Home   2026-10-22 19:56:51

←

'Gestolen gegevens van bol- en Bijenkorf-klanten staan te koop op darkweb'

Original article

De gestolen gegevens van bol- en Bijenkorf-klanten staan te koop op het darkweb, ontdekte RTL Nieuws. Naast naw-gegevens gaat het ook om informatie over de bestellingen die klanten hebben geplaatst.

De klantgegevens zijn afkomstig van een datalek bij de logistieke partner CEVA. Woensdag brachten bol en de Bijenkorf klanten hiervan op de hoogte. RTL Nieuws meldt nu dat de database met gestolen gegevens al op het darkweb wordt aangeboden. Dat lijkt erop te wijzen dat CEVA geen losgeld heeft betaald. Het is niet duidelijk welke groepering verantwoordelijk is voor de hack.

In de database staan onder meer namen, adresgegevens, e-mailadressen en telefoonnummers van klanten, naast btw-nummers van zakelijke klanten. Ook ordernummers, EAN-codes, track-and-trace-informatie en bestellingen die klanten online hebben geplaatst, maken deel uit van het datalek. Financiële gegevens (zoals IBAN-nummers), gebruikersnamen en wachtwoorden zijn niet gestolen.

Het is niet duidelijk hoeveel klanten er precies getroffen zijn door het datalek. "Het gaat alleen om gegevens die in verband met recente bestellingen vanuit het getroffen distributiecentrum in het geraakte systeem van CEVA waren opgeslagen", meldde bol woensdag in de e-mail aan klanten.

Update, 14.40 uur - In een eerdere versie werd gemeld dat het datalek in mei plaatsvond. Dat is echter nog niet helemaal duidelijk, dus die melding is weggehaald.

Database met gestolen gegevens van bol- en Bijenkorf-klanten. (Bron: RTL Nieuws)
Database met gestolen gegevens van bol- en Bijenkorf-klanten. Bron: RTL Nieuws

Door Kevin Krikhaar

Redacteur

Feedback • 06-08-2026 12:14
295 • submitter: CLB

06-08-2026 • 12:14

295

Submitter: CLB

Reacties (295)

295
293
154
9
0
115
Je zou toch graag zien dat je als EU burger standaard recht hebt op een directe vergoeding als je gegevens zijn gestolen. Afhankelijk van welke gegevens loopt de prijs progressief op. Dan zijn bedrijven denk ik een stuk meer secuur voortaan met beveiliging, kritische op welke gegevens ze persé wille bijhouden om mij gebruikersgemak te geven... en stoppen ze misschien met de verkoop van deze gegevens aan derde bedrijven. Er is namelijk nu veel te weinig negatieve impact voor een bedrijf om de voordelen in balans te brengen met de nadelen.
Mijn gegevens zijn al gelekt door Odido helaas en dan nu nogmaals. Het is gewoon niet te voorkomen meer blijkbaar. De ene na de andere instantie wordt gehacked en we moeten er gewoon mee dealen.
De informatievoorziening vanuit Bol.com is wel goed. Ik kreeg een nette mail, waarin precies stond welke gegevens gelekt zijn en van welke bestelling deze afkomstig was. Dit was een zeer recente bestelling.
Het gaat mogelijk om de volgende gegevens:  

Naam, adres, postcode, woonplaats, telefoonnummer, emailadres, boodschap bij cadeaubon (indien van toepassing), ordernummer, EAN, track&trace en bestelling(en).
En dan onderaan de mail het artikel dat ik recent besteld had en waarvan de gegevens gestolen zijn.

Bij Odido was de informatievoorziening heel matig.

[Reactie gewijzigd door NLblabla op 6 augustus 2026 14:06]

Ik bol ook regelmatig, maar ik heb nog geen mail ontvangen; mag ik dan aannemen dat mijn gegevens niet gelekt zijn (want niet door Ceva behandeld)?
Normaal gezien zit je er dan niet bij. Er werd duidelijk gemeld dat ik de mail kreeg omdat mijn gegevens buit gemaakt waren omdat 1 artikel van mij langs CEVA passeerde.

Dus geen mail = geen slachtoffer.
Mogelijk. Het ging bij mij om een pakket dat bij een externe partner van bol.com besteld was en geleverd in de provincie Utrecht, mocht daar het onderscheid in zitten.
Ik heb ook geen mail van bol gehad en vind dat vrij verrassend aangezien ik behoorlijk veel/vaak bij bol bestel. Mail van de bijenkorf wel gehad en bestel daar een stuk minder vaak.

Ik neem dus aan dat bij de Bijenkorf alles via de gehackte partij loopt en bij bol maar een heel klein deel ofzo :?
Klopt. CEVA is een partij die voor meerdere bedrijven de Warehouse beheert. Vroeger ook voor Bol.com maar tegenwoordig doet bol een deel zelf, en ook een groot deel met externe verkopers. Dus kan best zijn dat, ondanks dat je veel besteld, je er toch niet bij zit.
Je krijgt een tijd dat je niets meer kan bestellen via internet , dan gan ik wel naar de winkel en betaal contant geen probelemen
Dat heb ik ook gehad van Bol inderaad.
Hier ook, terwijl ik enkel de app van Odido gebruik op mijn MKB aansluiting. De rest gaat via de zakelijke partner die een heel ander mailadres van mij hanteert.

Ik heb voor al die apps gewoon een simpele catch-all op mijn domein, dus naam-service@domein.yzx -

Ik denk dat het langzaam wel tijd word dat er boetes opgelegd mogen worden aan dit soort bedrijven. Consumenten moeten overal maar eindeloos gegevens aanleveren, maar of het goed beveiligd is valt niet te zeggen omdat je zoals hier dus ziet dat een derde partij het probleem is.

Dus al zou je Bijenkorf en Bol.com helemaal gecheckt hebben als consument, dan had je dit nooit kunnen voorkomen. Dat vind ik ergens wel 'vervelend' dat je dan als bijvoorbeeld je documentnummers gelekt worden je geen enkel bedrijf aansprakelijk mag stellen voor de kosten voor een nieuw document. Dat is eigenlijk het enige wat 100% werkt om fraude te voorkomen namelijk een nieuw document aanvragen.

Dat je NAW tegenwoordig overal op straat lijkt te liggen bij een gemiddeld lek lijkt bijna de normaalste zaak van de wereld - lijkt me alleen lastig dat goed dicht te kunnen timmeren.
Ik denk dat het langzaam wel tijd word dat er boetes opgelegd mogen worden aan dit soort bedrijven. Consumenten moeten overal maar eindeloos gegevens aanleveren, maar of het goed beveiligd is valt niet te zeggen omdat je zoals hier dus ziet dat een derde partij het probleem is.
Want... als er boetes uitgedeeld worden hoeven consumenten niet meer eindeloos gegevens aan te leveren? Ik denk persoonlijk dat het producten en diensten zodanig duur maakt dat het onbetaalbaar wordt.... en dat voor een stukje schijnveiligheid.
Dat vind ik ergens wel 'vervelend' dat je dan als bijvoorbeeld je documentnummers gelekt worden je geen enkel bedrijf aansprakelijk mag stellen voor de kosten voor een nieuw document. Dat is eigenlijk het enige wat 100% werkt om fraude te voorkomen namelijk een nieuw document aanvragen.
In tegendeel, een nieuw documentnummer voorkomt geen fraude. In tegendeel zelfs, ook na verstrekken van een nieuw document en dus documentnummer kan de fraude gepleegd blijven worden. Het is niet dat (bijvoorbeeld) telecombedrijven controleren of jouw documentnummer gelekt is net zo min als dat ze kunnen controleren of deze ingetrokken is omdat een nieuw document is verstrekt. Telecomproviders hebben namelijk geen toegang tot het BRP. En bij een financiële instelling heb je wel meer nodig dan alleen een documentnummer en vervaldatum.

Het enige voordeeltje is dat jij nadat het leed al geschied is, een kopie kan verstrekken van je nieuwe ID met daarop de meer recente datum en documentnummer waarmee je dan kunt zeggen... "kijk, ik kan het niet zijn want ik heb al een nieuw document". Maar nogmaals, het leed is dan al geschied.
Ik vind dat in dit geval best boetes uitgeschreven mogen worden. CEVA heeft de gegevens wellicht nodig om actuele bestellingen te verwerken, en dat is prima. Wat ik onbegrijpelijk vind is dat CEVA die gegevens vervolgens maanden (minstens een maand, aldus een reactie die ik ergens tegen kwam) bewaard. Na levering had dat direct verwijderd kunnen worden. Als CEVA dan later nog iets moet doen, bijvoorbeeld voor het afhandelen van klachten of retouren, dan kunnen ze de gegevens weer opvragen bij Bol/Bijenkorf. Ik vraag mij af of dat überhaupt nodig is, want op de retour staat toch al een unieke code waarmee ze jouw pakketje kunnen terugvinden.

Ik zeg overigens niet dat ze alles moeten verwijderen, informatie als "wat hebben we wanneer geleverd" is prima. Naam, adres en betaalmethode zijn totaal niet relevant als het product al geleverd is. Zelfs als er iets retour komt is het Bol/Bijenkorf die het geld terug boekt, niet CEVA.

Een boete zou het probleem niet oplossen en waarschijnlijk producten duurder maken, maar zou er ook voor zorgen dat bedrijven beter gaan nadenken over welke gegevens ze nu echt nodig hebben.

Bij een bedrijf als Odido denk ik dat het anders ligt, die zijn waarschijnlijk bij wet verplicht om de gegevens jaren te bewaren omdat ze mobiele telefonie aanbieden. Je moet je legitimeren bij het afsluiten van een abonnement, als een overheidsinstantie in verband met een onderzoek volgend jaar wil weten wie vandaag eigenaar is van een telefoonnummer dan moet je die gegevens wel ergens bewaren.
Als je als consument tot een maand later mag retourneren, is het wellicht wat minder raar dat de verzendende partij die gegevens ook een maand bewaart. Het is nog steeds een logistiek proces en niet enkel het geld terug betalen.

[Reactie gewijzigd door pegagus op 6 augustus 2026 15:13]

Ja, het is een beetje afwachten hoeveel data er gelekt is. Als hier straks ook weer data van 7 jaar geleden tussen zit mogen ze wat mij betreft wel een keer ingrijpen (via AVG bijvoorbeeld). Als het allemaal data van de afgelopen maand of 2 is, dan kun je als bedrijf nog met het argument komen dat je het wellicht nodig had. Ik vraag mij wel af hoe vaak ze die gegevens nog gebruiken, het zou niet heel ingewikkeld moeten zijn om dat via Bol/Bijenkorf te regelen als je het maar sporadisch nodig hebt.
Een boete zou het probleem niet oplossen en waarschijnlijk producten duurder maken, maar zou er ook voor zorgen dat bedrijven beter gaan nadenken over welke gegevens ze nu echt nodig hebben.
Zolang directie en management zichzelf ervan bewust is dat ze buiten schot blijven en de consument overal voor opdraait zal er nimmer iets veranderen.

Wat dus moet veranderen is dat verantwoordelijken zelf aansprakelijk kunnen worden gesteld en het via wet en regelgeving verboden wordt om dergelijke kosten door te rekenen naar de consument (lees; in de prijs die de consument betaalt).

Zoals het nu gaat is het een vicieuze cirkel, bedrijf krijgt boete, rekent het door, bedrijf krijgt opnieuw boete, rekent het door... en verantwoordelijken lachen zich wezenloos.
Bij een bedrijf als Odido denk ik dat het anders ligt, die zijn waarschijnlijk bij wet verplicht om de gegevens jaren te bewaren omdat ze mobiele telefonie aanbieden. Je moet je legitimeren bij het afsluiten van een abonnement, als een overheidsinstantie in verband met een onderzoek volgend jaar wil weten wie vandaag eigenaar is van een telefoonnummer dan moet je die gegevens wel ergens bewaren.
Bedrijven zijn verplicht om bepaalde informatie te bewaren gedurende een periode van 7 jaar. De gegevens die providers in geval van mobiele telefoonabonnementen bewaren is echter niet strikt noodzakelijk (documentnummer, identiteitsbewijs, vervaldatum etc). In principe is dat helemaal nergens voor nodig en zijn er genoeg andere zaken waar ze op terug kunnen vallen in geval van wanbetaling/schulden etc.
Boetes hebben wel degelijk zin. Nu zonder boete is er weinig aansporing voor bedrijven om de beveiliging op orde te hebben, of b.v. gegevens niet onnodig/onwettig lang te bewaren.

Mailtje naar de klanten 'sorry we zijn uw gegevens kwijtgeraakt' en een beetje imagoschade. Kost waarschijnlijk minder dan beveiligen.

Bovendien creeert het ongelijkheid ten opzichte van bedrijven die wel investeren in beveiliging. Eventueel zou je een boetebedrag kunnen opleggen dat besteed moet worden aan beveiliging; een beetje vergelijkbaar met een verplichte cursus na dronken rijden.
Boetes hebben wel degelijk zin. Nu zonder boete is er weinig aansporing voor bedrijven om de beveiliging op orde te hebben, of b.v. gegevens niet onnodig/onwettig lang te bewaren.
Met boetes is er ook geen aansporing voor bedrijven om de beveiliging op orde te hebben, gewoon een kwestie van doorrekenen naar de klanten. Dat gebeurt al jaar en dag en zal altijd zo blijven gaan.

Geef Odido nu een boete en het verschijnt in de media, gevolg... menig ISP zal haar tarieven op voorhand gaan verhogen om bij een eventuele boete door een datalek te kunnen opvangen.

De enige manier wanneer een boete het bedrijfsleven daadwerkelijk aanspoort om de beveiliging beter op orde te hebben is wanneer de verantwoordelijken hoofdelijk aansprakelijk worden gesteld en het middels wetgeving verboden wordt om dergelijke risico's af te schuiven op de consument.
Eventueel zou je een boetebedrag kunnen opleggen dat besteed moet worden aan beveiliging; een beetje vergelijkbaar met een verplichte cursus na dronken rijden.
Stel jij bent vrachtwagenchauffeur of medewerker binnen een koeriersbedrijf en jij begaat een verkeersovertreding - ongeacht wat voor overtreding - wie denk jij... is er verantwoordelijk voor die overtreding en mag een evt. boetebedrag betalen en/of mag zich verantwoorden voor de rechter? Niet het bedrijf waarvoor jij werkt, neen.... jijzelf bent aansprakelijk.

Voor het op orde hebben van de beveiliging heeft een bedrijf medewerkers, medewerkers doen normaliter wat hen wordt opgedragen en alles moet worden goedgekeurd door leidinggevenden etc. het is niet het bedrijf die voor de consequenties moet opdraaien maar de verantwoordelijken.
De boetes moeten natuurlijk wel hoog genoeg zijn; in ieder geval hoger dan de kosten van beveiliging om het "voordeel" van niet beveiligen op te heffen.

En ja, kosten van boetes én beveiliging worden op klanten verhaald, net als kosten van energie en huur en eigenlijk alles.
En ja, kosten van boetes én beveiliging worden op klanten verhaald, net als kosten van energie en huur en eigenlijk alles.
Je vergelijking gaat mank.

Een chauffeur werkzaam in de transport en logistiek, bij een taxi bedrijf, koeriers bedrijf krijgt wanneer een boete op de mat valt bij de werkgever gewoon netjes de boete uitgereikt en mag deze netjes zelf betalen. "Deze hebben eigen verantwoordelijkheid, ook al werken ze op dat moment in opdracht van het bedrijf (hun werkgever)".

Tijd dus om uit te zoeken wie uiteindelijk verantwoordelijk is voor de hele beveiligingsproblematiek, welke leidinggevende of manager heeft liggen slapen en laat die maar netjes uit eigen pocket opdraaien voor de ellende die deze veroorzaakt heeft.

[Reactie gewijzigd door GS3315 op 6 augustus 2026 22:33]

Dat denk ik niet, want als je een nieuw document aanvraagt kan je opgeven of de oude gestolen/kwijt is. Kost verder niets, maar dan heb je wel bewijs dat enig handelen dat voortkomt vanuit dat document niet bij jou als persoon gezocht kan worden.

Dus elke vorm van financiële schade kan je zo eenvoudig afhandelen.

Dat je het afdoet als schijnveiligheid vind ik knap, een mobiel telefoon abonnement met toestel is gewoon iets dat BKR getoetst wordt; vermoed als je dat afsluit op een vervallen document; dat je als bedrijf zijnde dan wel iets uit te leggen hebt aan de toezichthouder als zij de kosten komen claimen aan je voordeur.
Wie denk je dat die boets gaat betalen ? De klant uiteraard.

Het grote probleem is, het is niet de vraag of, het is alleen de vraag wanneer. Als iemand jou wilt hacken, dan zal je gehacked worden hoor. Je hoeft je geen illusie te maken. De huis/tuin keukenhacker kan je buitenhouden, maar de "pro" die alle tijd in de wereld heeft zal blijven proberen. Zeker als je een interessant doelwit bent. Je moet jezelf zo oninteressant mogelijk maken eigenlijk. Maar dat is onmogelijk bij grote webshops. Daar valt meer te rapen, dus veel interessanter.

En de beveiliging is maar zo goed als de zwakste schakel. Er moet maar 1 iemand in een bedrijf op een link klikken et voila het kwaad kan geschied zijn. En dan mag je nog al de rest qua IT in orde hebben, die ene klik kan je nekken. Zou dat mogen ... Nee zeker niet, maar niet iedereen is de hele tijd 100% attent daarop. Ik heb het bijna zelf ooit voorgehad ... Had het op tijd gezien.
Wie denk je dat die boets gaat betalen ? De klant uiteraard.
De klant die de hogere prijzen ziet en dan beslist om ergens anders te kopen.
Zo gaat dat in de vrije markt.
Dus beboet die bedrijven maar goed door.
Door geen boetes uit te delen benadeel je eigenlijk de bedrijven die wel geld investeren in beveiliging.

Is gewoon een zakelijke afweging: wat is goedkoper: beveiligen of niet beveiligen en dan maar een boete betalen?
Ik zou niet zeggen dat dit een enkel klikje is. Als je seperation of privelege, monitoring (defense in depth) toepast is een enkel klikje misschien een lokale compromise, maar niet per se gelijk volledig.
Ik ben het niet eens dat de klant ervoor zou moeten betalen, anders zouden bijvoorbeeld banken onbetaalbaar zijn, die worden redelijk veilig geacht...

Als je beveiliging van klantgegevens moet gaan doorberekenen aan je eindklanten omdat je de marge van dozenschuiven zo klein is, dan denk ik dat je best out of business kan gaan zonder dat wij als maatschappij daar enige angst voor moeten hebben dat we iets missen.

Nog verder los hiervan is dat dit tussen een warehouse/logistieke partner en ons verkooppunt zit. Ceva is geen kleine speler in de markt, dus je mag het dan wel vreemd vinden dat juist zij slachtoffer zijn geworden van een cyber incident.
Wat mij betreft zou de overheid een verplichte penetratietest moeten invoeren voor ieder bedrijf dat persoonsgegevens van klanten verwerkt. Zo'n test moet worden uitgevoerd door een onafhankelijke, gecertificeerde partij. Geen geldige pentest? Dan geen webshop.

Natuurlijk biedt een penetratietest geen 100% garantie op veiligheid, maar het legt wel een minimale beveiligingsnorm op. Ik heb namelijk sterk de indruk dat de beveiliging van veel webshops ernstig tekortschiet.
Maar de hack was hier niet bij de shop, maar bij een distributiepartner. Je zou dan elke API/logon portal/server moeten pentesten waar klantgegevens overheen gaan.
Ik verwacht nu wel een kaartje van de hackers op mijn verjaardag.

Even zonder gein, mijn gegevens zaten ook bij de Odido hack en waarschijnlijk ook bij deze lek. Het is wel zorgelijk dan bedrijven met een flut beveiliging zich niet hoeven te verantwoorden tegenover de personen van wie de gegevens zijn gelekt.

Bij een uitgelekte wachtwoord is het eventjes wachtwoord wijzigen, maar wat is hun advies over mijn adres gegevens, dat ik maar moet verhuizen of dat ik niet meer bij Bol moet gaan afnemen?
Het is wel zorgelijk dan bedrijven met een flut beveiliging zich niet hoeven te verantwoorden tegenover de personen van wie de gegevens zijn gelekt.
Je kunt de beveiliging nog zo sterk hebben, een mailtje dat er goed uit ziet, kan maar net dat ene linkje hebben waarmee een crimineel of kwaadwillende binnenkomt. De beveiliging houdt niet op bij de systemen zélf, de gebruikers moeten óók bedacht zijn erop. Een datalek is daarmee eigenlijk net zoiets als een ongeluk: beiden zitten in een klein hoekje.

EDIT:
Ik wil hiermee overigens niet zeggen dat dit ook de point of entry is geweest bij deze hack, ik wil enkel aangeven dat systeembeveiliging alleen (allang) niet meer voldoende is om überhaupt veilig te zijn.

[Reactie gewijzigd door CH4OS op 6 augustus 2026 13:00]

Als de sectaresse een linkje aanklikt die alles openzet omdat iedereen admin rechten heeft, ook mensen die het niet nodig hebben. Dan vind ik dat een groter probleem dan dat een head of security een maand lang is gesocial engineerd en iets niet goed overzag.


Beetje als een verzekering. Als je je fiets niet op slot zette dan keren ze niet uit, maar als je hem met een flinke ketting vast legt dan is het een ander verhaal.
Je moet geen admin rechten hebben. Dat is echt een grote denkfout. Wanneer een administratief medewerker een actie onderneemt waardoor een aanvaller toegang krijgt tot die computer, waarmee zij permanente toegang hebben in je netwerk, dan begint de uitdaging pas. Je moet je inderdaad verder gaan bewegen in dat netwerk, steeds verder op zoek gaan naar bugs die je kunt misbruiken of andere manieren om mensen met meer toegang te gaan infecteren zonder dat je gevat wordt.

En op een gegeven moment vind je dan datgene wat je zoekt en domineer je het netwerk en de omgeving.

Wanneer men bij ons een pentest uitvoert met een scenario waarbij de testers van ons een laptop krijgen met een gewoon gebruikersaccount zonder enige speciale rechten, waarmee je dus bovenstaan scenario gaat simuleren, dan blijft het opmerkelijk van hoe ver zij geraken, regelmatig zonder dat we het zelf doorhebben. Wij krijgen vooraf ook geen waarschuwing wanneer deze testen plaatsvinden. Dus wanneer we ineens bericht krijgen dat er toch echt een verdacht domain admin account werd aangemaakt, dan sta je daar ineens weer van op te kijken.

Je kan als bedrijf geen enkele fout maken in je beveiliging, alle patches zo snel mogelijk installeren, alle configuratie doen zoals voorgeschreven door de fabrikent en experts. En toch betekend dat nog altijd niet dat je niet kwetsbaar bent voor aanvallen. Voor geen enkel bedrijf is vandaag de vraag of ze gehacked kunnen worden, maar wanneer het eens succesvol gebeurt.
alle configuratie doen zoals voorgeschreven door de fabrikent en experts.
Waarom configureert die fabrikant de software/hardware niet voor met de meest veilige instellingen geadviseerd door experts? Of use-case profielen met de juiste sets van configuratie aanbieden?

Bij veel fabrikanten is het van "Hier is het ding, succes ermee". Van die instelling moeten we af.

[Reactie gewijzigd door RoestVrijStaal op 7 augustus 2026 00:39]

Het was maar een voorbeeld. Als ze echt alles goed hebben afgesteld en geupdate etc. dan kan ik zo'n hack beter accepteren dan dat ze alles open laten staan en worden gepwnd door een bekende vulnerability in een dependency.
Een Bol.com cadeaubon zou wel leuk zijn.
Ga maar uit van de "we vegen het onder het tapijt" methode. Horen we nog wat van het Odido schandaal? En hoeveel mensen zijn nou gewisseld van provider daarna? Ik vrees dat dat aantal best beperkt is.
Dat komt ook omdat 'men' het niet boeit. Hoeveel klanten zijn ze nu kwijt geraakt die hierdoor naar andere provider zijn gegaan? Heb even gekeken bij de laatste updates van KPN en Ziggo over hoeveel klanten ze erbij hebben gekregen. Maar dat gaat om paar duizend, want ook lang niet allemaal overkomt van Odido. Ook nog maar de vraag of dat allemaal komt door de hack of het ook gewone overstappers zijn of overstappers omdat ze gratis konden opzeggen ivm. inflatie. Denk dat je netto over 100en praat wellicht. Zolang het geen consequenties hebben waarom zou dan iemand bij Odido zich hier druk over maken of stampij beginnen binnen de organisatie.
Mensen kunnen vaak niet overstappen omdat ze nog een lopend contract hebben.
Als je dat op wil zeggen dan krijg je te maken met een boete-clausule.

Zelf had ik het geluk dat mijn abonnement al verlopen was en stilzwijgend verlengd was, ik kon mijn abonnement dus wel meteen opzeggen en overstappen.
Veel zullen mogelijk inderdaad nog contract hebben maar ik praat al over het kwartaal na de hack. Oftewel het is in Q1 gebeurd en in Q1 en Q2 zag ik geen grote verschuivingen, je zou prima Q3 ook nog kunnen afwachten maar heb er geen vertrouwen in dat zoden aan de dijk gaat leggen. Ze zullen ook nieuwe klanten erbij krijgen wat dit verlies weer kan compenseren. Bottemline het zal ze weinig kosten, gaat eens om paar duizend klanten meer of minder wat misschien een kwartaal of 2 aanhoudt daarna is iedereen het vergeten. Zelf hier op het forum waren er nog vrij veel mensen die hun keuze om te blijven verdedigen door te zeggen, m'n gegevens izjn toch al gelekt of wat voor garantie heb ik dat het bij KPN of VodafoneZiggo niet gebeurd. Ik geloof in ieder geval niet dat er nog een enorme leegloop gaat zijn die Odido doet gaan bewegen.
Ik ben van provider veranderd na de hack.
Niet omdat ze niet betaald hebben maar omdat het er inderdaad op lijkt dat Odido die hack onder de tafel wil schuiven.

Ik heb destijds 2 mailtjes van ze gehad, 1 dat mijn gegevens gehackt waren en 1 waarin heel duidelijk stond dat Odido geen schadevergoedingen uitbetaalt.
Dat klanten een gratis F-secure pakket kregen moest ik ook hier op Tweakers lezen.
En als je op de website kijkt dan is er ook niks over de hack te vinden, er heeft nooit iets duidelijk op de website gestaan wat dat betreft.
Zelfs met de zoekmachine op de site is err amper iets over te vinden.
En daarom heb ik dus mijn abonnement opgezegd, de slechte afhandeling.
Consequent! Welke provider ben je naar toe gegaan (interesse)?
Vodafone.. was wel ietsjes duurder en bij Odido had ik inmiddels ook meerdere malen extra databundels gekregen ivm verlengen dus nu 15GB en geen 25GB meer (maar 15GB is ook genoeg).

Vodafone gebruikt volgens mijn onderzoek ook geen Salesforce en het zijn op het moment vooral een hoop bedrijven die Salesforce gebruiken die gehackt worden.
Een Bol.com cadeaubon zou wel leuk zijn.
Het is geen lek bij bol geweest maar bij een partner van hun. Je kunt niet van een bedrijf als bol verwachten dat ze bij elk van hun partners een leger pentesters neer gaat zetten om zo de veiligheid te waarborgen.
Je kan verwachten dat ze aan Third party risk management doen en eisen stellen en controleren aan hun partners. Heel normaal dat daaronder pentesten vallen door een 3e partij vooral bij het verwerken van klantgegevens.
Bol blijft verantwoordelijk voor de veiligheid van de data, ook als ze die ergens anders neerzetten en het daar gehackt wordt.

Bol en Bijenkorf sturen wel emails, dus kunnen ook cadeaubonnen sturen.
[...]


Het is geen lek bij bol geweest maar bij een partner van hun. Je kunt niet van een bedrijf als bol verwachten dat ze bij elk van hun partners een leger pentesters neer gaat zetten om zo de veiligheid te waarborgen.
Tja, afgezien van het feit dat binnen een jaar of 2/3 waarschijnlijk niks meer goed te beveiligen is, is BOL natuurlijk wel degelijk (mede)verantwoordelijk. Dit geldt ook voor de spullen die ze verkopen. Ondeugdelijk spul halen ze er uit ondeugdelijke vervoerders evenzo.
Of deze vervoerder ondeugdelijk is moet nog bepaald worden en zoals al eerder gezegd gaan alle bedrijven (en 'wij allemaal') helaas te maken krijgen, met gesloten achterdeuren en zijraampjes die hoe dan ook toch geopend kunnen worden ...
Waarom niet? Dat is toch waar de ISO270001 certificering voor dient?
Een partner van Bol kan na ontvangst van het pakket bij de klant meteen die gehevens wissen, er is geen enkele noodzaak deze langer dan de afleverdatum te bewaren.
Ha, dat zijn dus het soort mailtjes die scammers sturen met de buitgemaakte emailadressen!
Een Bol.com cadeaubon zou wel leuk zijn.
Van de hackers ja.

De ultieme phishing campagne. Gesponsord door Bol.com.
Of dat ene artikel dat al zo lang in je wishlist staat maar je nooit voor jezelf koopt.
Binnenkort een mailtje "klik HIER voor je cadeaubon" :-)
Maar dat hebben jullie zelf o.a. bewerkstelligd, mits je niet bent overgestapt na de hack? Wat voor incentive geef je bedrijven als ze zonder enige vorm van consequentie of genoegdoening z'n grove fout begaan.

Het wachtwoord is overigens niet uitgelekt bij deze dus dat scheelt weer aanpassen, maar ook dat is vrij makkelijk. Eventjes aanpassen, kan voor mij betekenen dat ik 30 websites bij langs moet. Ik heb wachtwoorden voor 3 gradaties, waarvan webwinkel in de minst belangrijke vallen gezien je daar niet veel mee kan (vaak) maar je hebt zomaar wat websites waar je eens inlogd en/of besteld. Als ik de elke keer moet doen als er een hack is omdat een bedrijf z'n gegevens niet op orde heeft, dan kan ik 1 of 2x per jaar alles weer bij langs. Ook belachelijk dat je tegenwoordig op zoveel plekken je mailadres moet invullen, maar dat is even ander punt.
Tijd voor een password manager.
Dat zou heel goed kunnen, denk alleen vaak dan als ze die weten te kraken dan hebben ze direct al mijn wachtwoorden. Ben niet technisch onderlegd genoeg om te weten hoe groot die kans is dat dit kan. Maar vertrouw ook niet genoeg de bedrijven om alles daar maar in handen te leggen.
Je hebt online en offline password managers. Ik gebruik zelf een offline versie (Ewallet), die draait op alle gangbare besturingssystemen. Ik snap niet dat er nog steeds mensen zijn die dit soort tools niet gebruiken. Want hoe onthoudt jij wachtwoorden (in een documentje, een handjevol passwords die je overal gebruikt?) En dan nog iets, altijd je wachtwoord veranderen na hack. Het feit dat je niet wilt veranderen zegt genoeg. :)
maar wat is hun advies over mijn adres gegevens, dat ik maar moet verhuizen of dat ik niet meer bij Bol moet gaan afnemen?
Misschien zouden we in de toekomst alleen nog met virtuele adres gegevens moeten werken bij bedrijven. Het kan al een beetje via de zogenaamde post forward systemen, maar die zijn nodeloos duur en langzaam.
Je hebt gelijk. En helaas is het niet meer alleen het wachtwoord, maar in Odido zijn geval ID enz..
Dit is exact de reden dat ik van mening ben dat we moeten ophouden met overal een telefoonnummer etc te verplichten. Waarom heeft een Bol bijvoorbeeld een telefoonnummer nodig om mijn bestelling op een adres te leveren? Hetzelfde geldt voor het moeten doorgeven van een aanhef (dhr, mevr, overig) bij bestellingen o.i.d.. De informatie dient niet de handeling, dus waarom moeten we die wel afgeven? kan alleen maar meer data zijn dat lekt als ze gehacked worden.
Vul je serieus een geldig telefoonnummer in dan? Ik probeer eerst eens 0031600000000, dan 0<netnr>0000000 en als dat niet kan, en ik wil het per sé bij die winkel kopen, dan wordt het tijd om eens goed na te denken.
Ik snap waar je vandaan komt, je moet ook zelf nadenken. Maar grote partijen zoals Bol mogen dat ook wel doen hoor :)
Volgens het artikel is bol.com toch helemaal niet gehackt?
bol is niet gehacked, maar bol geeft blijkbaar wel de telefoonnummers mee met de bestelling naar ceva, terwijl zeker ceva geen enkele baat heeft bij telefoonnummers. ceva doet alleen de logistieke afhandeling. Dus het begint bij bol, gewoon niet meer gegevens naar 3e partij dan noodzakelijke info.
Oftewel, Bol.com heeft gegevens gelekt naar een derde partij.
En die derde partij is gehackt.
Nee, Ceva maar die verwerken de gegevens van je bestelling die Bol heeft meegestuurd voor de logistieke dienst van je levering
Los van wie er gehackt is, de verantwoordelijkheid blijft bij BOL. BOL deelt deze gegevens met afhandelaars en delegeren hierdoor een deel van de werkzaamheden uit. Werkzaamheden kun je delegeren, verantwoordelijkheid niet! BOL zal voorwaarden hebben gesteld voor het verwerken van hun klantgegevens (ongeveer het meest waardevolle dat zij bezitten) en zal hier toezicht op moeten houden of laten houden. BOL mag dan niet gehackt zijn, zij dragen wel de verantwoordelijkheid.
Ik duw altijd 12312312 in het mobiele nummer :+
06-12345678 doet het ook vaak wel, ik vermoed dat dat geen actief nummer is. :)
Ik deed dit vroeger ook, maar voor de grap het nummer een keer gebeld en werd opgenomen. Heb toen de persoon gecomplimenteerd met het eigenaarschap van dit nummer en ben toen overgestapt naar dit nummer: 0000000000 (maar die werkt niet altijd meer).

Ik vind persoonlijk dat het opgeven van het telefoonnummer optioneel zou moeten zijn, niet verplicht. Nu heeft iedereen vast een telefoonnummer, maar eigenlijk vind ik het gek dat deze verplicht is. Als iemand geen telefoonnummer zou hebben, moet deze dan echt verplicht worden een telefoonnummer te hebben om een bestelling te doen bij Bol? Want Bol kan anders echt niet je pakketje leveren? Lijkt mij van niet, want ze hebben mij nog nooit gebeld en heb toch al vaker pakketjes ontvangen. Alle communicatie is altijd via de mail gegaan.
Ik gebruik dus dit nummer, heeft tot nu toe altijd gewerkt. 06-00000000
En de persoon met het nummer 06-12312312 die vraagt zich af waarom 'ie zo vaak gebeld wordt door de "Microsoft helpdesk" die Toppe wil spreken om 'm te helpen met zijn computer...
Het is vaak een service als je een wasmachine laat plaatsen. De monteur belt 15 minuten van te voren.
Deze dingen snap ik wel waarom dat opgeslagen wordt.

Maar wat ik absoluut niet snap wat heeft een BTW nummer met bezorging te maken, echt helemaal niets.

Als adres invullen onnodig is, doe ik altijd:

Slaapbank 13

3500 AA UTRECHT HOOG CATHARIJEN

Telefoonnummer doe ik altijd 030-0000000

[Reactie gewijzigd door hotabibber op 6 augustus 2026 16:53]

Ik draai gewoon wat nummers om. Maar ik denk dat jou tip beter is. Dan wordt er ook geen ander lastig gevallen.
Hetzelfde geldt voor het moeten doorgeven van een aanhef (dhr, mevr, overig) bij bestellingen o.i.d..
Ironisch genoeg wordt dat vaak enkel gebruikt bij het bepalen van de aanhef van correspondentie.

Los van dat het "nuttig gebruikt" kan worden voor targeting door de marketingsafdeling. Het is een reliek uit het verleden en "omdat iedereen het doet". Ook bij overheden en publieke sector.
Bol heeft het telefoonnummer al optioneel gemaakt, maar dat veld was nog verplicht toen ik het jaren geleden in moest vullen helaas.
Ik wou net mijn telefoonnummer weghalen. Maar het is nog steeds verplicht.

In mijn geval staat er nog een oud telefoonnummer. LOL. Dus ik heb mazzel deze keer!
De meeste Nederlanders hun gegevens zijn al veel vaker gelekt dan deze en odido. Ik verwacht die van jou ook. De autoriteit gegevensbescherming geeft aan dat er geen Nederlander is waarvan niet minstens 1 keer iets gelekt is.

Ik kan niets zeggen over bol zijn beveiliging, maar 1 corrupte medewerker kan elke beveiliging om zeep helpen. Iemand moet er admin zijn en admins zijn mensen en kunnen corrupt zijn.

En dan hebben we nog hackende AI's, tooling die nog sneller dan mensen lekken kunnen vinden. Ik denk dat je daar helemaal niet tegenop kan.

Dus ja we zullen er mee moeten dealen. Dat is niet hetzelfde overigens al maar accepteren dat het gebeurd. Maar wel regels maken voor wanneer het gebeurd om te mitigeren. Dingen als verplicht lekkers identiteitsdiefstal verzekering laten afgeven, boetes per gelekte gebruiker die automatisch van toepassing zijn, en een BSN moet gewoon onbruikbaar zijn, niets meer dan een nummer etc etc.

Onze maatschappij zullen we moeten aanpassen aan een digitale stormwind. Dit is de digitale watersnoodramp. Nu gaan we hopelijk dijken bouwen.
Ik hoop ook dat we dijken gaan bouwen, maar bedrijven lijken niet echt mee te werken. Ik zou verwachten dat banken voorop zouden lopen hierin.

Echter toen ik laatst mijn bank (ASN) meldde dat al hun telefonische controlevragen te beantwoorden zijn vanuit de Odido-lek stond de medewerker met een mond vol tanden. Ik heb een officiele klacht ingediend en deze is vervolgens op inhoud afgewezen.
maar bedrijven lijken niet echt mee te werken
Het is niet in bedrijven hun interesse om hier iets mee te doen. Niet dat het ze niets kan schelen, maar het is niet economisch te verantwoorden voor ze. Iedereen heeft dit probleem dus voor de klanten is er geen keuze op dit gebied.

De enige die dit soort dingen dus kn afdwingen is de overheid. Dat is wat mij betreft precies waar ze voor zijn. Om dingen die nodig zijn maar niet aantrekkelijk en dingen waar niemand als eerste in wil investeren omdat je dan je economische positie tegenover je concurrent zou kunnen verslechteren, af te dwingen bij iedereen tegelijk. Niet anders dan de EU met USB-C heeft gedaan toen de fabrikanten het na herhaalt proberen niet zelf voor elkaar kregen wat te kiezen.
En toch heeft DigiD nog nooit een lek gehad. Het kan dus wel, alleen niet bij iedere webwinkel. Dat kan ook niet verwacht worden.

We zouden dus moeten afstappen van dat ieder bedrijf individueel persoonsgegevens opslaat.
Ik wil niet vervelend zijn, maar in zekere zin stelt "digid" niet veel voor. Natuurlijk is het indrukwekkend hoe het de Nederlander bediend, maar het doet maar 1 ding en dat is aanmeldden. We hebben het typisch over systemen waar lekken komen die veel meer bewegende delen hebben dan digid.
Een algemene ZKP zou wat mij betreft, dé standaard moeten zijn wereldwijd, maar dat valt of staat bij of iedereen dit implementeert en hoe. Daarnaast zouden instanties ook eens zeer grondig moeten kijken naar welke gegevens ze uberhaupt echt nodig hebben en dan het minimaal benodigde opslaan voor een minimaal benodigde tijdsduur.

Dat gegevens te koop staan zal toch wel gebeuren, maar laat die gegevens dan zo irrelevant mogelijk zijn.
De lekken komen van CEVA logiscics, een partner voor logistiek van bol.
Het wordt bijna tijd om een ander emailadres te nemen. Sinds de odido hack krijg ik bijna standaard tussen de 5 en 10 fishing mails per dag.
Die gaan niet automatisch naar de spam?
Helaas, ze lijken te legitiem. Blokkeren heeft ook geen zin omdat het elke keer van een ander adres afkomstig is.
Ik denk dat je er maar beter vanuit kunt gaan dat je gegevens gelekt worden. Het is wel zo dat hoe vaker je gegevens gelekt worden ze minder waard worden. Inmiddels ben ik zelf al overgegaan naar al mijn email direct als ‘ongewenst’ aan te merken en mail te white-listen. Nu na een paar jaar zijn er vrijwel geen false positives meer en staat er geen spam, newsbrief of phishing mail in mijn inbox.
De ellende is juist altijd dat je de hele spam box moet checken op mail die juist daar onterecht staat.
Zelfde hier.

En ook hier dekt hun verzekering alles, en is het ondertussen weer business as usual voor ze :/
Als we nu eens beginnen om bedrijven die lekken een zware boete op te leggen, dan gaan die bedrijven de beveiliging eens echt serieus nemen. De details rond deze lek moeten nog bekend (uitgelekt?) worden, maar van de Odido-lek weten we al behoorlijk veel. Die had met de juiste maatregelen vorkomen kunnen worden. Vaak worden ook databases gestolen door (stok)oude bugs die al lang gepatched hadden kunnen worden.

Het haalt je data niet meer terug, maar toch...
Geld ook voor mij, maar die van odido was vervelender.

Nu hebben ze mijn laatste bestelling: 6 pakken douwe egberts koffie.

Ik zeei tegen mijn vrouw, misschien willen ze op de koffie komen :P
lol. Idem hier... 6 pakken douwe Egberts.
Het opslaan van gegevens zou tot het absolute minimum beperkt moeten worden.
Voel mij zo machteloos hierin


Je zal maar 1 verkeerd persoon online tegenkomen die je heel gemakkelijk door Odido en nu Bol/Bijenkorf kan doxxen
Volgens mij moet je er tegenwoordig gewoon vanuit gaan dat je gegevens zijn gelekt. Dus zorg dat je veel verschillende wachtwoorden hebt en waar mogelijk 2fa aan hebt staan. En goed controleren op rare mails of transacties.
Zelfde hier, maar wat me opgevallen is:

Dit kan puur toeval zijn: Ik kreeg voorheen amper spam/phishing-mails. Sinds de Odido hack opeens structureel voorkomend. Opvallender is nu, net voor deze (bol.com/De Bijenkorf) hack, i.p.v. 10-tal per week, opeens 10-tal per dag aan hele andere soort mails ontvangen heb.
Als alle bedrijven gewoon de reacties zouden lezen van tweakers.net dan bestaan er geen datalekken meer, dat is dan gewoon onmogelijk.
Illusie om dit te denken!
Dat is echt fantasie. Tweakers als groep stellen niets voor, veel te klein economisch. Een niche. En sinds wanneer geven techreuzen om klanten?
Waarschijnlijk zijn jouw gegevens nog tientallen keren gelekt, er zijn nog maar weinig bedrijven inmiddels die geen hack hebben meegemaakt.

Ik noem bv maar even booking.com, Canvas, Lidl, Avans Hogeschool, belastingdienst, Hotelsinnederland, Basic Fit, Best Western, Eurocamp, ministerie van Financieen, Inova, Bastion hotels, Westfield Mall, RTL, TU Delft etc.

Dit is alleen nog maar een selectie van dit jaar.
Sinds enkele dagen krijg ik ineens enorm veel spam, is eigenlijk pas ontstaan na de hack bij Odido maar nu loopt het plots echt de spuigaten uit, twintig per dag! En dat terwijl ik twee jaar geleden van Tele2 juist NIET over wilde gaan naar Odido, de klooio's hebben wel mijn nieuwe mailadressen laten jatten, veel te lang in hun systemen bewaard !
Namen met adresgegevens is zeer zorgelijk. Prima als ze denken dat het een goed idee is om geen losgeld te betalen voor hun gebrekkige beveiliging, maar ik hoop van harte dat ze iedereen die in de database staat een flinke compensatie moeten betalen. Maar dat zal helaas wel niet gebeuren.
Prima als ze denken dat het een goed idee is om geen losgeld te betalen voor hun gebrekkige beveiliging, maar ik hoop van harte dat ze iedereen die in de database staat een flinke compensatie moeten betalen.
Gebrekkige beveiliging roept men snel maar is altijd maar de vraag. Alles is hackbaar, perfecte beveiliging bestaat niet. En de grote groepen gaan zeer profesioneel te werk. Je kan ver boven de norm zitten en net zo hard gehackt worden. Niet om te zeggen dat CEVA alles op orde had, maar meer om te zeggen dat totdat er naar buiten komt hoe de hack precies heeft kunnen plaatsvinden kun je daar gewoon echt niks over zeggen.

Daarbij ligt er ook een aardig deel verantwoordelijkheid bij de (web)shops. Aan hun geef je immers de data, en die kiezen deze leverancier. Wat voor checks en eisen stellen die daaraan? Welke overwegingen zijn er gemaakt in die keuze?

Compensatie is dan ook niet zo zwart-wit. Hoewel bewezen gebrekigheid/nalatigheid wat mij betreft zwaar bestraft mag worden (veel zwaarder dan nu) en daarbij idd ook best compensatie mag gaan naar de mensen wiens data gelekt is, kun je puur het feit dat iemand gehackt is aan zich niet op dezelfde manier behandelen (juist om het bovenstaande). Uiteindelijk is het bedrijf zelf net zo goed slachtover van de criminelen, en moet de schade bij de criminelen verhaald worden.

Betalen is ook helemaal geen goed idee. Aardig deel van de tijd wordt de data niet netjes verwijderd, en zelfs via minder zichtbare kanalen alsnog doorverkocht naar kwaadwillende. Daar zijn al enorm veel bewezen voorbeelden van, o.a. op door politie ingenomen hardware die zogenaamd verwijderde data nog bevatte. Je houd dus het verdienmodel in stand en financieert volgende aanvallen voor een hoop op een soort van eerlijke crimineel, terwijl die hoop al vaak ijdel bewezen is. Uiteindelijk is eens gelekt altijd gelekt, en met grote regelmaat met alle gevolgen ongeacht of er betaald wordt.

[Reactie gewijzigd door Cambionn op 6 augustus 2026 21:39]

Grotendeels eens met je redenering. Waar het wat mij betreft misgaat, is hier:
Betalen is ook helemaal geen goed idee. Aardig deel van de tijd wordt de data niet netjes verwijderd, en zelfs via minder zichtbare kanalen alsnog doorverkocht naar kwaadwillende. Daar zijn al enorm veel bewezen voorbeelden van, o.a. op door politie ingenomen hardware zogenaamd verwijderde data nog bevatte. Je houd dus het verdienmodel in stand en financieert volgende aanvallen voor een hoop op een soort van eerlijke crimineel, terwijl die hoop al vaak ijdel bewezen is
De criminelen winnen in elk van de scenario's. Het is dus onwaar om te concluderen dat "je het verdienmodel intact houdt" door te betalen. Het verdienmodel wordt intactgehouden door criminelen in de gelegenheid te stellen systemen te hacken.

Al dan niet betalen heeft geen enkele invloed op de activiteiten van de criminelen. Zij lijden sowieso nooit verlies (lees: ze hebben niets te verliezen).

Deze conclusie leidt alleen maar af van het werkelijke probleem, namelijk dat bedrijven hun data niet goed beveiligen. Laten we alsjeblieft focussen op het verbeteren van die situatie, in plaats van niets doen (niet betalen) in het kader van "we belemmeren de criminelen in hun business".
Prima als ze denken dat het een goed idee is om geen losgeld te betalen voor hun gebrekkige beveiliging,
Die twee hebben geen relatie met elkaar wat mij betreft. Losgeld betalen valideert het verdienmodel van die criminelen. Dus ik ben van mening dat er nooit losgeld moet worden betaald. Dat is de enige manier om dat verdienmodel te slopen. Dan lekt er maar een paar keer wat uit. Maar dat neemt daarna vlug af denk ik omdat er niets te halen is. Dus lange termijn zijn het overgrote deel van mensen geholpen met niet betalen.

En gebrekkige beveiliging? Dan moeten we eerst een oorzaak weten. Het kan net zo goed een ontslagen superadmin zijn die een kopietje verkoopt. Iedereen kan vertrouwen schaden en er is geen systeem dat daar tegenop kan. Corruptie is helaas maar al te menselijk. 1 corrupte medewerker en je bent de sjaak.
En gebrekkige beveiliging? Dan moeten we eerst een oorzaak weten. Het kan net zo goed een ontslagen superadmin zijn die een kopietje verkoopt.
Dat een misnoegde werknemer weg kan lopen met al je gevoelige data is gebrekkige beveiliging.
Er zal altijd iemand zijn die overal bij kan, of je moet accepteren dat je niet alles op elk moment van de dag kan fixen omdat niet alle mensen beschikbaar zijn om net zoals in de films gelijktijdig een sleutel om te draaien.

Je kan het dan hooguit ontmoedigen door alles te loggen.
Bij een willekeurige MBK is er inderdaad vaak minstens één iemand die overal bij kan. Maar níet bij een enterprise onderneming. Daar dient te worden gewerkt met minimal privileges en zero trust. Het "leegtrekken" van bijvoorbeeld een database door een boze medewerker kan (en moet) technisch gewoon worden voorkomen. Heb je dat als grote onderneming niet voor elkaar? Dan heb je je beveiliging gewoon niet op orde.
Dat ben ik niet met je eens. Er is altijd een admin voor een database. Je hebt niet elke database nodig. Alleen die ene met de meest pertinente gegevens.

Zelfs met een zero trust systeem moet af en toe iemand trust krijgen voor wat voor reden dan ook. En iemand die een SQL server kan onderhouden kan nagenoeg ook altijd bij zelfs encrypted db's en wat al niet. Vanuit de root is privilege escalation gewoon makkelijk.

Al dat "gewoon niet op orde" geblaas van de zijlijn. Wees blij dat het nog niet jou oeps was. En het is makkelijk roepen vanaf de zijlijn.
Ik ben het 100℅ met je eens dat we er er al Tweakers, maar ook in het algemeen als maatschappij, voor op moeten passen niet vanaf de zijlijn te roepen dat het allemaal slecht is geregeld. De beste schippers staan tenslotte aan wal!

Dat gezegd hebbende was mijn uitspraak een reactie op bzuidgeest die suggereede dat er geen technische maatregelen te nemen zijn tegen een "insider threat". Ik deed geen aannames wat betreft de Bijenkorf of Bol.

Techniek is nooit 100% waterdicht en het risico van een boze werknemer is ook niet volledig weg te nemen, maar in de praktijk kan (en moet) er veelal véél meer worden gedaan om informatiebeveiliging naar het niveau te tillen dat anno 2026 nodig is om inwoners van Nederland en de maatschappij te beschermen.
at gezegd hebbende was mijn uitspraak een reactie op bzuidgeest die suggereede
Als bzuidgeest heb ik dat door :)

Ik begrijp je wens van beveiliging naar hoger niveau. Maar omdat ik de partijen hun systemen niet gezien heb kan ik niet zeggen of ze daar niet al zitten. Dat kan wel of niet zo zijn. Uiteindelijk kan het altijd misgaan zoals je zelf ook toegeeft.

En dan moet je niet vergeten dat beveiliging ook kosten kent. Het is dus een vraag hoeveel bol.com denkt dat hun klanten extra willen betalen voor extra maatregels. Veel klanten zullen kiezen voor een lagere prijs elke dag.
Wat versta jij onder een enterprise onderneming? En welke onderneming bedoel je in de contex van het bericht? Je hebt toch zeker wel meegekregen dat het lek niet bij De Bijenkorf en Bol zit?
Je kan de boel nog zo dichttimmeren, dat er zelfs geen kopietjes genomen kunnen worden. Dan maken ze screenshots met hun telefoon, ik zeg maar wat. 100% beveiliging bestaat jammer genoeg niet, dat is een utopie. Gebrekkig kan ik niet beoordelen zonder inhoudelijk informatie over wat er daadwerkelijk is gebeurd.
Data die er niet is kan ook niet gestolen worden, als een pakket geleverd is kunnen in principe alle gegevens bij die logestiek partner verwijderd worden. Ook BOL zelf kan gegevens die niet meer noodzakelijk zijn ná levering van een pakket wissen er is geen enkele reden te bedenken om aan profiel opbouw te doen. (Garantie en retour termijnen in acht genomen)

[Reactie gewijzigd door xxs op 6 augustus 2026 15:24]

Maar het verkopen van de data op het darkweb is toch ook een verdienmodel. Alleen bij het betalen van losgeld bescherm je in ieder geval nog de echte gedupeerden.
Alleen bij het betalen van losgeld bescherm je in ieder geval nog de echte gedupeerden.
Waarom zou dat "in ieder geval" zijn? De informatie van de gedupeerden kan nog steeds lekken, zelfs na het betalen van losgeld.
Dat zou hun verdienmodel ondermijnen.
Dat is nu net het fijne aan crimineel zijn: er zijn geen regels om aan te houden. Je kan als hackersgroep gewoon jezelf een andere naam geven en verder doen as usual.
Dat snap ik, maar ze schieten zichzelf in de voet als ze geen ‘betrouwbare’ partner blijken te zijn. Ze moeten het verdienmodel in stand houden.
Dus ik ben van mening dat er nooit losgeld moet worden betaald. Dat is de enige manier om dat verdienmodel te slopen.
Hoewel ik vind dat je niet moet betalen geloof ik niet dat het verdienmodel slopen gaat lukken. Chantage is gebaseerd op een situatie scheppen waarin het slachtoffer eigenlijk niks te kiezen heeft. Ofwel betaal je een relatief klein bedrag, ofwel overkomt je iets verschrikkelijks. Voor de juiste prijs zal vrijwel iedereen overstag gaan. Zelfs als het wettelijk verboden wordt. Smeergeld en corruptie zijn ook nooit helemaal verdwenen, onder de juiste omstandigheden heeft iedereen een prijs.

Bij ontvoeringen verbieden we het ook niet om te betalen. Niemand heeft de illusie dat iemand het leven van z'n geliefden gaat opgeven ipv te betalen. Zelfs als het in het geheim moet met het risico dat je de gevangenis in gaat zal nog iedereen betalen om z'n zoon of dochter vrij te krijgen.

Als je moet kiezen tussen je bedrijf failliet laten gaan en je personeel ontslaan of "overzichtelijk" bedrag betalen dan zullen velen besluiten dat betalen het kleinste kwaad is. Zo niet dan kan de aanvaller de prijs te verlagen tot het wel zo is.
Dan lekt er maar een paar keer wat uit. Maar dat neemt daarna vlug af denk ik omdat er niets te halen is.
Ik denk dat het niet werkt omdat er genoeg data te vinden is die zelf waardevol is. Dat de data van CEVA nu op het darkweb te koop staat is een duidelijke aanwijzing dat er een markt is. We weten natuurlijk niet zeker of er ook kopers zijn, iedereen kan alles te koop zetten, maar de data van Ziggo is in ieder geval gebruikt.
En gebrekkige beveiliging? Dan moeten we eerst een oorzaak weten. Het kan net zo goed een ontslagen superadmin zijn die een kopietje verkoopt. Iedereen kan vertrouwen schaden en er is geen systeem dat daar tegenop kan. Corruptie is helaas maar al te menselijk. 1 corrupte medewerker en je bent de sjaak.
Precies, helemaal hou je lekken toch niet tegen, maar als het eenmaal fout is gegaan kun je niet veel meer doen en moet je een afweging maken hoe je de schade het beste beperkt.
We moeten al onze energie richten op beperken van lekken en voorkomen van chantage. Alles wat we daarna nog doen is een afweging, en soms zal het beter zijn om toe te geven.

De discussie wordt extra lastig als het bedrijf dat gechanteerd wordt zelf geen last heeft van het uitlekken van die gegevens. Dan is het makkelijk om principieel te zijn en niet te betalen.
Ik ben het al niet eens met je eerste regels :) Er is ALTIJD wat te kiezen. We zouden het verbod op losgeld bij wet kunnen vastleggen. En dan is de keuze makkelijker. Ga je dan bankroet, dan pakt een nieuw bedrijf het weer op. Het gat word ingevuld, hoe dan ook. Wellicht met een doorstart.

Maar blijven betalen is gewoon niet de optie. Beveiliging is nooit 100%.
Ik ben het al niet eens met je eerste regels :) Er is ALTIJD wat te kiezen.
Vind je dat "Je geld of je leven?" een echte keuze is? Dan heb je inderdaad altijd iets te kiezen.
We zouden het verbod op losgeld bij wet kunnen vastleggen. En dan is de keuze makkelijker.
Het maakt het ook moeilijker, zo niet onmogelijk om hulp in te schakelen of de politie te bellen. Wie overweegt te betalen ziet eigenlijk geen andere optie. Misschien is die er wel, maar als je daarom vraagt sluitje de enige optie die je zelf ziet uit. Zo wordt de druk op het slachtoffer alleen maar groter.

Daarna zit je met een nog een probleem, want je weet dat je een lek hebt, maar als je iemand vraagt om het lek te dichten de kans bestaat dat ze ontdekken dat er is ingebroken en dat dan uitkomt dat je hebt betaald. Dus is het aantrekkelijker om de hele zaak zo snel mogelijk in de doofpot te stoppen.
Ga je dan bankroet, dan pakt een nieuw bedrijf het weer op. Het gat word ingevuld, hoe dan ook. Wellicht met een doorstart.
Vanuit de maatschappij gezien wel, maar vanuit het slachtoffer gezien ligt dat natuurlijk wel heel anders. Je ziet misschien je hele levenswerk verwoest worden inclusief het leven van je personeel, hun gezin, klanten, etc...

Daarnaast is de wereld groter dan commerciele bedrijven en financïele gevolgen. Ziekenhuizen worden ook gehackt en dat kan letterlijk levens kosten.
Maar blijven betalen is gewoon niet de optie. Beveiliging is nooit 100%.
Maar betalen verbieden lost het probleem ook niet op. Het zou het zelfs erger kunnen maken (zoals hierboven uitgelegd).

Ik vind dat je er alles aan moet doen om te voorkomen dat je in een situatie komt waarin je chanteerbaar bent, maar als het eenmaal zo ver is zal je een zorgvuldige afweging moeten maken van wat het minste kwaad is.
Je geld of je leven?"
Ja dat is een geldige keuze, niet een echt goede, maar zeker gewoon een keuze. En de meesten kiezen begrijpelijk voor leven. Echter we hebben het hier niet over mensen. We hebben het hier over bedrijven. En daar is de keuze wellicht tussen geld en bankroet. Nog steeds een vervelende problematische keuze. Maar dan is de keuze maar bankroet. Het is de enige manier om de criminelen te stoppen. En bankroeten zijn er dagelijkse door allerlei redenen.

Dus wat vinden mensen nou belangrijk? Het veilig houden van hun gegevens of het welzijn van een investeerder of een directeur??

Helaas is dat ook een keuze en je kan niet allebei hebben.
Je ziet misschien je hele levenswerk verwoest worden inclusief het leven van je personeel, hun gezin, klanten, etc...
En dat is triest, maar als er niet meer betaald word, dan testen de criminelen dat misschien 1 of 2 keer en dan gaan ze iets doen dat oplevert. In de meeste gevallen zal een bedrijf verder kunnen of een doorstart kunnen maken.

En hoe was het ook al weer? the good of the many outweighs the need of the few? KUT als je zelf de few bent. Maar er is altijd wel iemand ergens de sjaak voor iets.

Het is niet geweldig, maar dat is nou eenmaal als je met criminelen te maken hebt. Daarom noemen we ze criminelen. Onder jou stelling lijkt het alsof (of leid toe) je stelt dat de dieven maar een vakbond moeten beginnen omdat het er eenmaal bijhoort en het een valide verdienmodel is. Dat is te bizar.
Ja dat is een geldige keuze, niet een echt goede, maar zeker gewoon een keuze.
Ik denk niet dat we er uit gaan komen. Ik vind je visie nogal radicaal en je lijkt geen begrip te hebben voor het moeilijke parket waar mensen in zitten die worden afgeperst. Of dat nu persoonlijk is of via het bedrijf of de organisatie waar ze verantwoordelijk voor zijn.
En dat is triest, maar als er niet meer betaald word, dan testen de criminelen dat misschien 1 of 2 keer en dan gaan ze iets doen dat oplevert.
Er zullen altijd mensen zijn die toch betalen en het risico op een straf accepteren.
Dus wat vinden mensen nou belangrijk? Het veilig houden van hun gegevens of het welzijn van een investeerder of een directeur??
Zo makkelijk is het dus niet, we hebben het hier niet alleen over het financieel welzijn van de directeur. Bij bedrijven werken mensen en vaak doen ze dingen voor mensen.
En hoe was het ook al weer? the good of the many outweighs the need of the few? KUT als je zelf de few bent. Maar er is altijd wel iemand ergens de sjaak voor iets.
Mag ik concluderen dat je liever iemand dood laat gaan dan losgeld betalen? Of is er toch ergens een grens?
Losgeld betalen valideert het verdienmodel van die criminelen. Dus ik ben van mening dat er nooit losgeld moet worden betaald. Dat is de enige manier om dat verdienmodel te slopen.
Tja, dit is een argument dat algemeen is geaccepteerd en daardoor moeilijk tegen te spreken. Toch ga ik een poging doen:
  1. Als jij als crimineel een hack hebt geplaatst, dan ga je hoe dan ook losgeld vragen, namelijk: baat het niet, dan schaadt het niet.
  2. Het cracken zelf, dus het ongeoorloofd verkrijgen van data van een ander, gaat altijd door zolang de pakkans nihil is. Zelfs als losgeld vragen vrijwel nooit iets oplevert. Het is namelijk ook de sport van het hacken zelf.
  3. Het NIET betalen van losgeld leidt hoe dan ook tot het lekken van de gegevens. De cracker heeft niets te verliezen. In tegendeel, de data wordt tegen hoge prijzen verkocht op het darkweb.
Samenvattend:
De cracker zit in een win-winsituatie. Of hij vangt losgeld, of hij verkoopt de data voor veel geld, of hij doet het allebei.

Het "slachtoffer" heeft alleen de optie om de schade mogelijk te beperken door losgeld te betalen. Alle andere opties leiden tot het op straat belanden van de gegevens van onschuldige klanten.

Gezien het feit dat een hack meestal het gevolg is van nalatigheid van het "slachtoffer", vind ik dat die best met de spreekwoordelijke ballen op het hakblok mag. Betaal maar. We kijken later wel of het geholpen heeft.

Conclusie:
Niet betalen gaat nooit, maar dan ook echt nooit, leiden tot vermindering van het probleem dat er data wordt gestolen. Wel betalen leidt in de meeste gevallen tot het verminderen van de gevolgen van een hack, vooral voor degenen van wie de data is gestolen (de werkelijke slachtoffers).

Wel betalen is dus in vrijwel alle gevallen de betere optie, ook al kan dat door sommige criminelen worden gezien als aanmoediging.

Wil je deze vorm van criminaliteit werkelijk bestrijden, dan zul je je moeten richten op betere beveiliging. Heeft de hack al plaatsgevonden, dan ben je daarmee te laat en zul je moeten betalen.

Maar dit is slechts mijn bescheiden mening...

[Reactie gewijzigd door delphium op 6 augustus 2026 13:16]

En toen ging iedereen massaal betalen en vragen ze de volgende keer gewoon nog meer, of gaan nog vaker de gegevens alsnog lekken. Gewoon niet betalen, maar, wanneer er sprake is van nalatigheid, grove boete opleggen en een verplichte schadevergoeding voor de gedupeerde. En om te voorkomen dat je de boete doorberekend aan klanten, de eerste tijd na de hack elke gewenste prijsverhoging ter beoordeling bij de juiste instantie zodat die kan aangeven of dit inderdaad een kosten dekkende verhoging is en niet om de boete terug te verdienen.
Dat slaat wat mij betreft nergens op. Criminelen willen return op investering. Deze hackers zijn geen idealisten, het zijn bedrijven. En bedrijven geven geen tijd aan dingen die ze niet oplevert.

De groep die het voor de lol doet? Die hoeven er niet aan te verdienen, dus hoeven ze het ook niet te lekken. Op zijn best een sample als bewijs is genoeg en dan kunnen ze nog geld vangen vaak door het bij de gehackte partij te melden. Legaal geld, een beloning.

En zelfs als je betaald lekken de gegevens nog regelmatig omdat groepen uit elkaar vallen. Het zijn uiteindelijk criminelen.

Ik zal je wel niet van jou bescheiden mening afbrengen, maar mijn bescheiden mening is heel anders.

En verkopen voor veel geld? Er is zoveel data dat het bijna waardeloos is.
Voordat je nu: "Dat slaat wat mij betreft nergens op." zegt..
Laten we eens kijken naar jouw argumenten:

- Criminelen willen return on investment
- ze besteden geen tijd aan zaken die ze niets opleveren.

Beide punten zijn afgevangen in hun huidige werkwijze. Immers, zoals ik al aangaf, winnen de criminelen hoe dan ook. Hetzij door het ontvangen van losgeld, danwel door het verkopen van de data. In beide gevallen winst voor de aanvaller en verlies voor "het slachtoffer".

Zelfs als de organisatie verregaand geprofessionaliseerd is, zijn de hackers zelf nog steeds hackers. In hart en nieren. Niks winstoogmerk, niks urenverantwoording. Hacking is een manier van leven (ik kan het beamen). Als daar ook nog eens geld aan verbonden is, dan is dat mooi meegenomen (hier heb ik nooit aan toegegeven!); anders biedt de ervaring meer dan genoeg voldoening (dat doet het nog steeds!).

Kortom, jouw redenering is mijns inziens gebaseerd op gevoel. Op hoe het zou moeten werken. De praktijk wijst er echter op dat dit niet het geval is. Hackers zullen hacken! En kunnen ze daar geld mee verdienen? Dan zal een deel van hen dat zeker niet nalaten.

Het is de simpele en eenduidige conclusie die je kunt trekken na het toepassen van de regels van deductie, zoals Aristoteles die al in 300 voor Christus heeft opgesteld. De hackende partij is de winnaar, hoe dan ook.
Niks winstoogmerk, niks urenverantwoording.
Daar geloof ik niets van. Misschien geen urenverantwoording, maar zeker wel een winstoogmerk.
danwel door het verkopen van de data
Dat heb ik geadresseerd. De data die hier gestolen is, is niet nieuw, het meeste wat je kan verkopen is al lang gelekt. Dat maakt de verkoopwaarde erg laag. De investering in tijd, moeite en risico niet waard. De meeste lekken krijgen ze vaak niet meer dan naam en adress, dat is gewoon niets meer waard.
acking is een manier van leven
Timmeren ook, hacking is echt niet bijzonder. Het is voor veel ook gewoon een job, een manier om geld te verdienen. Doen waar ze goed in zijn. Niets bijzonders.
zoals Aristoteles die al in 300 voor Christus heeft opgesteld.
Aristoteles, moet huilen van jou deductie :)

Hacken om data te stelen is altijd voor de winst. Geen winst, geen interesse.

Whitehat hacking bestaat ook. Daar kunnen de echte hobbyisten ook mee aan de gang. Dan krijgen ze dezelfde erkenning nog veel breder en legaler en kan je ook geld vangen. Zonder uiteindelijk gezocht te worden.

De hackers die hier weer data hebben gestolen zijn geen hobbyisten, doen het niet voor de fame. Het zijn gewoon criminelen die het voor het geld doen. En dat pietje nog steeds op hetzelfde adres woont is na een dozijn lekken niets meer waard. En het is informatie die je goedkoop legaal kan krijgen.
Ik snap je argumentatie wel, maar 'eer onder dieven' lijkt een beetje uit de tijd te zijn.

Zoals anderen al schreven. Het gaat allang niet meer om de sport. Hooguit bij de script-kiddies, maar deze groepen zijn gewoon bedrijven met afdelingen. Ze hebben een "klantenservice", klachtenprocedure, enz.

Het betalen van losgeld is minimaal op gevoel erg fout om te doen. Ze verdienen hun geld toch wel. Iedere dataset is er één. Je hebt nul-komma-nul garantie dat ze daadwerkelijk de dataset vernietigen. 'Als ze niet betrouwbaar blijken, gaat helemaal niemand meer betalen', lijkt al helemaal geen valide argument meer. Het is een businessmodel geworden.

Niet betalen gaat inderdaad ook niet zorgen voor minder hacks, maar zolang het rendabel is, zullen ze gewoon door blijven gaan.
Een deel van het verdienmodel in elk geval. Er zijn natuurlijk ook nog de criminelen die de databases kopen om ons vervolgens met 5000 mailtjes te spammen over hoe ons niet-bestaande McAfee abonnement verloopt :|
Het afpersmodel in ieder geval. Het spam model kunnen ze ook prima met legaal verkregen lijsten. Daar zijn er genoeg van.
Afpersen met een dataset van Odido-klanten? Afpersen met een dataset van bol.com/Bijenkort-data? Met de data van Pornhub kan ik me er nog iets bij bedenken. In elk geval als iemand een specifieke 'taboe-voorkeur' heeft, of eventueel een bijzonder religieuze achterban heeft of zo, maar van een paar warenhuizen?
Dan zou je eventueel kunnen denken aan bepaalde seksspeeltjes? Maar is die groep chantabele mensen niet zodanig klein dat dat niet de moeite waard is? Het zou me niet verbazen als minimaal 80-90% van de huishoudens wel iets in huis heeft liggen in die aard?
Een deel van het verdienmodel in elk geval.
Dat was jou tekst. Ik interpreteerde dat als het stuk waarin ze bedrijven afpersen om te betalen omdat ze het anders openbaren. Niet zozeer de mensen op de lijst afpersen.
s? Het zou me niet verbazen als minimaal 80-90% van de huishoudens wel iets in huis heeft liggen in die aard?
Ik weet niet of het zo hoog is, maar ik denk dat mensen zich vaker laten chanteren met dingen die enorm normaal zijn. Het enige is dat als het over jou uitlekt de rest het vaak niet durft toe te geven dat ze zelf niet anders zijn. Daardoor lijkt het alsof je de enige bent. Seksspeeltjes zijn er al (denk ik) sinds voor we zelfs maar hadden uitgevogeld hoe we holbewoner moesten zijn :) . Ver voordat we vuur uitvonden in ieder geval. Ondanks dat de religieuze takken dat allemaal ontkennen :).

Voor wat het waard is, de AI geeft dit:
The broader European sexual wellness and adult products market generates an estimated yearly revenue of roughly $14 billion to $16.8 billion, with specific segments like the regional sexual wellness and contraceptives sector valued around $3.77 billion to $4.03 billion, and the broader adult and sex toy categories scaling much higher. [1]

Als dat allemaal van die ene persoon komt die zo verdorven is :) Maar waarschijnlijker is het nog al een groot aantal mensen die iets koopt :)

[Reactie gewijzigd door bzuidgeest op 6 augustus 2026 16:26]

Ik vind het echt bijzonder dat men tegenwoordig bozer is op de bestolene dan op de criminelen, ook er voorbaat van uitgaan de beveiliging gebrekkig is, is raar.

En tijden zijn veranderd, snap ik, vroeger stonden namen en adresgegevens gewoon in het publieke telefoonboek. Vervelend dat dit gebeurd maar hiervoor gecompenseerd worden is overdreven, ik zie in ieder geval geen schade maar wel mensen die hier een slaatje uit willen slaan (kom maar op met die -1).

En laten we alstublieft eerst boosheid richten op de criminelen en afwachten of er echt fouten zijn gemaakt door CEVA.
Bestellingen gekoppeld aan een adres en naam kunnen iemand chantabel maken, of in een nare situatie brengen.

stel je hebt een crypto hardware wallet besteld op Bol.com dan ben je ineens een potentiële kandidaat voor een wrench attack

https://www.trmlabs.com/resources/blog/the-rise-of-wrench-attacks-and-crypto-related-violent-crime

Wellicht iets in de fetisj hoek en iemand wil je chanteren. Zo zijn er tal van voorbeelden. Dus de mix van adres gegevens icm wat je besteld hebt vind ik zorgwekkend
Of als je een wapenkluis hebt besteld...
Tegenwoordig nog makkelijker om de gegevens te enrichen, bvb via Linkedin, of andere gestolen datasets. Zo kan je gerichter aanvallen. Iemand met een fetisj en een chanteerbare functie bvb (justitie, politie, ...).
In mijn geval waren het de titels van wat reisgidsen en CD's die ik besteld heb. Niet zo bijzonder. Maar ik zal er vast wel eens wat besteld hebben waarvan ik liever niet heb dat de buren, of familie, ervan weten. Je zal maar in een streng gelovig dorp wonen, of uit een hele conservatieve familie, en af en toe wat porno op BOL bestellen. Niet zo leuk.
Vroeger kon je kiezen om geen vermelding in het telefoonboek te laten doen en dat gebeurde ook niet. Een telefoonnummer is tot daaraan toe, maar NAW-gegevens en bestelgeschiedenis is toch wel zorgelijk.
Niet om e.e.a. goed te praten, maar nog niet zo heel lang geleden stond je met al die info gewoon in de telefoongids.

[Reactie gewijzigd door Polderviking op 6 augustus 2026 13:27]

Is dit inmiddels nog zeer zorgelijk te noemen? Ik denk het niet.

Die gegevens zijn inmiddels voor heel wat mensen al zo vaak uitgelekt, who gives a shit. Het feit dat hier vrijwel geen straf op staat, zorgt ervoor dat dit nu alweer gebeurt en dat het zal blijven gebeuren. Security is een afterthought die niet erg belangrijk wordt geacht.

Inmiddels is het denk ik te laat om dit ooit nog een belangrijk iets te maken. Part of life.
I give a shit. Ondanks dat ik vele jaren ('90) op het internet begeef is weinig informatie over mij te vinden. Helaas door odido en nu deze situatie zijn er diverse gegevens te vinden. Ik kan het ook merken aan de spam die binnenkomt. Vele jaren kreeg ik hooguit 3 a 4 spamberichten per maand op alle gebruikte mailadressen(4 accounts) bij elkaar. Sinds odido komen er dagelijks meerdere berichten per mailadres binnen. Mijn spamaccount is nu het account met de minste spam. Dat terwijl ik die laat rondslingeren op het internet.
dan zou je gewoon een postbus adres moeten nemen en alles wat je online besteld via zoiets laten lopen. een alternatief e-mail adres en alleen puur voor overheid gerelateerde dingen je echte mail/naam/adres gebruiken. Ik ben er al lang over uit dat geen/bijna geen site meer is die 100% zeker kan zeggen dat er niks lekt..
In België kan je een Pakjesautomaat gebruiken van Bpost, waar je je pakje 24/7 kan ophalen. Dan kan je zelfs een fake naam ingeven, zolang het adres maar klopt en je aan het mailadres kan (mag ook een alias zijn oid). Heeft NL niet iets gelijkaardigs?

https://www.bpost.be/nl/bbox

Werkt natuurlijk niet voor heel grote paketten zoals een tuinset bvb.
je moet alsnog je eigen adres invullen voordat je pakketservice kan gebruiken.
Daarnaast zal denk ik de waarde van de gestolen gegevens op het darknet ook steeds minder waard worden en is het daarvoor voor de criminelen in de toekomst ook steeds minder interessant.
na de Odido hack en nog een paar anderen kan ik mij niet voorstellen dat er nog veel meer van mijn persoonsgegevens gelekt kunnen worden :')
Daar staat tegenover dat er steeds meer mogelijkheden zijn om de data te gebruiken.
Daarnaast is het ook interessant om mensen door de tijd heen te volgen en te zien wat er verandert. Wie verhuist er? Wie heeft een nieuwe relatie? Wiens relatie is net stuk? Wie koopt opeens geen condooms meer? Wie geen alcohol en tampons? Wie koopt er ieder jaar een nieuwe iPhone?

In de AI zeggen we wel eens: "De enige goede data is meer data".
Hoe meer data en hoe goedkoper ik die kan krijgen hoe meer (rendabele) toepassingen ik er voor kan vinden.
Mja ben het met je eens. Als ze nu nog niet mijn adresgegevens hebben gevonden, dan zijn ze niet goed aan het zoeken. Inmiddels sta ik in een datalek of 60 met meerdere gegevens erbij. Bovendien vind ik deze info een beetje als een telefoonboek vroeger, vrij openbaar en ook geen staatsgeheim. Geheimnummers en onbekende nummers neem ik al meestal niet meer op en mn mail wordt goed beschermd. Het is vooral de vraag hoe lang het gaat duren voordat er echt identiteitsfraude wordt gepleegd met mijn gegevens en in hoeverre bedrijven zich daar tegen gaan weren.
Als ze nu nog niet mijn adresgegevens hebben gevonden, dan zijn ze niet goed aan het zoeken.
Er is niet één "ze", maar een hoop "ze'sen".

Ik zie enorme verschillen in hoeveel telefoonspam ik krijg en hoeveel de mensen om mij heen. Ik heb geen harde data, maar ik zie een sterke correlatie tussen hoe technisch en privacy-minded zijn en hoeveel spam ze krijgen. Sommige mensen het heel gewoon om verschillende spamtelefoontjes per dag te krijgen.

Omdat ik ieder bedrijf z'n eigen unieke e-mail-adres geef kan ik niet alleen zien wanneer adressen uitlekken, maar ook hoe breed ze verspreid zijn. Sommige adressen staan op de lijsten die alle spammers hebben en krijgen bergen spam, maar er zijn er genoeg die maar af en toe een mailtje krijgen. Daaruit concludeer ik dat een hoop van die boeven relatief goed op hun data passen ipv alles onmiddelijk aan iedereen door te verkopen.

Daarom vind ik het nog steeds de moeite waard om spaarzaam met persoonsgegevens om te gaan.
We hebben in Europa wetgeving en als die wordt overtreden moet dat worden aangepakt.
Dat jij bereid bent een deel van je privacy op te geven is niet relevant in dat proces.
Huh naam en adres zorgelijk?
Ik zal je wat vertellen. Ik kwam laatst een boek tegen met alle namen, adressen en telefoonnummers van iedereen uit heel Nederland. Het schijnt dat dit soort boeken in andere landen ook in omloop zijn.
Das een klassieker en een antiquiteit. Die boeken mogen vandaag zelfs niet meer geprint worden vanwege privacy richtlijnen, al zijn ze er al veel vroeger mee gestopt vanwege de opkomst van het internet.
Het boek is misschien antiek maar de data niet en is gewoon te raadplegen via verschillende websites oa telefoongids.nl en dat mag gewoon. Die richtlijnen die jij aanhaalt zijn dus richtlijnen en geen verplichtingen.
en een antiquiteit.
Mwah, 8 Jaar geleden zijn ze er pas mee gestopt hé.
Naam met adresgegevens en dan wat?, vroeger had je telefoonboeken vol met namen en adressen zie het probleem niet. Tenzij iemand natuurlijk dingen uitspookt of onetisch op een niet sjieke manier zijn huis/geld heeft"verdiend" over de ruggen van andere, vreemdgaan, dingen te verbergen hebben, dat zijn de mensen die vooraan staan en privacy kaart trekken. Maar een brave burger heeft niks te vrezen lijkt mij toch,
Naam met adresgegevens en dan wat?, vroeger had je telefoonboeken vol met namen en adressen zie het probleem niet.
Er is een reden dat we die vroeger wel hadden en nu niet meer.
Door nieuwe techniek is de wereld veranderd en daarmee ook de problemen die we hebben.
De telefoongids werd uitgegeven in de tijd het praktisch onmogelijk was om zo'n heel boekwerk structureel te doorzoeken, anders dan zoals bedoeld was (op woonplaats en naam). Andersom, op grond van een telefoonnummer een naam achterhalen, was praktisch onmogelijk.

Een computer kan het hele telefoonboek in secondes doorzoeken. Dat ging nog een tijdje goed omdat het te veel werk was om dat hele boek met de hand in de computer in te voeren, maar toen OCR een keer doorbrak veranderde dat ook.

Tegenwoordig hebben we wetten die wel rekening houden met de mogelijkheden van moderne computers en daarom is het oude telefoonboek nu niet meer mogelijk.
In de jaren 90 kon je ook gewoon scans maken , en naar text omzetten. Sterker nog in 80s al.

[Reactie gewijzigd door FireSheep op 6 augustus 2026 21:11]

In de jaren 90 kon je ook gewoon scans maken , en naar text omzetten. Sterker nog in 80s al.
Het kon zeker, maar ik zou het niet 'gewoon' willen noemen. OCR stond nog in de kinderschoenen en vereiste veel handmatige correctie. Los van wat technisch mogelijk was hadden de meeste mensen geen scanner in huis (als ze als een computer hadden) en hadden ze ook niet de vaardigheid om een database te maken om de data in op te slaan.

Bedrijven konden dat vast wel maar ik neem aan dat de juristen van de PTT daar een stokje voor staken. IIRC heeft een bedrijf een keer de hele telefoongids in China laten overtikken en op nummer doorzoekbaar gemaakt. (Ik weet niet meer of dat was omdat OCR niet goed genoeg was of om bv juridische redenen.)
Er is een reden dat we die vroeger wel hadden en nu niet meer.
De reden dat ze gestopt zijn met dat boek is toch vooral dat mensen online zoeken en/of gewoon elkaars nummer in hun smartphone hebben staan en dus niet meer in zo'n boek gaan kijken.

Verder is de vaste telefoonlijn al tijden op zijn retour.

Ik weet echter niet beter dan dat je (online) telefoongids vermelding met vaste lijnen nog steeds opt-out is.

[Reactie gewijzigd door Polderviking op 7 augustus 2026 14:52]

Volgens mij wordt dit bedrijf door meer dan alleen bol en bijenkorf gebruikt, hoe zit het daarmee?
ING meldt ook al via een bericht in hun app dat er een cyberincident heeft plaatsgevonden bij een logistieke partner die voor ING punten een deel van de opslag en bezorging van fysieke producten verzorgt. Er zullen nog wel meer bedrijven volgen, want CEVA is een redelijk grote speler in e-Commerce land.

[Reactie gewijzigd door DennisBoom op 6 augustus 2026 14:16]

Ik ken ze als logistieke partij van modems die je bij bijvoorbeeld KPN internet krijgt en terugstuurt.
Ex-inside info:
  • BOL
  • ING
  • Ace&Tate
  • Ajax (webshop)
  • Mogelijk Zalando
  • Mogelijk About You
  • Mogelijk Bestseller
Ace & Tate heeft inmiddels ook een email verstuurd. Relatief standaard mail
oddido, ing, bol ,bijenkorf ,bevolkings onderzoek, en misschien vergeet ik er nog een paar.

is er een site waarbij ik mijn naw gegevens gewoon openbaar kan zetten dan heeft stelen ook geen zin meer.......
Het is niet bol. Het is ceva. Het bol landschap, eigen distributiecentrum etc is niet geraakt. Alleen producten en verzendingen die in dat specifieke warehouse in Waalwijk liggen/zijn gegaan.
Het netwerk en het WMS zijn in handen van ceva en heeft geen banden met bol. Het is zelfs nog het oude systeem van docdata volgens mij.

[Reactie gewijzigd door DeBers op 6 augustus 2026 14:08]

Dank je wel, dat had ik idd gelezen dat het ceva is, het was meer sarcastisch bedoeld.
Ik had van bol een mail gekregen dat mijn gegevens gelekt waren met info over de bestelling die ik had gedaan. Die bestelling is echter in juni gedaan dus toch knap lastig als het lek in mei was.

Was het lek dan niet later pas of klopt het niet wat bol aan het communiceren is?
Voor mij geldt hetzelfde: bestelling in juli en toch gewaarschuwd per mail door bol. Blijkbaar toch lastig om echte impact te bepalen en duidelijke communicatie te doen…

Misschien dat de inbraak wel in mei is gedaan, al die tijd is misbruikt en pas onlangs ontdekt?

Update: Volgens info op deze link is de hack op 1 augustus geweest en op 3 augustus ontdekt, waarna bol op 5 augustus klanten heeft geïnformeerd. Die tijdslijn kan dan weer wel met deze bestellingen…

[Reactie gewijzigd door LaborGardens op 6 augustus 2026 12:52]

Ik kreeg gisteren de mail ook met specifieke gegevens over een bestelling begin juli. Rond de periode van april/mei/juni heb ik niets gekocht bij bol.com.

Verder kab ik ook op de support pagina van bol niets vinden dat het lek in mei gebeurt zou zijn.

Lijkt me dus een fout in het artikel, geen idee waar tweakers dit haalt.
Dat had ik ook, mijn bestelling van 19 juli stond er tussen. Maar eerdere bestellingen van mei/juni niet.
Of bij de hack in Mei was de Bijenkorf data buit gemaakt?
Om dit soort redenen vul ik ook nooit een volledige voor- en achternaam bij online webshops. Ook gebruik ik altijd een geanonimiseerd mail alias. Er is meer gelekt, maar dat maakt phising en identificatie lastiger.
Ik vraag me af of dat dan weer wettelijk toegestaan is en of je dan bij garantiegevallen geen problemen krijgt. Dan klopt de naam niet namelijk.

Aliases qua email zijn inderdaad de perfecte oplossing hiervoor. Alias gewoon sluiten en op naar de volgende.

[Reactie gewijzigd door Powerblast op 6 augustus 2026 13:15]

Ik vraag me af of dat dan weer wettelijk toegestaan is en of je dan bij garantiegevallen geen problemen krijgt. Dan klopt de naam niet namelijk.
Los van het wettelijke aspect. Als jij een garantieaanvraag doet dan stuur je over het algemeen het product toch op naar de verkoper? Ik wil zeggen ik denk niet dat ze gaan controleren of de naam ook daadwerkelijk klopt.
Klopt, weet het ook niet zeker in dat geval. Heb nog maar zeer weinig garantie gevalletjes gehad. Maar als je daar staat en ze vragen identificatie en je noemt Piet maar op factuur staat Joske weet ik dus niet of je het nieuwe artikel gaat meekrijgen ;).

Remote zal het misschien makkelijker gaan, geen idee eigenlijk.
Remote zal het misschien makkelijker gaan, geen idee eigenlijk.
N=1, maar ik kan uit persoonlijke ervaring vertellen dat het geen probleem is. ;)
Dat probeer ik ook, maar uiteindelijk wil je toch je pakketje afgeleverd krijgen, dus je adres is dan wel noodzakelijk en dan is vaak 1 plus 1 weer 2 met al die datasets.

Wat ik dan weer raar vind is dat je vaak ook je adres moet invullen als het bij een pakket automaat wordt afgeleverd (als die optie er al is).
Het lukt dan wel om dat met een fake naam en adres bij pakket bij automaat te krijgen. Betalen met eenmalige creditcard is dan ook een handige.
Ik voel me dan we soms een halve crimineel, maar als bescherming tegen datalekken ga ik ver.

Bij zo'n afhaalpunt, heb je dan weer je ID nodig en die wordt soms op naam gechecked en daar gaat het dan niet altijd goed en weet niet wat ze nu precies opslaan als ze je ID scannen.
Is er ergens te vinden wat er met de nogal vage term "recent" bedoeld wordt? Is dat een dag, een week, een maand, een jaar?
RTL zegt dat het datalek deze keer dateert van mei 2026.
De kernvraag is dan: Hoe lang bewaart ceva gegevens. Een lek uit mei dat pas op 1 augustus "bekend" wordt bevat dan misschien wel minimaal 3 maanden + de bewaartermijn van oudere gegevens......
Akkoord, maar toch ook een tweede kernvraag: waarom komt dat nieuws pas gisteren buiten als blijkt dat het datalek zou dateren van begin mei? Doofpot? Wat werd gedaan door Ceva en Bol/Bijenkorf/ING/etc tussen begin mei en gisteren? Werd de toezichthouder door Ceva tijdig binnen de 72 uur na kennisname van de hack ingelicht? Zie ook hun datalek van eind 2025.

[Reactie gewijzigd door g86 op 6 augustus 2026 15:25]

Dat klopt niet. Hij is van na 18-7. Ik heb een mail van Bol gekregen en daar werd de lek in bekend gemaakt en ook welk product betrokken was en dat was iets dat ik op 18-7 had besteld.
Daarom zet ik er ook de bron bij ... info staat op RTL.nl.
Maar zijn er dan meerdere hacks geweest? Ceva is eind 2025 ook al eens gepakt geweest. 8)7
Met de huidige supply-chain aanvallen zie je dat partijen als Bol van hun leveranciers / medewerkende partijen moet eisen dat ze aan bepaalde beveiligingseisen moet voldoen.

Dan heb ik het niet over puur technische maatregelen, maar het hele bedrijfsproces, tot aan VOGs voor medewerkers die met klant data in aanraking komen. Ik heb wel gezien dat grotere bedrijven soms hun personeel de kleinere partijen hielpen om hun shit op orde te krijgen.

Ik ben zelf heel benieuwd hoe Bol.com dit verhaal met deze partij geregeld heeft en of ze puur contractueel dingen heeft geregeld, of dat ze ook security audits hebben afgedwongen (door een gerenommeerde partij), enzovoort.
Financiele instellingen doen dit al routinematig met hun partners, SOC2 en ISO27001 zijn vrij standaard certificeringen.

Als onderdeel van hun eigen "ISMS" vragen ze dan weer de audits op van de leverancier.

[Reactie gewijzigd door Keypunchie op 6 augustus 2026 15:05]

Hoewel het bedrijf waar ik werk geen financiële instelling is (maar een B2B dienstverlener in de finance wereld, dat wel), hebben wij dus (ook voor onze SOC type II certificering) hier inderdaad ook mee te maken. :) Al is 27K1 nog wel toekomst muziek voor ons, geloof ik :)

[Reactie gewijzigd door CH4OS op 6 augustus 2026 13:04]

Als je netjes je SOC2 hebt ingericht, dan is ISO27001 relatief simpel. Blijft papierwerk, maar je hebt je controls dan eigenlijk wel op orde.
Omdat ik nu op vakantie ben had ik dit nieuws gemist en dacht in eerste instantie dat de mail van Bol een standaard spam mailtje was, totdat ik zag dat een recent daar besteld horloge onderaan die mail stond.

Toch wel zorgelijk, hoe vaak dit tegenwoordig gebeurt, al zijn "wij" wel scherp op verdachte berichten die hier op volgen.

Helaas geldt dat niet voor iedereen.

Het verbaast mij wel hoe snel deze gegevens al te koop zijn gezet.
Je weet in ieder geval hoe laat het is.

Om te kunnen reageren moet je ingelogd zijn