Flink: gestolen data te koop aangeboden door cybercriminelen

Samenvatting

Flink: cybercriminelen veilen gegevens van een miljoen klanten en ruim 10.000 werknemers na een hack via een oud-medewerkersaccount.

Flink-datalek leidt tot online veiling

De ransomwarebende LPG zegt dat zij gegevens van ruim 10.000 werknemers en een miljoen klanten van Flink heeft gestolen. Volgens Flink drongen de aanvallers binnen via het overgenomen account van een oud-medewerker.

De buit omvat namen, e-mailadressen, postcodes en telefoonnummers. Ook namen de criminelen bestellingsinformatie en bezorggegevens mee, waaronder verdiepingen, ingangen en bezorginstructies. RTL Nieuws heeft de gegevens ingezien en geverifieerd. De aanvallers bieden de dataset inmiddels te koop aan; de hoogste bieder krijgt toegang.

Aanvankelijk vroegen de criminelen getroffen klanten om 0,005 ether per persoon, ongeveer elf euro. Ze mikten vóór 2 oktober op minstens 100 ether, omgerekend 239.000 euro. Volgens RTL Nieuws betaalde nog geen enkele klant losgeld.

Waarom het Flink-datalek telt voor BI

Het incident laat zien dat een gestolen klantrecord meer bevat dan algemene contactinformatie. Bestel- en bezorggegevens voegen context toe aan een profiel. Voor BI-teams die met klantdata werken, maakt dat de scheiding tussen rapportagevelden, operationele gegevens en persoonlijke informatie extra concreet.

De aanval begon niet bij een technisch dataplatform, maar bij een account van een voormalige medewerker. Toegangsbeheer vormt daarmee een directe schakel tussen personeelsadministratie en de veiligheid van datasets. Ook gegevens die niet in een dashboard verschijnen, kunnen in onderliggende tabellen of exports aanwezig zijn.

Flink meldt dat zowel Nederlandse als Duitse klanten zijn getroffen. Verschillende gedupeerde klanten zeggen bovendien dat Flink hen niet heeft geïnformeerd. Dat maakt niet alleen de inhoud van datasets relevant, maar ook de vraag welke betrokkenen een incidentmelding ontvangen.

Concrete takeaway voor Flink-data

Controleer bij elke klantdataset welke kolommen bezorgdetails bevatten, wie toegang heeft tot historische accounts en welke exports buiten het BI-platform circuleren. Trek accounts van oud-medewerkers direct in, beperk toegang tot detailvelden en leg vast hoe je getroffen personen informeert. Behandel bezorginstructies niet als onschuldige logistieke tekst: in deze dataset horen ze bij persoonsgegevens die nu te koop worden aangeboden.