Laatste update:  11-05-2021: 16:00 uur

In de ochtend van 6 april 2021 zagen wij diverse vragen over emails met daarin een betalingsverzoek die uit onze naam zijn verzonden.
De specifieke emailadressen waaraan deze berichten zijn verzonden deed vermoeden dat de gegevens uit onze administratie afkomstig zijn.

Onderzoek

We zijn daarop een onderzoek gestart, waarin we de volgende vragen beantwoord wilden zien:

1. Is er ongeoorloofde toegang geweest tot onze administratie(s)?
2. Zo ja, welke betrof het?
3. Hoe is deze toegang tot stand gekomen?
4. Hoe kunnen we deze toegang stoppen?
5. Wat is de impact van de ongeoofloofde toegang?

Wat is er gebeurd?

Uit het onderzoek is gebleken dat een aanvaller toegang heeft weten te verkrijgen tot de administratie van onze webshop.
Daarbij zijn diverse gegevens buitgemaakt, die vervolgens zijn gebruikt om een zogenaame phisingcampagne uit te voeren.

Update 11-05-2021; Email verstuurd

Er is contact geweest met de Autoriteit Persoonsgegevens; in overleg is besloten een informatie email uit te sturen naar alle betrokkenen.
Afhankelijk van de gelekte data zijn er verschillende versies in omloop.

Welke gegevens zijn niet gelekt

Niet alle gegevens waren beschikbaar voor de aanvallers.

Er zijn geen leesbare wachtwoorden gelekt van actuele gebruikers.
Uw wachtwoord staat niet in leesbaar formaat in onze database - u hoeft dit niet te wijzigen

Oude wachtwoorden, inactieve accounts:
- MD5 met korte salt, uniek per account
- MD5 met lange salt (minimaal 32 karakters, alfanumeriek, hoofdlettergevoelig)

Recente accounts:
-  SHA256 met lange salt (minimaal 32 karakters)
-  SHA512 met lange salt 

Bij inloggen wordt een account standaard naar de laatste methode bijgewerkt.

1. Creditcardgegevens zijn niet gelekt: uw creditcard stond niet bij ons geregistreerd.
2. In een klein aantal gevallen is er en IBAN-nummer gelekt ( deze klanten zijn hierover apart geinformeerd)

Welke gegevens zijn gelekt

Van de volgende gegevens hebben we kunnen concluderen dat ze zijn gelekt, voor zover door u verstrekt:

1. Naam & bedrijfsnaam
2. BTW-nummer
3. Contactgegevens (email, telefoon)
4. Ordergegevens (producten, aantallen)
5. (In zeer beperkte mate) IBAN

Uitgevoerde acties

We hebben allereerst melding van het datalek gemaakt bij de Autoriteit Persoonsgegevens.
Daarnaast hebben we uiteraard acties uitgevoerd om de toegang te beëindigen en de mails te stoppen.

1. Een groot deel van de mails hebben we tegen kunnen houden: dit betreft de mails in onze eigen queue
   Er is in eerste instantie gebruikt gemaakt van onze eigen webservers om de mail te versturen vandaar dat we deze tegen konden houden.
2. Beveiliging is aangescherpt, wachtwoorden zijn aangepast
3. Nieuwe magento 2 webshop is versneld gelanceerd op 07-05-2021

We blijven de aankomende periode extra scherp in de gaten houden of er niet opnieuw misbruik wordt gemaakt van onze systemen.

Wat kunt u zelf doen?

We raden u aan om alert te blijven op mogelijk (verder) misbruik van deze gegevens.
Wees op uw hoede als u ineens veel meer spam krijgt, als uw mailadres wordt gebruikt om u in te schrijven voor bepaalde diensten, als u ongewenst telefonisch benaderd wordt, et cetera.

Onze excuses!

We vinden het zeer vervelend dat dit plaats heeft gevonden en bieden onze excuses aan voor het ontstane ongemak!
Mocht u nog vragen hebben, dan kunt u contact opnemen, via: [email protected]