Der niederländische Online-Händler Bol hat mit Lieferstörungen und einer möglichen Exposition von Kundendaten zu kämpfen, nachdem Hacker Zugang zu Systemen eines seiner Lagerhaus-Logistikanbieter erhalten haben. Die eigene Technologieinfrastruktur von Bol wurde laut Unternehmen nicht kompromittiert.
Bol erfuhr am 1. August von dem Sicherheitsvorfall, als ihm mitgeteilt wurde, dass eine unbefugte Partei auf zwei IT-Systeme des externen Anbieters zugegriffen hatte. Die betroffenen Systeme enthielten Informationen, die zur Verarbeitung und Zustellung von Kundenaufträgen verwendet wurden.
Der Einzelhändler reagierte, indem er die Datenübertragungen an das Logistikunternehmen aussetzte, während der Vorfall untersucht wurde. Der Zugriff der unbefugten Partei wurde blockiert, und externe Cybersicherheitsspezialisten wurden hinzugezogen, um festzustellen, wie der Einbruch stattfand, und das Ausmaß der Kompromittierung festzustellen.
Der Vorfall hat bereits einige Kunden auf operativer Ebene betroffen. Bestellungen, die über das betroffene Lager bearbeitet wurden, könnten verspätet eingekommen oder storniert worden sein, während die Unternehmen auf den Angriff reagierten.
Noch wichtiger ist, dass die Ermittler festgestellt haben, dass für die Bearbeitung dieser Anordnungen erforderliche Informationen möglicherweise abgerufen oder kopiert worden sein könnten. Bol behandelt den Vorfall daher als Datenschutzverletzung und hat die niederländische Datenschutzbehörde darüber informiert.
Die potenziell kompromittierten Datensätze umfassen Kundennamen, Lieferadressen, Telefonnummern, Bestellinformationen und Track-and-Trace-Daten. Bol erklärte, dass derzeit keine Hinweise darauf vorliegen, dass Kontopasswörter, Kundenanmeldedaten oder Zahlungsinformationen beteiligt waren.
Die Anzahl der Betroffenen bleibt unbekannt. Anstatt die gesamte Kundenbasis zu informieren, erklärte Bol, dass es Kunden kontaktiert habe, deren Informationen möglicherweise in den kompromittierten Systemen vorhanden waren.
Weitere Berichte haben den betroffenen Lagerbetreiber als CEVA Logistics identifiziert. Bol soll CEVA in direkt an betroffene Kunden gesendeten Mitteilungen genannt haben. Niederländische Medien haben außerdem berichtet, dass angeblich aus dem Vorfall gewonnene Daten im Dark Web zum Verkauf erschienen sind. Die verfügbaren Informationen stellen den Inhalt oder die Vollständigkeit des beworbenen Datensatzes nicht unabhängig fest.
Die mögliche Exposition birgt ein weiteres Risiko, selbst wenn Passwörter oder Finanzinformationen nicht kompromittiert werden. Details zu tatsächlichen Käufen, Lieferadressen und Paketverfolgung können nützlichen Kontext bieten, um Phishing-Nachrichten zu überzeugen. Ein Angreifer könnte sich potenziell als Einzelhändler oder Lieferunternehmen ausgeben, während er sich auf Informationen ausgibt, die eine betrügerische Kommunikation legitim erscheinen lassen.
Bol hat betroffenen Kunden daher geraten, besonders vorsichtig bei unerwarteten E-Mails, Textnachrichten oder Anrufen bezüglich ihrer Bestellungen und Lieferungen zu sein.
Der Einzelhändler betonte, dass der Einbruch außerhalb seiner eigenen IT-Umgebung stattfand. Basierend auf der bisherigen Untersuchung gibt es keine Hinweise darauf, dass die Angreifer Zugang zu den Systemen von bol erhalten haben.
Der Vorfall scheint auch Auswirkungen über einen einzelnen Einzelhändler hinaus zu haben. Das niederländische Kaufhaus De Bijenkorf hat kürzlich eine separate potenzielle Kundendatenpanne offengelegt, die einen externen Logistikdienstleister betraf. De Bijenkorf hat dieses Unternehmen nicht öffentlich als CEVA Logistics genannt, sodass eine Verbindung zwischen den beiden Vorfällen allein durch die öffentlichen Angaben der Unternehmen nicht bestätigt werden kann.
Für bol betreffen die unmittelbaren Folgen sowohl den Datenschutz der Kunden als auch die Logistik. Die Untersuchung muss weiterhin feststellen, wie viele Kunden betroffen waren, welche Informationen genau kopiert wurden und ob die auf Cybercrime-Märkten kursierenden Daten von den kompromittierten Lagersystemen stammen.