Datalek bij Vrienden van Amstel raakt 128.000 e-mailadressen

Het datalek bij bezoekersonderzoek voor De Vrienden van Amstel Live en Amstel Live in de Kroeg raakt 128.000 e-mailadressen, meldt de NOS.

Voor organisaties die klantonderzoek laten uitvoeren door externe partijen, ligt de directe inzet bij de relatie met deelnemers: een hostingpartij staat verderop in de leveranciersketen, maar bezoekers wenden zich tot het merk dat hen uitnodigde. Heineken zegt de betrokkenen gisteravond per e-mail te hebben gewaarschuwd, terwijl het onderzoek naar de digitale toegang nog loopt.

Twee evenementen, verschillende persoonsgegevens

De 128.000 e-mailadressen horen bij mensen die zijn benaderd voor bezoekersonderzoek. De Telegraaf schrijft dat de gegevens per evenement verschillen en dat bank-, betaal- en creditcardgegevens buiten het lek vallen.

Voor De Vrienden van Amstel Live noemt de krant naast e-mailadressen ook namen, telefoonnummers, postcodes, geslacht en geboortedata. Voor Amstel Live in de Kroeg gaat het volgens het verslag om e-mailadressen en voornamen. Die uitsplitsing komt uit een gesprek met een woordvoerder. De NOS beschrijft de betrokken gegevens algemener en maakt hetzelfde onderscheid tussen de evenementen niet.

Het gemelde totaal is een aantal e-mailadressen, geen telling van unieke bezoekers. De berichtgeving vermeldt niet hoeveel adressen bij elk evenement horen of welke gegevensvelden per persoon zijn opgeslagen. De lijst beschrijft welke gegevenscategorieën in de bestanden voorkomen, maar niet welke combinatie aan ieder adres is gekoppeld.

Cloudbear hostte voor onderzoeksbureau Abbi

Het incident ontstond bij Cloudbear, een hostingbedrijf dat diensten leverde aan onderzoeksbureau Abbi Insights. Abbi voerde het bezoekersonderzoek uit voor de twee evenementen. Heineken, het moederbedrijf van Amstel, zegt samen met Abbi en Cloudbear te onderzoeken wat er is gebeurd en welke gegevens zijn geraakt.

Die keten verklaart waarom techniek en klantcommunicatie tegelijk spelen. De waarschuwing komt van het merk dat bezoekers kennen, terwijl de technische oorzaak bij een hostingleverancier wordt onderzocht. De berichtgeving noemt geen datum waarop het incident begon, geen oorzaak en geen details over de systemen die zijn geraakt.

De casus past bij eerdere Nederlandse incidenten waarbij een leverancier persoonsgegevens beheerde. Op 9 november bevestigde Topgeschenken dat onbevoegden klant- en ontvangergegevens hadden gekopieerd, terwijl het aantal betrokken personen nog onbekend was. In augustus meldde De Bijenkorf dat onbevoegden via logistiek partner CEVA mogelijk namen, contactgegevens en webshopbestellingen konden inzien. Dat zijn andere incidenten, met andere leveranciers en zonder gemelde onderlinge relatie.

Topgeschenken bevestigde dat gegevens waren gekopieerd; bij Vrienden van Amstel is nog onduidelijk of gegevens zijn ingezien of gekopieerd. Bij De Bijenkorf werden ook bestelgegevens genoemd, een categorie die in de berichtgeving over dit lek niet voorkomt. Het NCSC adviseert organisaties hun leveranciers en afhankelijkheden vooraf in kaart te brengen en incidenten bij leveranciers op hun mogelijke impact te beoordelen.

Contactgegevens maken phishing geloofwaardiger

De genoemde velden kunnen aanknopingspunten bieden voor berichten over een evenement of bezoekersonderzoek. Als naam, telefoonnummer en postcode in dezelfde deelnemersregistratie zijn gekoppeld, kan zo’n bericht persoonlijker lijken dan een algemene phishingmail. Dat is een mogelijk risico, geen bevestiging dat zulke berichten al zijn verstuurd.

Heineken waarschuwde deelnemers voor verdachte e-mails, sms- en WhatsApp-berichten en telefoontjes. De woordvoerder adviseerde wachtwoorden, verificatiecodes en andere gevoelige informatie niet zomaar te delen. De Telegraaf meldt dat betaalgegevens niet betrokken zijn. Dat beperkt het directe risico op misbruik van betaalinformatie, maar zegt niets over het gebruik van contactgegevens voor misleidende berichten.

Inzage en misbruik zijn nog niet vastgesteld

De centrale open vraag is wat er met de bestanden is gebeurd. Volgens de NOS is nog onduidelijk in hoeverre gegevens zijn ingezien, gekopieerd of misbruikt. De drie betrokken organisaties onderzoeken dat gezamenlijk. De berichtgeving bevat nog geen bevindingen over de toegangsmethode, het aantal geraakte personen of concrete phishingpogingen die met de gegevens samenhangen.

Heineken zegt een melding te hebben gedaan bij de Autoriteit Persoonsgegevens. Volgens de AP is de verwerkingsverantwoordelijke de organisatie die doel en middelen van de verwerking bepaalt. Die moet een meldplichtig datalek binnen 72 uur na kennisname melden, ook als de eerste melding voorlopig is en later wordt aangevuld. Een leverancier mag alleen namens die organisatie melden als dat schriftelijk is afgesproken; de wettelijke verantwoordelijkheid blijft bij de verwerkingsverantwoordelijke. De berichten noemen niet welke partij doel en middelen van het bezoekersonderzoek bepaalde, dus de formele meldrollen in deze keten zijn niet vast te stellen.

De 128.000 adressen geven de omvang van het gemelde bestand aan. Ze vertellen nog niet hoeveel afzonderlijke bezoekers zijn geraakt, welke gegevens per persoon zijn gekoppeld of wie ze daadwerkelijk heeft ingezien. Het gezamenlijke onderzoek van Heineken, Abbi Insights en Cloudbear moet die grenzen vaststellen; tot die tijd is de phishingwaarschuwing de concrete reactie die voor deelnemers publiek is bevestigd.