Datalek bij CEVA treft steeds meer grote webshops: ‘Ook About You geraakt’
Het datalek bij logistiek dienstverlener CEVA Logistics treft steeds meer bekende namen in de e-commerce. Na eerder bevestigde incidenten bij de Bijenkorf en bol.com heeft nu ook de grote Duitse webshop About You bevestigd door het incident geraakt te zijn. Dat maakt de omvang van het beveiligingsincident groter dan aanvankelijk duidelijk was. De vraag rijst hoeveel andere webshops nog zullen volgen.
Vakmedium brak het nieuws
Het was vakmedium Logistiek.nl dat als eerste over de betrokkenheid van About You berichtte. Vervolgens bevestigde een woordvoerster van het bedrijf het nieuws. Daarmee is de bevestiging officieel, al verstrekte het bedrijf geen verdere details over de aard of de omvang van het incident. About You is een van de grotere modegerelateerde webwinkels in Europa en heeft ook in Nederland een aanzienlijke klantenkring. Het bedrijf is gevestigd in Hamburg en geldt als een serieuze speler op de Europese online modemarkt.
Nieuwsmedia als AD en Nieuws.nl grepen beide de berichtgeving op, waarbij de verslaggeving waarschijnlijk op dezelfde ANP-berichtgeving is gebaseerd. Dat betekent dat de twee publicaties niet als volledig onafhankelijke bevestigingen van elkaar kunnen worden beschouwd. Toch onderstreept de brede aandacht van meerdere media de ernst en de impact van het incident bij CEVA Logistics.
Wie is CEVA Logistics?
CEVA Logistics is een internationaal logistiek bedrijf dat voor grote retailers en webwinkels verzend- en opslagdiensten verzorgt. Omdat zulke partijen een spilfunctie vervullen in de toeleveringsketen van veel webshops, kan een incident bij een logistieke dienstverlener verregaande gevolgen hebben. Dat zien we nu in de praktijk: meerdere bekende namen worden één voor één in verband gebracht met hetzelfde beveiligingsincident. Bovendien wijst de AD-berichtgeving erop dat werkzaamheden als gevolg van het incident zijn verplaatst, hoewel niet duidelijk is welke werkzaamheden dat betreft en waarheen die zijn overgegaan.
Omdat CEVA voor meerdere grote spelers tegelijk actief is, vormt een datalek bij zo’n partij een zogeheten ‘single point of failure’ voor een hele sector. Dat maakt het incident bijzonder zorgwekkend, zowel voor de bedrijven zelf als voor consumenten die bij deze webshops bestellen. Daarnaast roept het vragen op over de manier waarop logistieke bedrijven omgaan met de gegevens van hun opdrachtgevers en diens klanten.
Bijenkorf en bol.com eerder al getroffen
Voordat About You in beeld kwam, waren de Bijenkorf en bol.com al als getroffen partijen naar buiten gekomen. Beide zijn grote namen in de Nederlandse retailmarkt. Bol.com is het grootste online winkelplatform van Nederland en de Bijenkorf is een van de bekendste warenhuisketens van het land. Het feit dat ook zij te maken hebben met het incident bij CEVA Logistics, illustreert hoe breed het netwerk van deze logistieke dienstverlener is. Vervolgens voegt About You zich bij die lijst, wat suggereert dat het incident mogelijk nog meer bedrijven raakt.
Het is op dit moment niet bekend wanneer het datalek precies plaatsvond of wanneer het werd ontdekt. Ook is onduidelijk welke gegevens precies zijn getroffen. De bronnen vermelden niet of persoonsgegevens van klanten van About You, de Bijenkorf of bol.com zijn buitgemaakt. Die onzekerheid maakt de situatie voor consumenten extra ongemakkelijk, omdat zij niet weten of hun eigen gegevens mogelijk in verkeerde handen zijn gevallen.
Gevolgen voor consumenten nog onduidelijk
Voor klanten van de getroffen webshops is de grootste vraag welke gegevens precies zijn gelekt. Bij een datalek bij een logistiek dienstverlener kunnen dat uiteenlopende soorten informatie zijn, zoals namen, bezorgadressen of bestelgegevens. Echter, geen van de beschikbare bronnen bevestigt dat daadwerkelijk klantgegevens zijn buitgemaakt. Consumenten die recentelijk bij About You, bol.com of de Bijenkorf hebben besteld, doen er desondanks goed aan alert te blijven op ongewone berichten of verdachte e-mails.
De getroffen bedrijven zelf hebben nog geen uitvoerige verklaringen naar buiten gebracht over de precieze aard van de schade. Dat is op zich begrijpelijk, omdat bedrijven bij dit soort incidenten vaak eerst intern onderzoek doen voordat ze naar buiten treden. Toch wekt het bij consumenten onrust als grote webshops bevestigen getroffen te zijn, maar weinig details geven over wat er precies is misgegaan.
Bredere les voor de logistieke sector
Het incident bij CEVA Logistics legt een bredere kwetsbaarheid bloot in de moderne e-commerce. Webshops zijn voor hun logistieke processen sterk afhankelijk van externe partijen. Daarmee verplaatsen zij ook een deel van hun dataverantwoordelijkheid naar die derde partijen. Bovendien geldt: hoe groter en bekender de logistieke dienstverlener, hoe aantrekkelijker die is als doelwit voor kwaadwillenden. Een succesvolle aanval op één centrale speler kan zo tegelijk tientallen klanten van die dienstverlener raken.
Dit incident benadrukt waarom zowel logistieke bedrijven als de webshops die van hun diensten gebruikmaken, moeten investeren in robuuste cybersecurity. Privacywetgeving zoals de Algemene Verordening Gegevensbescherming (AVG) verplicht bedrijven tot het melden van datalekken bij de toezichthouder als die een risico vormen voor betrokkenen. Het is nog niet bekend of en hoe CEVA Logistics aan die meldplicht heeft voldaan in dit geval.
Onderzoek en volgende stappen
Op dit moment is de volledige omvang van het datalek bij CEVA Logistics nog niet in kaart gebracht. Naast About You, de Bijenkorf en bol.com kunnen nog andere bedrijven naar buiten komen met een bevestiging dat zij zijn geraakt. Vakmedium Logistiek.nl speelt in deze berichtgeving een belangrijke rol als eerste bron, en het valt te verwachten dat het medium de situatie nauw blijft volgen. Intussen wachten betrokken partijen en consumenten op meer duidelijkheid over wat er precies is gelekt en welke stappen worden gezet om verdere schade te voorkomen.
