Boodschappendienst Flink gehackt, klanten ontvangen afpersingsmail

Klanten van boodschappenbezorgdienst Flink krijgen na een datalek rechtstreeks afpersingsmails van de vermoedelijke daders. Een groep die zich LPG Group noemt, eist van individuele klanten zo'n 10 euro in de cryptomunt ether.

Als klanten niet betalen, dreigt de groep hun gegevens op het darkweb te verkopen. Flink liet vrijdag aan klanten weten dat onbevoegden via gestolen inloggegevens toegang kregen tot een intern systeem met klantgegevens.

Daarbij zouden namen, e-mailadressen, postadressen en telefoonnummers zijn buitgemaakt en bij een deel van de klanten mogelijk ook bezorginformatie, zoals de verdieping, naam op de deurbel en bezorginstructies. Wachtwoorden zijn volgens het bedrijf niet getroffen.

In de afpersingsmail, ingezien door NU.nl, claimt de groep de gegevens van één miljoen klanten en dertienduizend Flink-medewerkers te hebben buitgemaakt. Het is onbekend of dat klopt.

Als Flink zelf in totaal 100 ether (zo'n 238.000 euro) overmaakt, worden de gegevens weer verwijderd. De hackers roepen klanten op om Flink onder druk te zetten. "Je kunt deze mail doorsturen naar Flink om hun aandacht te trekken, kijk maar eens hoeveel ze om jou als klant geven", schrijven ze. "10 euro is een klein bedrag als het gaat om je gemoedsrust."

Ethisch hacker Wouter van Dongen kent de groep niet. Volgens Van Dongen is het niet gebruikelijk dat criminelen na een datalek individuele klanten rechtstreeks benaderen. De daders stellen zelf dat ze eerder probeerden Flink te laten betalen, maar dat het bedrijf daar niet op inging.

'Met ether betalen is vrij omslachtig'

Dat individuele klanten met een laag bedrag worden benaderd, ziet Van Dongen als een bewuste tactiek om mensen over de streep te trekken. "Het kan zijn dat mensen schrikken en denken: weet je wat, het is maar 10 euro." Tegelijkertijd is de gekozen betaalmethode volgens hem niet voor iedereen vanzelfsprekend. "Met ether betalen is vrij omslachtig."

Volgens Van Dongen kan vrijwel elk bedrijf worden gehackt en ligt de oorzaak vaak dicht bij huis. "Bijna elk bedrijf kan worden gehackt. Negen van de tien keer is het nalatigheid bij het bedrijf." De precieze oorzaak kan verschillen, zegt hij. "Gebrekkige technische maatregelen, een onbekende kwetsbaarheid, geen update, medewerkers die niet de juiste training hebben gehad, het kan van alles zijn."

Van Dongen relativeert de ernst van dit specifieke incident. "Van vrijwel iedereen staat ontzettend veel informatie online. Deze specifieke hack is niet erg zorgelijk."

Wel verwacht hij gevolgen voor Flink zelf. "Zij moeten nu omgaan met reputatieschade en krijgen te maken met de AVG. Er hangt hun een boete boven het hoofd, er moeten maatregelen worden getroffen en het moet tot op de bodem worden uitgezocht. Dat kost een hele hoop tijd en geld."

Klanten die een afpersingsmail hebben ontvangen, moeten die bewaren als bewijsmateriaal en verder niets doen en vooral niet betalen, adviseert Van Dongen.

Flink treft aanvullende maatregelen

Ook Flink adviseert dringend om niet te reageren en niet te betalen. Flink zegt het incident "zeer serieus" te nemen en dat de betreffende toegang "direct" is geblokkeerd.

Het bedrijf laat weten aanvullende beveiligingsmaatregelen te hebben getroffen en dat samen met externe experts een "uitgebreid" onderzoek is gestart. Ook heeft Flink de privacytoezichthouders op de hoogte gesteld en aangifte gedaan.

Verder meldt de flitsbezorger dat het beschermen van klanten en medewerkers en hun gegevens en het informeren van alle mogelijke gedupeerden de "eerste prioriteit" is. "Om het onderzoek van de autoriteiten niet te belemmeren, kunnen we op dit moment geen verdere details geven", zegt Flink.

Elise volgt het economische nieuws. Ze schrijft over supermarkten, winkels, webshops, vrije tijd en toerisme. Ze volgt de detailhandel en e-commerce op de voet. Mail je tips of vragen.