Onlinesupermarkt en bezorgdienst Flink is getroffen door een datalek waarbij persoonsgegevens van klanten zijn gelekt. Vermoedelijke ransomwarehackers nemen nu de ongebruikelijke stap om rechtstreeks geld te eisen van individuele slachtoffers.
Volgens Flink zijn de volgende gegevens gestolen:
- Namen
- E-mailadressen
- Postcodes
- Telefoonnummers
- Bestel- en bezorggegevens
Bij die laatste categorie kan het gaan om gegevens zoals de verdieping, ingang, naam op de deurbel en bezorginstructies van een klant.
Volgens het bedrijf zijn wachtwoorden, betaalgegevens en bankgegevens niet getroffen. Flink heeft het incident gemeld bij de Nederlandse politie en de Autoriteit Persoonsgegevens en heeft een cybersecuritybedrijf ingeschakeld om de aanval te onderzoeken.
De aanval lijkt verband te houden met ransomwaregroep LPG, die claimt gegevens van één miljoen klanten en 13.000 medewerkers te hebben gestolen. De gegevens uit de hack zijn nog niet openbaar gemaakt. Daardoor konden ze niet onafhankelijk worden geverifieerd en kon er niet worden gecontroleerd of specifieke gebruikers zijn getroffen.
Opvallend is dat de hackers ook individuele klanten benaderen. Ze beweren dat Flink heeft geweigerd losgeld te betalen en vragen slachtoffers nu om ieder voor €10 aan Ethereum te sturen. De hackers beloven de gestolen klantendatabase te verwijderen als ze gezamenlijk 100 ETH ontvangen, momenteel ongeveer €239.000 waard.
Flink waarschuwt klanten om extra alert te zijn op phishingpogingen waarbij criminelen zich voordoen als het bedrijf. De gestolen persoonsgegevens en bezorggegevens kunnen mogelijk worden gebruikt om dergelijke oplichtingspogingen overtuigender te maken.
