Topgeschenken verplicht wachtwoordreset, OCI-bestellen blijft uit

Topgeschenken maakt alle bestaande klantwachtwoorden ongeldig en laat OCI-bestellingen nog niet toe, meldt het bedrijf in update 6 van 11 november; betalen met Riverty of cadeaukaarten kan ook nog niet.

De normale webshop is weer bereikbaar, maar de zakelijke bestelroute via OCI blijft dicht. Wie een bestelling alleen vanuit het eigen inkoopsysteem plaatst, kan die daar niet afronden. Ook betaalopties en het verzilveren van eigen cadeaukaarten zijn nog niet volledig hersteld. De impact verschilt per bestelroute, ook als de publieke webshop een bestelknop toont.

Op 9 november bevestigde Topgeschenken dat onbevoegden klant- en ontvangergegevens hadden gekopieerd, terwijl oorzaak en omvang nog werden onderzocht.

Alle klantaccounts vragen om een nieuw wachtwoord

Topgeschenken zegt dat alle bestaande wachtwoorden van klantaccounts uit voorzorg ongeldig zijn gemaakt. Wie opnieuw wil inloggen op Topbloemen.nl, Topgeschenken.nl, Toptaarten.nl of Topbloemen.be moet eerst een nieuw wachtwoord instellen. Dat geldt ook nu de websites sinds 9 november om 17:25 weer bestellingen aannemen. Een herstelde website betekent dus niet dat een bestaand account direct weer werkt.

Topgeschenken stelde het incident op 5 november vast. Het bedrijf zegt de ongeautoriseerde toegang direct te hebben beëindigd, delen van de systemen offline te hebben gehaald en beveiligingsmaatregelen te hebben toegevoegd. De verklaring zegt niet dat accountwachtwoorden zijn buitgemaakt. Ze noemt het ongeldig maken nadrukkelijk een voorzorgsmaatregel.

Fair Choice werkt, eigen kaarten niet

De update onderscheidt verschillende soorten cadeaukaarten. Fair Choice-cadeaubonnen kunnen weer worden besteld en verzilverd via de gebruikelijke kanalen. Betalen met cadeaukaarten op de webshops blijft uitgeschakeld. Ook het verzilveren van de eigen Topbloemen-, Topgeschenken- en Toptaarten-cadeaukaarten is nog niet mogelijk.

Voor organisaties die bloemen, taarten of geschenken als relatiegeschenk inkopen, herstelt Fair Choice één concrete route. De update geeft geen herstelmoment voor de eigen kaarten, betaalmethoden of OCI. Tweakers rapporteerde die avond dat OCI-orders en cadeaukaartbetalingen nog uitstaan naast Riverty en het verzilveren van eigen kaarten.

OCI houdt de koppeling met inkoop tegen

OCI staat voor Open Catalog Interface. SAP beschrijft het als een koppeling die gegevens uit een externe catalogus rechtstreeks naar inkoopdocumenten in een ERP-systeem overzet. Voor een zakelijke inkoper is dat de route om artikelen uit de leverancierscatalogus in de eigen bestelomgeving te gebruiken. Als die koppeling niet beschikbaar is, kan de publieke webshop wel open zijn terwijl de gebruikelijke inkoopstroom niet kan worden afgerond.

Topgeschenken zegt betrokken zakelijke klanten rechtstreeks over de OCI-beperking te informeren. De update noemt niet welke inkoopsystemen zijn geraakt, waarom juist de OCI-functie nog uitstaat of welke tijdelijke route beschikbaar is. Voor een bedrijf dat via een goedgekeurde catalogus of inkoopsysteem bestelt, is de gewone webshop dus niet automatisch een geldige uitwijkroute. Dat hangt af van de eigen inkoopprocedure.

De webshopstatus is nog geen herstelstatus

De klantenservice is bereikbaar via e-mail, WhatsApp en chat, maar telefonisch contact is nog niet mogelijk en wachttijden kunnen oplopen. Voor een zakelijke bestelling zijn catalogus, betaalroute en klantenservice afzonderlijke schakels. Herstel van de website zegt niet welke van die routes al klaar is.

Bij Ahold Delhaize keerden reguliere schapprijzen en meerdere distributiecentra terug terwijl online bestellen en bezorgen nog stil lagen. In de officiële tijdlijn van Albert Heijn konden klanten met een Bezorgbundel en zakelijke klanten op 21 oktober weer online bestellen, waarna vanaf 23 oktober alle klanten dat konden. Die parallel zegt niets over de oorzaak of duur van het herstel bij Topgeschenken. Ze laat wel zien waarom een algemene melding dat systemen weer online zijn weinig zegt over elke afzonderlijke klant- of inkooproute.

Een reset bevestigt geen wachtwoorddiefstal

De eerdere melding van Topgeschenken noemt namen, adressen, e-mailadressen, geboortedata, geslacht en telefoonnummers die klanten eventueel hadden gedeeld. Financiële gegevens zoals IBAN- en creditcardgegevens zouden niet zijn geraakt en worden volgens het bedrijf niet opgeslagen. Wachtwoorden staan niet in die opsomming. De nieuwe reset bewijst daarom niet dat wachtwoorden zijn gestolen, maar de gepubliceerde informatie bevestigt ook niet hoe accountgegevens technisch zijn verwerkt of of wachtwoordhashes binnen bereik waren.

Topgeschenken zegt dat het onderzoek naar aard, oorzaak en impact nog loopt. Het aantal betrokken personen en organisaties is nog niet vastgesteld. Ook noemt de update geen herstelmoment voor OCI, Riverty-betalingen of de eigen cadeaukaarten. Voor zakelijke bestellers blijft de feitelijke beschikbaarheid per route bepalend: de website kan orders aannemen terwijl de koppeling met het inkoopsysteem nog niet werkt.