Bijenkorf bevestigt: klantgegevens wel degelijk ingezien bij groot datalek CEVA Logistics

De Bijenkorf heeft op donderdag 10 september bevestigd dat onbevoegden daadwerkelijk toegang hebben gehad tot persoonsgegevens van klanten. Dat meldt Security.NL. Het gaat om een uitvloeisel van het grote datalek bij logistiek dienstverlener CEVA Logistics, dat sinds begin augustus ook Bol, Ajax, ING, Ace & Tate en Zalando raakt. Eerder hield De Bijenkorf het nog op "kan niet worden uitgesloten"; nu is op basis van onderzoek door CEVA duidelijk dat het systeem met klantgegevens daadwerkelijk is bekeken.

Wat er is gebeurd bij CEVA

CEVA Logistics is een logistiek bedrijf met ruim 110.000 medewerkers en meer dan 1.700 vestigingen wereldwijd. Eind juli 2026, vanaf ongeveer 29 juli, werd bij het bedrijf ingebroken. De aanval trof volgens buitenlandse media minstens acht Europese distributiecentra en zorgde voor langere levertijden bij verschillende webshops. Getroffen bedrijven werden rond 1 augustus geïnformeerd.

Omdat CEVA voor veel grote merken de orderverwerking en bezorging regelt, had het bedrijf toegang tot gegevens van eindklanten. Precies dat soort informatie is buitgemaakt.

Welke bedrijven en gegevens zijn geraakt

Naast De Bijenkorf meldden ook Bol, Ajax, ING, Ace & Tate en Zalando dat klantgegevens mogelijk zijn getroffen. Volgens Security.NL hebben inmiddels twaalf bedrijven het datalek gemeld bij de Autoriteit Persoonsgegevens.

Bij De Bijenkorf gaat het om naam, e-mailadres, adresgegevens, telefoonnummer en informatie over onlinebestellingen. Bij zakelijke klanten kan het daarnaast gaan om bedrijfsnaam en btw-nummer. Betaalgegevens en wachtwoorden zijn niet in het geding, benadrukt het bedrijf. Bij ING gaat het specifiek om klanten die spaarpunten hadden ingewisseld voor een fysiek product via het CEVA-netwerk, en Ace & Tate meldt dat brilrecepten, gebruikersnamen en wachtwoorden niet zijn geraakt.

Bevestiging en vervolgstappen

Waar de betrokken bedrijven begin augustus nog spraken van een mogelijk datalek waarbij toegang "niet kon worden uitgesloten", bevestigt De Bijenkorf nu dat het systeem met klantgegevens daadwerkelijk is ingezien door onbevoegden. Het exacte aantal getroffen klanten maakt het bedrijf niet bekend; uit voorzorg zijn alle klanten per e-mail geïnformeerd. Volgens RetailDetail heeft De Bijenkorf op dit moment geen aanwijzingen dat de gegevens ook op het dark web zijn beland, maar wordt dat niet uitgesloten.

Wat dit betekent voor jouw bedrijf

Dit datalek laat zien dat de zwakste schakel in je beveiliging niet per se je eigen systemen zijn, maar die van je leveranciers. Grote namen als Bol, Ajax en ING konden weinig doen om deze specifieke aanval te voorkomen: zij werden geraakt via een logistieke partner die zij vertrouwden met klantgegevens. Besteed jij orderverwerking, verzending, klantenservice of marketing uit aan externe partijen, dan is dit een goed moment om na te gaan welke gegevens die partijen precies van je klanten hebben en wat er gebeurt als die partij wordt gehackt.

Concreet: check je verwerkersovereenkomsten, vraag leveranciers naar hun beveiligingsmaatregelen, en zorg dat je weet wie je moet informeren en binnen welke termijn als er toch iets misgaat. De AVG verplicht je namelijk ook zelf om een datalek bij een verwerker binnen 72 uur te melden bij de Autoriteit Persoonsgegevens als het risico's voor betrokkenen oplevert. Waarschuw daarnaast je eigen klanten proactief voor phishing als een leverancier van jou een lek meldt: aanvallers combineren gelekte namen en adressen vaak snel met nepmails die net echt genoeg lijken.

Wil je weten of je eigen website en klantsystemen goed beveiligd en actueel zijn, of loop je vast met de vraag wie er allemaal toegang heeft tot jouw klantgegevens? Bij website onderhoud en beheer van Infotrends houden we dat soort risico's voor je in de gaten. Meer beveiligingsnieuws en datalekken volg je op onze nieuwspagina.

Bronnen: Security.NL, RetailDetail en NL Times.