Een cyberaanval op logistiek dienstverlener CEVA Logistics (voorheen bekend als TNT Logistics) leidde tot een datalek waarbij persoonsgegevens van klanten van Bol mogelijk in handen zijn gekomen van onbevoegden. De aanval, die op 1 augustus plaatsvond, trof niet de systemen van Bol zelf, maar een logistieke partner die verantwoordelijk is voor de verwerking en bezorging van bestellingen vanuit een distributiecentrum in Waalwijk.

Volgens Bol hebben de aanvallers mogelijk toegang gekregen tot gegevens die CEVA verwerkt voor bestellingen vanuit de locatie aan de Veerweg. Het gaat daarbij om persoonsgegevens zoals namen, adresgegevens, e-mailadressen, telefoonnummers, ordernummers, EAN-codes, track-and-tracegegevens en informatie over geplaatste bestellingen. Vooralsnog zijn er geen aanwijzingen dat betaalgegevens, wachtwoorden of andere inloggegevens zijn buitgemaakt.
Na de ontdekking van het incident heeft Bol de gegevensuitwisseling met CEVA uit voorzorg direct stilgelegd. Externe cybersecurityspecialisten zijn ingeschakeld om de omvang van de aanval te onderzoeken. De samenwerking met de logistieke partner wordt pas hervat wanneer vaststaat dat de systemen weer veilig kunnen worden gebruikt.

Logistieke gevolgen

De gevolgen zijn niet alleen merkbaar op het gebied van privacy, maar ook in de logistieke operatie. Een deel van het assortiment dat zich in het getroffen distributiecentrum bevindt, is tijdelijk offline gehaald. Daarnaast zijn sommige bestellingen geannuleerd en moeten klanten rekening houden met vertragingen bij leveringen.
Hoeveel klanten precies door het datalek zijn getroffen, is nog niet bekend. Gezien de omvang van het distributiecentrum wordt rekening gehouden met mogelijk duizenden betrokkenen. Getroffen klanten worden door Bol geïnformeerd zodra meer duidelijkheid bestaat over de impact van het incident.
Opvallend is dat ook de Bijenkorf deze week melding maakte van een cyberincident bij een logistieke partner, waardoor eveneens persoonsgegevens mogelijk zijn gelekt en logistieke processen zijn verstoord. Of beide incidenten verband houden met dezelfde dienstverlener is niet bevestigd. Beide organisaties hebben het datalek gemeld bij de Autoriteit Persoonsgegevens en benadrukken dat hun eigen IT-omgevingen niet zijn gecompromitteerd. Hiermee onderstreept het incident opnieuw hoe kwetsbaar toeleveringsketens zijn voor cyberaanvallen en welke impact een aanval op een externe dienstverlener kan hebben op de continuïteit van bedrijfsprocessen en de bescherming van klantgegevens.