Door een datalek bij CEVA Logistics zijn mogelijk gegevens van klanten van bol, de Bijenkorf en ING buitgemaakt. Wat is dit voor bedrijf?

Opnieuw is er een datalek waarbij vermoedelijk een grote berg persoonsgegevens is buitgemaakt. Na de dataroof bij Odido eerder dit jaar zijn nu systemen van CEVA Logistics gekraakt. En hoewel die naam bij het grote publiek vrij onbekend is, is bij zo’n beetje ieder Nederlands huishouden weleens iets bezorgd vanuit een van CEVA’s vele distributiecentra.

Vooralsnog is veel onduidelijk over wat er nou precies is buitgemaakt. CEVA is een grote logistieke dienstverlener die door meerdere winkeliers wordt ingehuurd voor het verzamelen, inpakken en verzenden van bestelde producten. Daarvoor heeft het meer dan tien grote distributiecentra in Nederland. CEVA reageert zelf niet op vragen van NRC.

De Bijenkorf liet woensdag als eerste weten aan zijn klanten dat een logistieke partner is getroffen door een „beveiligingsincident”. Later op de avond liet ook bol, de grootste webshop van Nederland, weten hierdoor te zijn getroffen. En donderdag maakten ook de webshop van voetbalclub Ajax en ING melding van een „cyberincident bij een logistiek partner”. Daarbij zijn mogelijk gegevens buitgemaakt van klanten die ooit een fysiek product hebben gekocht bij de ING Puntenwinkel, een webshop waar bankklanten met korting bijvoorbeeld pannensets of rolkoffers kunnen kopen. ING benadrukt dat dit losstaat van de banksystemen. Ook bol, Ajax en de Bijenkorf zeggen dat hun eigen IT hierdoor niet is geraakt.

1Wat is er precies gehackt?

Volgens bol gaat het om twee systemen van CEVA. Bol werkt op meerdere locaties samen met die dienstverlener, maar de getroffen systemen worden volgens bol maar in één van zijn vijf distributiecentra gebruikt. In dat centrum, aan de Veerweg in Waalwijk, liggen alle werkzaamheden momenteel „uit voorzorg” stil. Dat betekent dat er geen bestellingen kunnen worden verwerkt en dat leveranciers en verkooppartners er ook geen nieuwe voorraad naartoe kunnen brengen.

De webwinkel wil niet zeggen wat voor systemen het zijn. Wel zegt bol dat door de hack „gegevens die nodig zijn voor de verwerking en bezorging” mogelijk zijn buitgemaakt. Het gaat dan om naam- en adresgegevens, contactgegevens, informatie over de bestelde producten en tracking-links.

Bronnen van vakblad Logistiek zeggen dat acht locaties van CEVA in verschillende Europese landen zijn getroffen. Wereldwijd heeft het bedrijf meer dan 1.700 distributiecentra.

RTL Nieuws meldde donderdag dat criminelen inmiddels buitgemaakte informatie online te koop hebben gezet. Floris de Koning van cyberbeveiligingsbedrijf Responders.NOW ziet daar vooral een „pressiemiddel” in waarmee de hackers CEVA tot het betalen van losgeld willen dwingen.

Ransomwaregroep Coinbasecartel claimt achter de hack zitten en heeft een voorbeeld van de gestolen gegevens online gezet. Daarin zijn schermafbeeldingen van grotendeels onleesbaar gemaakte tabellen te zien met gegevens die suggereren dat het gaat om naam- en adresgegevens. NRC kan niet verifiëren of dit ook daadwerkelijk gegevens zijn die bij CEVA zijn buitgemaakt. De Koning: „Er is veel geblurd, ze hebben het nog niet gelekt. Dit is net genoeg om ze bij CEVA flink te laten zweten.”

2Hoeveel mensen zijn hierdoor getroffen?

Dat is op dit moment nog onduidelijk. Onbekend is ook nog hoe lang de hackers toegang hadden tot de systemen en over welke periode ze mogelijk gegevens hebben buitgemaakt. Bol heeft klanten die in een „recente periode” iets besteld hebben dat via het getroffen distributiecentrum werd verwerkt, een waarschuwingsmail gestuurd. Het bedrijf wil niet zeggen hoeveel klanten die mail hebben ontvangen.

Bij de Bijenkorf lijkt dat om een lange periode te gaan: ook mensen die jaren terug voor het laatst een bestelling hebben geplaatst, ontvingen een waarschuwingsmail. ING heeft „uit voorzorg” alle klanten gewaarschuwd die ooit een fysiek product hebben besteld.

3Wat moet ik doen als ik een waarschuwingsmail ontvangen heb?

Dan is extra waakzaamheid geboden. Net als bij de Odido-hack eerder dit jaar kunnen gegevens misbruikt worden voor fraudepogingen. Omdat er inmiddels al zo vaak datalekken zijn geweest, liggen de gegevens van veel mensen al langer op straat. Cyberexpert Dave Maasland van beveiligingsbedrijf ESET zei destijds tegen NRC dat hij daarom niet verwachtte dat er ineens een golf aan nieuwe fraudepogingen zou ontstaan. „Maar waarschijnlijk groeit het aantal slachtoffers, omdat de gegevens verser en geloofwaardiger zijn.”

Informatie over recente bestellingen vormt daar voor fraudeurs een interessante aanvulling op. Die kunnen ingezet worden voor gerichte fraudepogingen. Een nepmail over een openstaande betaling oogt een stuk realistischer als daar een product in wordt genoemd dat je daadwerkelijk pasgeleden hebt gekocht.

Lees ook

Vijf vuistregels: zo bescherm je je tegen de gevolgen van de Odido-hack

4Wat zijn de gevolgen van de hack?

Bij de Bijenkorf zijn de werkzaamheden in het distributiecentrum flink verstoord. Het warenhuis verwacht nu dat bestellingen pas over bijna twee weken weer bij klanten bezorgd kunnen worden. Een woordvoerder zegt dat het pakhuis niet volledig stilligt.

Bij bol is dat wel het geval. De webwinkel probeert bestellingen zoveel mogelijk via andere locaties te laten lopen. Aan de Veerweg liggen zowel spullen die door bol zelf worden verkocht als de producten van externe partners die hun aanbod via bol verkopen. Spullen die alleen maar op de getroffen locatie liggen, heeft bol tijdelijk uit zijn schappen gehaald.

5Wat is CEVA voor bedrijf?

CEVA Logistics is onderdeel van het Franse containervervoerbedrijf CMA CGM en geldt als een van de grootste logistieke dienstverleners ter wereld. Het heeft zowel pakhuizen waarin de spullen van meerdere kleinere bedrijven liggen als distributiecentra die het voor één winkelbedrijf uitbaat.

Zo werkt CEVA voor onder meer HEMA, Zalando en modebedrijf Bestseller, bekend van merken als Jack & Jones en Vero Moda. HEMA laat weten dat het geen slachtoffer is van de hack en dat het geen gebruik maakt van de getroffen CEVA-systemen. Zalando en Bestseller reageerden niet op vragen hierover van NRC.

De banden met bol zijn nauw. Al bij de oprichting van die webwinkel in 1999 werd de logistiek uitbesteed aan het toenmalige Docdata. Dat Waalwijkse bedrijf werd in 2015 overgenomen door de Amerikaanse branchegenoot Ingram Micro en kwam zes jaar later weer in handen van CEVA. Nog steeds is de dienstverlener flink met de grootste webwinkel van Nederland verweven. De duizenden medewerkers die ieder uur tienduizenden bol-pakketjes verwerken zijn niet in dienst van de webwinkel zelf, maar worden door CEVA aangestuurd en via uitzendbureaus ingehuurd.

Ook de Bijenkorf werkt al sinds de Docdata-periode samen met het bedrijf voor het leveren van zijn webwinkelbestellingen. Sinds 2019 kwam de logistiek voor de fysieke winkels daarbij. De Bijenkorf opende toen een nieuw, gecombineerd distributiecentrum in Tilburg dat door CEVA wordt uitgebaat.

Lees ook

In de pakkettenfabriek van bol hoeft een product maar drie keer door een mens aangeraakt te worden