlinesupermarkt Flink hackte. De criminelen vroegen klanten om ongeveer 11 euro in crypto. In ruil daarvoor zouden ze de gestolen gebruikersdata niet publiceren.

Er is nog geen enkele transactie binnengekomen op het cryptovaluta-adres van de ransomwarebende, zo blijkt uit onderzoek van RTL Nieuws. Voor zover bekend gebruikten de hackers in alle afpersingsberichten hetzelfde adres. Ze vroegen klanten om 0,005 ether, wat neerkomt op iets meer dan 11 euro. De criminelen wilden vóór 2 oktober minstens 100 ether, of 239.000 euro, ontvangen van klanten. Dan zouden ze de gebruikersdata niet op het darkweb te koop aanbieden.

De recent opgerichte ransomwarebende LPG zei vorige week dat ze data heeft gestolen van een miljoen klanten van onlinesupermarkt Flink. Het gaat om namen, e-mailadressen, postcodes en telefoonnummers. Wachtwoorden, betalingsgegevens en bankgegevens bleven volgens Flink buiten schot. De hackers kwamen binnen met de inloggegevens van een voormalig werknemer, meldt Tagesspiegel.

Opmerkelijke modus operandi

Dat criminelen individuele klanten vragen om losgeld komt maar zelden voor, hoewel experts hier wel al langer voor waarschuwen. In de meeste gevallen proberen hackers het getroffen bedrijf te laten betalen. Ook LPG heeft naar eigen zeggen met Flink geprobeerd te onderhandelen, maar het bezorgbedrijf zou niet op de eisen van de aanvallers zijn ingegaan.

Hack cyber malware hacker hackers ransomware. Beeld: Getty Images/Cultura RF

Door Kevin Krikhaar

Redacteur

Feedback • 30-09-2026 20:14
62 • submitter: Xtuv

30-09-2026 • 20:14

62

Submitter: Xtuv

Reacties (61)

Ik vind niet bijzonder dat die hack gebeurt is. Ik en andere collega’s toen kregen de inloggegevens van de enige HR medewerker in NL om te helpen met hun backlog aan klachten. (Want ja extra licenties ho maar). En jaar na mijn uit dienst treden heb ik voor eigen belang gekeken als ik nog kon inloggen om iets in mijn eigen dossier te kijken en ja hoor😅

Natuurlijk, tijdens en na mijn werk relatie met Flink heb ik verschillende meldingen gemaakt bij allerlei instanties, maar kreeg amper vervolg.
En jaar na mijn uit dienst treden heb ik voor eigen belang gekeken als ik nog kon inloggen om iets in mijn eigen dossier te kijken en ja hoor😅
Ook al is dit misschien vanuit je eigen perspectief geen probleem wat je hier online deelt is strafbaar. Ik kan je adviseren om dit niet te delen 😅Hopelijk ziet je ex-werkgever dit niet of iemand die hier een zaak van wilt maken.

Niet alles moet je online delen.
Bart ® Moderator Spielerij/AI 30 september 2026 20:16
Tja, van wie liggen die gegevens nog niet op straat? Beetje zonde om dan hiervoor te betalen.
Sowieso niemand die ooit bij odido zat.

Laat odido maar betalen namens mij
Ik had hetzelfde idee, ik ben een van de getroffen klanten en heb de e-mail ook gehad.
Ik ben in de afgelopen 15 jaar slachtoffer geweest van 16 datalekken bij diverse partijen.

Welke gegevens liggen van mij nog niet op straat was mijn eerste gedachte…
Ik ga echt geen 11 euro betalen voor die paar kleine gegevens.
En dan nog… als het beoogde bedrag niet gehaald wordt omdat niet genoeg anderen betalen, wordt ook jouw adres alsnog op straat gegooid 8)7 Garantie tot aan de deur dus.

[Reactie gewijzigd door beeldbuijs op 30 september 2026 21:31]

Geen garantie zodra je je gegevens aan enig bedrijf geeft. En dat heeft iedereen in de wereld wel gedaan.
Ik dacht dat de belofte was om de gegevens per betalend individu te wissen. Dus niet betalen van anderen is geen probleem van de betaler.

Dat gezegd, niet betalen is het slimste. Het zijn criminelen. Niet te vertrouwen en vooral niet aanmoedigen door te betalen.
Je uitgelekte voorliefde voor pizza’s met ananas als topping kan je kansen op de Italiaanse arbeidsmarkt ernstig schaden
Maar in Hawaii zien ze je graag komen.
Ik betwijfel of ze er in hawai ooit van gehoord hebben. Ik denk dat naam en product een lokaal verzinsel zijn :)
Straks komt nog iemand je die pizza's aan de deur brengen, wellicht wat je zelfs wilt na je lange dag werken! :+
Zou "leuk" zijn om die hacker dan een onion linkje te sturen naar een repo waar je gegevens reeds te vinden zijn
15? dat zijn rookie numbers :+

ik zit op 40 |:( 8)7
Misschien kunnen we beter weer al onze gegevens zetten in een telefoonboek ;). Dan is er ook geen noodzaak tot hacken voor deze gegevens en kunnen we elkaar weer gemakkelijk contacteren.
En wat is er zo spannend aan data van een online supermarkt? Àls zoiets door een lek online zou verschijnen zou ik me daar echt totaal niet druk om maken. Kan iedereen zien wat ik drink, snack, voor groenten eet, voor kruiden gebruik, etc. Nou poeh poeh :+
Misschien zijn patronen in koopgedrag zichtbaar? Wordt er veel alcohol gekocht, veel chips of energydrankjes. Kan me zoiets voorstellen dat niet iedereen wil dat dat aan de grote klok wordt gehangen.
Het gaat om namen, e-mailadressen, postcodes en telefoonnummers.
Staat in het artikel, dus vrij weinig en zoals hier aan gezegd is. Er zijn maar weinig email adressen of telefoonnummers die niet al elders gelekt zijn
De data wordt meer verkocht als onderzoeks statistieken, dan dat iemand specifiek uit is op je data. Zolang bedrijven betalen voor klantgegevens zijn grote databases geld waard, wat er ook in staat.
Dat er een KANS is dat ieders gegevens gelekt zijn is het nogal naïef om ervan uit te gaan dat het al bij iedereen van toepassing is èn er laconiek erover te doen.
Inmiddels zijn er al zoveel datalekken geweest van verschillende organisaties/websites dat het voor veel mensen slechts een update is voor de criminelen database.

Ben je zelf voorzichtig een ander lekt het wel.

[Reactie gewijzigd door mr_evil08 op 30 september 2026 22:18]

Tweakers staat al dagelijks "vol" met datalekken publicaties. De mens kan zich er niet meer druk om maken .....
Ja en wat is de afperswaarde? Dat je teveel chips besteld hebt bij Flink? Of je moet al condooms besteld hebben (geen idee of ze die verkopen) terwijl je partner op vakantie was.
De hoeveelheid hacks lijken (blijken) dus ook anti reclame voor deze criminelen. Mooie bijvangst, denk ik. De hoeveelheid berichten over gestolen gegevens is zo hoog. Ik wordt ook wel beetje onverschillig over mijn gegevens. De hoeveelheid shit die ik heb na de Odido hack is al vreselijk. Erger zal het wel niet worden….
Van alles wordt gehacked tegenwoordig. Dan nog ergens voor betalen en dan weet je nog niet zeker dat het niet ergens gebruikt wordt. Betalen voor enige ransomware is wel het "stomste" wat je kan doen. Je geeft dan ook toe aan dat hun omkopingsprincipe werkt, dat wil je niet als samenleving.
Instructies of niet. Hoeveel van de getroffenen zijn zo capabel om crypto eerst zelf te vergaren en dan naar een andere wallet over te schrijven.
Maar hoeveel Flink klanten kennen deze site, vertrouwen het èn doen het ook nog?
Niemand dus. Of dat is omdat ze de site niet kennen of niet vertrouwen, kan ik je niet zeggen....
Ik ken BTCDirect verder wel maar is het dan ook kopen naar een externe wallet? Voorheen moest je dan eerst je eigen account hebben, euro's in je wallet stoppen, euro's omzetten naar crypto, crypto overschrijven naar een andere wallet.

Niet niks hoor.
wie die 11 euro wil betalen is een externe wallet niet echt interessant.
Heel "gewoon" is het tegenwoordig, met identificatie plicht, toch niet meer?
"gewoon" in vergelijking met zelf minen...
Heb ik gelijk een (legale) use case gevonden voor de volgende cybercrimineel in spé; een platform waarmee je met DigiD direct "legale" crypto aan kunt schaffen en kunt converteren naar dat wat de crimineel het liefst ontvangt én direct over kunt maken naar een bepaald adres.
Dat bestaat al, bitonic en decentrale swapping services.
Ga ik weer spam mailtjes sturen waarmee ik doe alsof ik jouw bedrijf ben.
Ja precies ik zou ook totaal niet weten hoe ik ether zou moeten verkrijgen.
Op zich achter de klanten zelf aan gaan is zo gek nog niet, maar vraag dan geen coins waarvan vele toch niet zullen snappen hoe ze er aan moeten komen(Ook al zal het met instructie zijn eventueel).
Ik kijk er niet eens gek van op dat veel klanten die deze afpersingsmail kregen, dat ze dachten dat het weer zo'n scam scaremail was.
Idd! Ook zonder enkele hack kun je dit soort afpersingsmails natuurlijk maken en sturen. Beste .......we hebben een helehoop persoonlijke gebruikersdata van u buitgemaakt, als u niet binnen zoveel dagen .... crypto overmaakt delen we deze data.
Als je gegevens toch al op straat liggen dankzij andere hacks waarom zou je, je dan nog druk maken hierom? Ik denk dat de criminelen op zoek moeten naar een andere baan want de gegevens van iedereen ligt toch al zo'n beetje op straat dankzij Odido
Niet alleen Odido. Als ik mijn e-mail in haveibeenpwned gooi kom ik nu uit op 22 datalekken dus alles wat een online supermarkt aan gegevens heeft lag toch al op straat. In mijn lijst staat inderdaad Odido, maar ook linkedin (twee keer zelfs), Last.fm, Disqus, Gravatar, OpenSubtitles, Canadian tire (ja echt), Twitter, etc.

Het allemooiste is dat er ook diensten tussen zaten waar mijn account al jaren niet meer actief was en deze volgens de GDPR dus verwijderd had moeten worden. Ik ben nog steeds verbaasd als een bedrijf me wel mailt dat ze mijn account gaan verwijderen vanwege gebrek aan activiteit, dat is nog veel te zeldzaam.
Heb van Flink wel die e-mail gehad over die hack. Nou ja, hoe kun je het een hack noemen als inloggegevens van een voormalig werknemer zijn gebruikt... (hoe de f**k zijn die inloggegevens niet meteen gedeactiveerd na vertrek van die werknemer??)

Ik heb vervolgens in ieder geval geen afpersmailtje van die hackers gehad.
Andere prangende vraag is hoe een medewerker toegang kan hebben tot zoveel productiegegevens zonder dat er ergens iets van monitoring afgaat.
Ik zou ook niet betalen. Ik ga er vanuit dat mijn gegevens bij diverse hacks al meer dan tien keer op straat liggen, die ene keer kan er ook nog wel bij.

Die hackers/criminelen kunnen het heen en weer krijgen.
Inderdaad ja. En zo gaat de lol voor die hackers er ook wel af. Laten we anders gewoon het telefoonboek weer introduceren, met IBAN en bsn. Dan zijn de hackers gelijk werkloos.
Nou, die klanten hebben zich dus allemaal flink gehouden.

*buiging*
Ja.....of.....bedrijven betalen wel, omdat niemand daar met eigen geld inzit zeg maar. Een klant moet wel met keiharde eigen munt betalen. Zou dat dan de waterscheiding zijn..
Alsof de gemiddelde mens weet hoe hij 0,005 ether moet overmaken
Dat dacht ik ook als eerste.

Heb zelf ooit één keer iets besteld (bier en borrelnootjes, dus ik ben niet meer te chanteren nu want iedereen weet het) maar ze kwamen te laat en ik kon ook zelf naar de supermarkt lopen natuurlijk.

Verder ook geen mail gehad dus misschien ruimen zij hun klantgegevens wel op als ze al 2 jaar niet meer besteld hebben.
Het is ook absoluut niet realistisch om te denken dat als je gegevens eenmaal gelekt zijn (gehackt of wat dan ook), op magische wijze weer ont-lekt worden.
Je naam staat in een dataset ergens op het darkweb. De set wordt echt niet gewist of jouw naam er uit gehaald..
If the cats out of the bag, it is our of the bag..
verkeerde reactie.

[Reactie gewijzigd door pizzafried op 30 september 2026 20:29]


Om te kunnen reageren moet je ingelogd zijn