ING waarschuwt klanten na hack bij logistieke partner, buit staat op dark web

ING waarschuwt klanten van ING Punten dat hun naam, adres, telefoonnummer en e-mailadres mogelijk zijn buitgemaakt bij een inbraak op de systemen van een externe logistieke partner, dezelfde partij die eerder deze week De Bijenkorf en bol trof. De gestolen klantgegevens uit die hack worden inmiddels te koop aangeboden op het dark web, meldt RTL Nieuws.

Daarmee verschuift dit incident van een meldplicht naar een blijvend risico. Zolang een gestolen bestand alleen bij de inbrekers ligt, is de schade theoretisch. Zodra het verhandeld wordt, krijgt iedereen in dat bestand vroeg of laat een phishingmail die klopt tot op het ordernummer en de bezorgdatum. Voor een bedrijf dat fulfilment, verzending of facturatie uitbesteedt is dat de kern: je klantenbestand kan op een markt belanden zonder dat er ooit iemand in je eigen systemen heeft ingebroken.

Wat ING wel en niet meldt

De bank bakent de getroffen groep scherp af. Het gaat om klanten die met hun punten een fysiek product lieten thuisbezorgen, zoals een koffer of een barbecue. Wie alleen digitale beloningen inwisselde, denk aan vouchers, cadeaukaarten, kortingscodes en e-tickets, valt buiten het lek. Naast de contactgegevens kunnen ook bestelgegevens zijn ingezien.

Bankrekeningnummers, betaalgegevens, spaargeld en inloggegevens voor het bankieren zijn niet geraakt, en de eigen systemen van de bank evenmin. ING heeft melding gedaan bij de Autoriteit Persoonsgegevens en onderzoekt nog om hoeveel klanten het precies gaat.

ING noemt de partner zelf niet bij naam. De Nederlandse pers wijst op CEVA Logistics, dat vanuit een distributiecentrum in Waalwijk ook de orderverwerking voor bol en De Bijenkorf doet.

Wat er in de verhandelde dataset zit

De verzameling die nu wordt aangeboden gaat verder dan namen en contactgegevens. Er zitten ook bestelgegevens, track-and-tracegegevens en de gebruikte betaalmethode in, iDEAL of Wero, maar geen bankrekeningnummers en geen wachtwoorden.

Voor zakelijke klanten kunnen daarnaast btw-nummers zijn gelekt. Dat detail weegt zwaarder dan het lijkt: oudere btw-nummers van eenmanszaken bevatten het burgerservicenummer van de ondernemer, wat identiteitsfraude een stuk eenvoudiger maakt. Een zzp'er die vier jaar geleden zakelijk iets bestelde, kan zo in een verhandeld bestand staan met een nummer dat hij nooit had willen delen.

Drie maanden tussen inbraak en waarschuwing

De aanvallers zeggen zelf dat ze de database begin mei bij CEVA hebben weggehaald. Die claim is niet onafhankelijk bevestigd, maar hij past bij het tijdpad dat de opdrachtgevers zelf schetsen. Bol schrijft dat het op 1 augustus door de partner werd geïnformeerd, meldde het lek op 3 augustus bij de toezichthouder en mailde getroffen klanten op 5 augustus. ING kwam op 6 augustus naar buiten.

Die vertraging zit niet bij de opdrachtgevers. Zij konden pas melden toen de leverancier hen inlichtte, en de wettelijke termijn van 72 uur begint op dat moment. Precies daar zit het gat. De Bijenkorf en bol moesten de melding bij de Autoriteit Persoonsgegevens doen terwijl de inbraak bij hun leverancier zat, en hoe snel dat kon hing volledig af van een partij buiten hun eigen beveiliging.

Je AVG-rol verandert niet als je uitbesteedt

Onder de AVG blijf je verwerkingsverantwoordelijke voor klantgegevens die een leverancier voor je verwerkt. De inbraak mag bij hem zitten, de melding, de klantcommunicatie en de aansprakelijkheid liggen bij jou. Drie dingen zijn daarmee concreet te regelen:

• Breng in kaart wie welke klantdata ziet. Niet alleen je hostingpartij en je softwareleverancier, maar ook je fulfilmentpartner, je verzender, je printbedrijf en je incassobureau. En vraag door: welke partij schakelt jouw leverancier zelf in.
• Zet een meldtermijn in de verwerkersovereenkomst. Leg vast binnen hoeveel uur de leverancier jou een incident meldt, en wat hij dan minimaal aanlevert. Zonder die termijn hoor je het pas als hij eruit is.
• Schrijf de klantmail voordat je hem nodig hebt. Welke gegevens, welke periode, wat er niet gelekt is, en wat de klant nu moet checken. Onder tijdsdruk een tekst opstellen kost dagen die je meldtermijn niet heeft.

Dat leveranciersrisico stopt niet bij partijen met IT in de naam. Toen de webshop van Lidl klantgegevens lekte na een hack bij een IT-leverancier ging het om dezelfde constructie, en je accountant beheert dezelfde klantdata als je IT-leverancier zonder ooit in je risicoanalyse te staan.

Waar dit heen wijst

Een warenhuis, een grote webwinkel en een bank waarschuwen binnen twee dagen dezelfde soort klanten, om dezelfde reden, zonder dat een van hun eigen systemen is geraakt. De aanvaller koos niet het bekendste merk of de grootste klantendatabase, maar het punt waar de meeste klantbestanden samenkomen: het magazijn dat voor iedereen tegelijk verpakt en verstuurt.

Dat maakt dit meer dan een retailincident. Hoe verder de logistiek van webwinkels en banken naar dezelfde handvol dienstverleners trekt, hoe meer de beveiliging van een keten gelijk wordt aan de beveiliging van haar zwakste schakel. Zolang dat punt buiten je eigen risicoanalyse valt, bepaalt je leverancier hoe goed jouw beveiliging is.