Topgeschenken bevestigt dat klantgegevens zijn gekopieerd

Topgeschenken bevestigt dat onbevoegden klant- en ontvangergegevens hebben gekopieerd en geëxporteerd; het incident werd op 5 november ontdekt, maar het aantal betrokken personen blijft onbekend.

Bij een zakelijke cadeaubestelling kan ook de ontvanger geraakt zijn: Topgeschenken noemt naast klanten ook eventuele ontvangers in de gekopieerde gegevens. Bestaande bestellingen worden volgens planning bezorgd, maar plaatsen, wijzigen of annuleren blijft beperkt.

De kopie is bevestigd, het bereik niet

Topgeschenken zegt het incident op 5 november in zijn IT-omgeving te hebben ontdekt. Het bedrijf beëindigde de ongeautoriseerde toegang, haalde uit voorzorg delen van de systemen offline en voerde aanvullende beveiligingsmaatregelen door. Externe cybersecurityspecialisten ondersteunen het onderzoek en het herstel. De oorzaak en de volledige impact worden nog onderzocht.

Op 9 november meldde het bedrijf dat onbevoegden toegang hadden gehad tot systemen met bedrijfs- en persoonsgegevens en dat een deel van de gegevens was gekopieerd en geëxporteerd. Topgeschenken zegt het incident bij de Autoriteit Persoonsgegevens te hebben gemeld en aangifte bij de politie te zullen doen. Security.nl identificeert Topgeschenken als het bedrijf achter Topbloemen.nl, Toptaarten.nl en Topgeschenken.nl. Geen van beide publicaties noemt hoe de aanvallers binnenkwamen of welke specifieke systemen de gekopieerde bestanden bevatten.

Ook ontvangers kunnen geraakt zijn

De gekopieerde gegevens kunnen bestaan uit naam, adres, e-mailadres, geboortedatum, geslacht en telefoonnummers, voor zover die met Topgeschenken zijn gedeeld. Het gaat om gegevens van klanten en eventuele ontvangers. Financiële gegevens zoals IBAN-nummers en creditcardgegevens noemt het bedrijf uitdrukkelijk niet als getroffen. Topgeschenken zegt die gegevens niet op te slaan.

De lijst beschrijft gegevenscategorieën in de getroffen systemen, niet een compleet profiel voor iedere betrokkene. Het bedrijf heeft nog niet vastgesteld welke personen, klanten en organisaties precies zijn geraakt. Ook noemt de verklaring geen bestelhistorie, productnamen of ordernummers. Daardoor is niet bevestigd of de gekopieerde contactgegevens aan een specifieke bestelling kunnen worden gekoppeld.

Die grens is relevant bij zakelijke cadeaus. De inkoper kan de bestelling plaatsen en het adres van een medewerker of klant opgeven voor levering. Die ontvanger hoeft de bestelling niet zelf te hebben geplaatst om in de genoemde gegevenscategorie te vallen.

Contactgegevens maken berichten geloofwaardig

Een naam, adres en telefoonnummer geven een onverwacht bericht meer context dan een generieke phishingpoging. Topgeschenken waarschuwt zelf dat betrokkenen e-mails, sms’jes, WhatsApp-berichten of telefoontjes kunnen krijgen die van een vertrouwde organisatie lijken te komen. Het bedrijf adviseert links en bijlagen in verdachte berichten niet te openen en verzoeken om wachtwoorden of betaalinformatie via een vertrouwd kanaal te controleren.

Bij De Bijenkorf kregen onbevoegden via logistiek partner CEVA toegang tot namen, adressen en bestelgegevens, terwijl het aantal getroffen klanten onbekend bleef. Dat was een ander incident. Het maakt wel zichtbaar waarom het onderscheid tussen contactgegevens en bestelgeschiedenis telt: De Bijenkorf bevestigde ook toegang tot onlinebestellingen, terwijl Topgeschenken zulke gegevens in de huidige melding niet noemt.

De TUI-melding laat een verwante onzekerheid zien. Een reiziger ontving via WhatsApp een bericht met zijn naam, mobiele nummer, hotel en reisdata, maar TUI kon niet vaststellen of die gegevens uit het bevestigde datalek kwamen. Dat is geen aanwijzing voor een verband met Topgeschenken. Het is wel een voorbeeld van waarom de aanwezigheid van echte persoonsgegevens in een phishingbericht niet automatisch bewijst welke dataset is misbruikt.

Omvang en vervolgstappen blijven open

De klantenservice is per e-mail en WhatsApp bereikbaar, maar medewerkers hebben beperkt toegang tot informatie. Topgeschenken zegt daarom dat vragen niet altijd direct kunnen worden beantwoord. Dat kan de afhandeling vertragen voor zakelijke klanten die willen nagaan of hun gegevens zijn geraakt.

De AP zegt dat een organisatie die bepaalt waarom en hoe persoonsgegevens worden verwerkt een meldplichtig datalek binnen 72 uur na kennisname moet melden. Bij een complexe inbreuk kan de eerste melding voorlopig zijn en later worden aangevuld. Bij een lek bij een verwerker blijft die verantwoordelijke organisatie wettelijk verantwoordelijk, tenzij schriftelijk is vastgelegd dat de verwerker namens haar meldt. Dat maakt niet automatisch iedere zakelijke klant van Topgeschenken zelf meldplichtig: de rol van die organisatie in de verwerking en de gemaakte afspraken bepalen wie meldt. De AP maakt haar meldingsregister niet openbaar, dus de melding die Topgeschenken zegt te hebben gedaan geeft op zichzelf geen onafhankelijke bevestiging van de omvang.

De melding is concreter dan op 5 november: Topgeschenken bevestigt dat gegevens zijn gekopieerd en noemt de betrokken categorieën. De omvang per persoon en de koppeling met bestellingen zijn nog niet bekend. Het lopende onderzoek moet uitwijzen hoeveel ontvangers naast de bestellers bericht krijgen en of ook ordergegevens zijn gekopieerd.