Breaking News

Bij het datalek bij Allekabels.nl zijn ook persoonsgegevens van klanten van 34 andere webshops gelekt. Het gaat om de 33 webshops van DutchDo en Kabeltje.com. Een woordvoerder van Allekabels.nl laat weten dat onduidelijk hoeveel klantgegevens van de 34 webshops gelekt zijn. 

RTL Nieuws onthulde vorige week dat de gegevens van ongeveer 3,6 miljoen Nederlanders in handen van criminelen zijn gevallen. Die gegevens kwamen uit een database van Allekabels.nl, die sinds eind januari te koop wordt aangeboden op een hackersforum. De gegevens worden actief misbruikt om bijvoorbeeld phishingberichten te sturen. 

34 webshops lekten ook

Een lezer tipte AG Connect dat ook Kabeltje.com bij klanten melding heeft gemaakt van een datalek. Tweakers meldde op basis van informatie van Allekabels.nl dat het niet om een nieuw datalek gaat, maar hetzelfde datalek als vorige week. Volgens de nieuwswebsite zijn bovendien ook gegevens van klanten van de DutchDo-webshops uitgelekt. Onder DutchDo vallen nichewinkels als Coaxkabel.nl, Condensators.nl en Draadlozedeurbel.nl. 

Een woordvoerder van Allekabels bevestigt ook tegenover AG Connect dat het om hetzelfde lek gaat en dat DutchDo en Kabeltje.com onder Allekabels valt. Volgens de woordvoerder zijn vorige week onafhankelijke experts van twee securitybedrijven ingevlogen om onderzoek te doen naar het lek. "Met wat zij vonden, zijn we klanten op de hoogte gaan stellen."

Veel klanten ontvingen vorige week vrijdag al een melding van de gelekte gegevens. "Maar een groep met hele specifieke gevallen zijn deze week pas op de hoogte gesteld. Dat zijn mensen die niet één wachtwoord en e-mailadres gebruikte bij onze webshops, maar meerdere e-mailadressen en wachtwoorden voor de verschillende onderdelen. Die moesten dubbel gecheckt worden." De woordvoerder benadrukt dat dit een doorlopend proces is, dus dat er ook later nog e-mails kunnen komen over het datalek. 

Wat is gelekt?

In het datalek van Allekabels.nl zaten 2,6 miljoen unieke e-mailadressen die gekoppeld zijn aan namen, adressen, telefoonnummers, geboortedata en versleutelde wachtwoorden. Daarnaast zijn de gegevens van klanten die via een andere webshop bij Allekabels hebben besteld gelekt. Onder die gegevens zitten echter geen e-mailadressen of wachtwoorden. Verder zijn 109.000 IBAN-nummers uitgelekt. 

Uit de mail van Kabeltje.com naar klanten blijkt dat er NAW-gegevens en e-mailadressen uitgelekt zijn. Ook bij DutchDo zijn NAW-gegevens en e-mailadressen buitgemaakt. Van sommige klanten zijn ook 'onherkenbare' wachtwoorden en IBAN-nummers gestolen. Hoeveel klanten van de 34 webshops in het datalek terecht zijn gekomen, kon de woordvoerder niet zeggen. "Maar het gaat per definitie om grote aantallen, want de webshops zijn erg populair."

De woordvoerder meldt verder dat er geen aparte melding nodig was bij de Autoriteit Persoonsgegevens, omdat het om hetzelfde datalek gaat als dat vorige week naar buiten kwam. Van dat lek is al een melding gemaakt. 

Weet je wat Third-Party apps op jouw website doen? En wat jouw blind spots zijn? Monitor het met ons Reflectiz platform voor beveiliging en privacy op websites. Test waar je intern het kwetsbaarst bent met onze Cymulate Breach & Attack Simluation.

Of gebruik onze Rescana on-line service om te analyseren wat de Supply Chain risico's zijn voor wanneer je bijvoorbeeld gebruikmaakt van de diensten van een IT-provider.

Pulse Secure has shared mitigation measures for a zero-day authentication bypass vulnerability in the Pulse Connect Secure (PCS) SSL VPN appliance actively exploited in attacks against worldwide organizations and focused on US Defense Industrial base (DIB) networks.

To mitigate the vulnerability tracked as CVE-2021-22893 (with a maximum 10/10 severity score), Pulse Secure advises customers with gateways running PCS 9.0R3 and higher to upgrade the server software to the 9.1R.11.4 release.

Do you know which assets can reach what? And do you know what the attack surface of your organisation is? Test it with Cymulate Breach and Attack Simulation

De gegevens van rond de 3,6 miljoen Nederlanders zijn in handen van criminelen. De data zijn afkomstig van een database van Allekabels.nl. Daarmee is sprake van het tot nu toe grootste datalek met wachtwoorden in Nederland ooit.

De gestolen database is eind januari te koop aangeboden op een hackersforum voor een bedrag vanaf 15.000 euro, meldt RTL Nieuws, dat de gestolen data heeft ingezien en geverifieerd. De gegevens worden inmiddels al actief misbruikt om onder meer phishingberichten te sturen aan nietsvermoedende klanten van deze webwinkel.

De database bevat 2,6 miljoen unieke e-mailadressen die gekoppeld zijn aan namen, adressen, telefoonnummers, geboortedata en versleutelde wachtwoorden. Daarnaast zijn er in de te koop aangeboden databerg een miljoen gegevens te vinden van personen die via een andere webshop bij Allekabels hebben besteld. Die gegevens bevatten geen e-mailadressen of wachtwoorden.

Ook zijn 109.000 IBAN-nummers van de klanten van Allekabels gestolen en verhandeld.

Sinds zomer 2020?

Allekabels laat aan RTL weten dat het sinds februari wist dat een werknemer informatie had gestolen en doorverkocht. Dat zou echter om 5000 klantgegevens gaan en die klanten zijn daarover geïnformeerd. RTL haalt nu diverse bronnen aan die stellen dat Allekabels al in augustus 2020 zou zijn gehackt én dat het bedrijf toen al op de hoogte was van de veel grotere datadiefstal. Allekabels houdt echter vol dat deze zeer grote datadiefstal “compleet nieuw” is voor hen.

De Autoriteit Persoonsgegevens (AP) heeft naar aanleiding van het onderzoek van RTL Nieuws informatie en documenten opgevraagd bij Allekabels. Het bedrijf is verplicht die informatie te leveren. De AP heeft de gegevens echter nog niet binnen.