Hack bij Flink: criminelen eisen losgeld
rechtstreeks van klanten
Eind september werd online boodschappendienst Flink gehackt, waarbij gegevens van klanten en medewerkers werden gestolen. Wat deze hack extra opvallend maakt: de criminelen stuurden niet alleen een eis naar het bedrijf zelf, maar benaderden ook individuele klanten rechtstreeks met een afpersingsmail. Als ICT-specialist zie ik hierin vooral een les over toegangsbeheer — iets waar elke ondernemer, hoe klein ook, mee te maken kan krijgen.
Wat is er precies gebeurd?
Volgens meerdere Nederlandse media, waaronder NOS en Security.NL, kregen onbevoegden toegang tot systemen van Flink via de inloggegevens van een oud-medewerker. Daarmee konden ze gegevens buitmaken van naar schatting een miljoen klanten en dertienduizend medewerkers. Het gaat om namen, e-mailadressen, adresgegevens en telefoonnummers, en vanwege de aard van de bezorgdienst ook bestel- en bezorginformatie zoals verdiepingen, portieken, naambordjes bij de deurbel en bezorginstructies. Wachtwoorden en betaalgegevens zijn volgens Flink niet gestolen.
De ransomwaregroep die zich LPG noemt, eiste zo'n 100 ether (destijds circa 235.000 euro) van Flink om de gegevens niet te publiceren. Opvallend genoeg stopte het daar niet: de criminelen mailden ook duizenden individuele klanten en medewerkers rechtstreeks, met het verzoek om zelf 10 euro in cryptomunt ether te betalen. Flink gaf aan niet te onderhandelen en adviseerde iedereen nadrukkelijk om niet te betalen. Begin oktober verliep het ultimatum van de criminelen zonder dat ook maar één klant had betaald.
Wat: inbraak bij Flink via het account van een oud-medewerker, met diefstal van klant- en personeelsgegevens.
Risico: criminelen benaderden naast het bedrijf ook klanten en medewerkers persoonlijk met een eigen losgeldeis.
Niet gestolen: wachtwoorden en betaalgegevens, aldus Flink.
Uitkomst: Flink deed aangifte, meldde het datalek bij de Autoriteit Persoonsgegevens en betaalde niet. Niemand ging in op de losgeldeis van de criminelen.
Wat betekent dit voor jou als ondernemer?
Ook als je een klein bedrijf hebt, werk je met klantgegevens en met medewerkers of freelancers die op een moment weer vertrekken. Deze hack laat zien waar dat mis kan gaan, en wat je er praktisch aan kunt doen.
Trek toegang direct in bij vertrek. Zodra iemand niet meer voor je werkt, zet je dezelfde dag nog alle toegang stop: e-mail, cloudopslag, boekhoudsoftware, VPN en gedeelde wachtwoorden. Wacht hier nooit mee tot een "rustig moment" — vergeten accounts blijven vaak jarenlang openstaan.
Beperk wat je opslaat. Vraag jezelf bij elk gegeven af of je het echt nodig hebt. Bezorginstructies, toegangscodes of andere gevoelige details die niet strikt noodzakelijk zijn, vergroten alleen de schade bij een lek.
Gebruik unieke wachtwoorden en tweestapsverificatie. Eén gelekt wachtwoord mag nooit toegang geven tot meerdere systemen. Met tweestapsverificatie (2FA) is een gestolen inlogcode alleen al niet genoeg om ergens binnen te komen.
Weet wat je moet doen bij een datalek. Is er toch iets misgegaan, dan moet je een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens en de betrokkenen informeren. Leg dit proces nu al vast, zodat je niet onder tijdsdruk hoeft te improviseren.
Betaal nooit een losgeldeis. Krijg jij, je bedrijf of een klant een afpersingsmail na een lek? Betalen geeft geen garantie dat gegevens echt worden verwijderd en maakt je juist een aantrekkelijker doelwit. Meld het bij de politie en informeer je klanten liever zelf, via je eigen bekende kanalen.
Praktische tip: Maak een vast "offboarding-lijstje" van alle systemen waar een medewerker of freelancer toegang tot heeft. Loop dit lijstje op de laatste werkdag samen af, zodat niets wordt overgeslagen.
Toegangsbeheer is geen bijzaak
De hack bij Flink laat zien dat een vergeten account van een oud-medewerker grote gevolgen kan hebben, niet alleen voor het bedrijf zelf maar ook voor duizenden klanten persoonlijk. Juist bij kleinere bedrijven ontbreekt vaak een vast proces hiervoor.
Wil je weten of jouw bedrijf dit soort basiszaken goed op orde heeft? DB ICT Services helpt ondernemers in Amsterdam en omstreken met praktisch, begrijpelijk ICT-advies.
Is jouw toegangsbeheer op orde?
DB ICT Services helpt ondernemers met heldere ICT-beveiliging, zonder ingewikkeld jargon. Neem vrijblijvend contact op.