Webwinkel Typhone verscherpt IT-­-beveiliging na datalek

[fm77]

Ik kreeg net onderstaande bericht van Typhone:

Webwinkel Typhone verscherpt IT-­-beveiliging na datalek
AMERSFOORT, vrijdag 15 juli 2016
Webwinkel Typhone heeft haar IT-­-beveiliging aangescherpt nadat onlangs een datalek werd ontdekt. Zo was het in principe mogelijk dat buitenstaanders bij de klantgegevens konden komen.
Het betreft niet alleen de gegevens van klanten die bij Typhone een mobiel abonnement hebben afgesloten, maar ook gegevens van klanten bij zakenpartners phonehouse.nl, mediamarkt.nl en gsmeasy.nl. Het datalek is onmiddellijk gemeld aan de Autoriteit Persoonsgegevens. Klanten zijn vandaag ingelicht.
CFO Paul Hoogewind legt uit: “Na de overname van Typhone door Relevant Holdings vond er een gefaseerde migratie van de systemen plaats waarbij dit lek is opgemerkt”. Hij vervolgt: “We vinden het natuurlijk vervelend voor onze klanten. Uiteraard hadden we dit graag anders gezien, maar op dit moment is ons geen misbruik bekend. De nieuwe IT-­-systemen voldoen aan de nieuwste veiligheidsstandaarden”.

Ik heb verder nog nooit te maken gehad met dit bedrijf, maar wel met GSMeasy.
Hoe is het mogelijk dat een derde partij mijn gegevens blijkbaar heeft?
Zou ik me zorgen moeten maken? Ik heb even op de site van gsmeasy gekeken, maar volgens mij is het niet mogelijk om een account aan te maken. Enige optie die ik zie is orderstatus bekijken.
Ik kan me ook niet herinneren dat ik hier ooit een account heb aangemaakt.

Over het algemeen zou ik me niet zo druk maken over een website die gegevens van mij heeft en gehackt zou zijn. Wachtwoord aanpassen, en weer verder. Maar dit bedrijf heeft toch wel veel info over mij. Kopie id kaart, etc...

[ Voor 7% gewijzigd door fm77 op 16-07-2016 12:40 ]

[revengeyo]

Ik kreeg deze mail:



Derden kunnen heel veel doen met deze gegevens
Ik houd mijn hart vast!

[ Voor 29% gewijzigd door revengeyo op 16-07-2016 05:23 ]

[SquareOne]

Ik heb zowel bij GSMEasy als Typhone een keer een abonnement besteld. Zij hebben sowieso de volledige naam, rekeningnummer en BSN van me.

Zijn er stappen die ik moet ondernemen om te zorgen dat hackers niks met deze gegevens kunnen? Naam en BSN kun je al niets aan veranderen, ik zou hoogstens m'n rekening kunnen opheffen en een nieuwe openen maar wat schiet ik daarmee op?

[revengeyo]

Tweakers hierover geïnformeerd maar weigert hierover een nieuwsbericht te plaatsen.
Mogelijk hebben ze een bepaalde deal met dat bedrijf gesloten.

[ASW1]

Vind het nou niet erg nieuwswaardig, althans niet voor op de front page.
Hier op het forum is prima.

[revengeyo]

De vertrouwelijke gegevens van iedereen die een abonnement heeft afgesloten bij de mediamarkt, phonehouse, typhone, gsmeasy zijn mogelijk in handen van derden terecht gekomen.
Dat vind jij niet nieuwswaardig?

[moca007]

Wie weet wat te doen in dit geval?

[Verwijderd]

Contact opnemen met de Autoriteit Persoongegevens via hun tipformulier?
https://autoriteitpersoon...-persoonsgegevens/tip-ons

DIe CFO knuppel die het "natuurlijk vervelend voor onze klanten vind" kan via dit formulier https://datalekken.autori...sgegevens.nl/actionpage?0 het lek aanmelden, iets zegt me dat hij dat niet gaat doen.

---

Het staat trouwens nu wel op de FP nieuws: Webwinkel Typhone.nl ontdekt en dicht datalek

[ Voor 20% gewijzigd door Verwijderd op 17-07-2016 10:48 . Reden: Mailtje niet goed gelezen. ]

[slaay]

Verwijderd schreef op zondag 17 juli 2016 @ 10:21:
Contact opnemen met de Autoriteit Persoongegevens via hun tipformulier?
https://autoriteitpersoon...-persoonsgegevens/tip-ons

DIe CFO knuppel die het "natuurlijk vervelend voor onze klanten vind" kan via dit formulier https://datalekken.autori...sgegevens.nl/actionpage?0 het lek aanmelden, iets zegt me dat hij dat niet gaat doen.

Uhm.. er staat toch duidelijk in het mailtje dat ze melding hebben gemaakt bij die instantie...

[Osiris]

revengeyo schreef op zaterdag 16 juli 2016 @ 21:50:
De vertrouwelijke gegevens van iedereen die een abonnement heeft afgesloten bij de mediamarkt, phonehouse, typhone, gsmeasy zijn mogelijk in handen van derden terecht gekomen.
Dat vind jij niet nieuwswaardig?

Da's wel erg "jumping to conclusions" mijns inziens.. Een datalek wil nog niet zeggen dat er sprake is van totale controle over servers waardoor logs onbetrouwbaar zijn et cetera.

Lekken worden dagelijks gevonden. Is een bedrijf tenminste een keer eerlijk en transparant, moeten ze meteen aan de hoogste boom opgeknoopt worden?

[ANdrode]

fm77 schreef op vrijdag 15 juli 2016 @ 21:34:
Over het algemeen zou ik me niet zo druk maken over een website die gegevens van mij heeft en gehackt zou zijn. Wachtwoord aanpassen, en weer verder. Maar dit bedrijf heeft toch wel veel info over mij. Kopie id kaart, etc...

Ze ontwijken in de communicatie het antwoord op de vraag welke gegevens er gelekt zijn. Een collectie scans van energierekening + ID kaart + WAN gegevens heeft een totaal andere impact dan username, email, h(password) records.

[fm77]

ANdrode schreef op zondag 17 juli 2016 @ 10:52:
[...]


Ze ontwijken in de communicatie het antwoord op de vraag welke gegevens er gelekt zijn. Een collectie scans van energierekening + ID kaart + WAN gegevens heeft een totaal andere impact dan username, email, h(password) records.

Daar heb ik ze gisteren dus ook een mail over gestuurd. Die info is toch vrij belangrijk in hoe waakzaam je zal moeten zijn. Echter nog geen antwoord op gehad.
Maar het nieuwsbericht op de fp geeft die info dus wel.... En daar word ik niet echt vrolijk van.

Daarnaast blijf ik het bizar vinden dat Typhone gehackt is en zij dus blijkbaar over al mijn gegevens beschikten. Ik heb nog nooit wat met hun te maken gehad. Ik heb alleen bij Gsmeasy besteld.

[ Voor 13% gewijzigd door fm77 op 17-07-2016 11:07 ]

[Osiris]

ANdrode schreef op zondag 17 juli 2016 @ 10:52:
[...]


Ze ontwijken in de communicatie het antwoord op de vraag welke gegevens er gelekt zijn. Een collectie scans van energierekening + ID kaart + WAN gegevens heeft een totaal andere impact dan username, email, h(password) records.

"er gelekt zijn", je bedoelt "welke er potentieel gelekt hadden kunnen zijn"?

[fm77]

Osiris schreef op zondag 17 juli 2016 @ 11:19:
[...]

"er gelekt zijn", je bedoelt "welke er potentieel gelekt hadden kunnen zijn"?

De gegevens blijken al een jaar lang publiek toegankelijk.
Lijkt me dat je in dat geval toch wel van het ergste uit moet gaan. Dan kan het daarna alleen maar meevallen

[Osiris]

fm77 schreef op zondag 17 juli 2016 @ 11:22:
[...]

De gegevens blijken al een jaar lang publiek toegankelijk.
Lijkt me dat je in dat geval toch wel van het ergste uit moet gaan. Dan kan het daarna alleen maar meevallen

Dat je van "het ergste uit moet gaan" is tot daar aan toe, maar daadwerkelijk claimen dat het ook als feit vást staat is heel iets anders, nietwaar? Vooral als je 't simpelweg niet zeker weet..

[Señor Sjon]

revengeyo schreef op zaterdag 16 juli 2016 @ 20:40:
Tweakers hierover geïnformeerd maar weigert hierover een nieuwsbericht te plaatsen.
Mogelijk hebben ze een bepaalde deal met dat bedrijf gesloten.

Ook voor redacteuren is het weekend.

nieuws: Webwinkel Typhone.nl ontdekt en dicht datalek

[ANdrode]

Osiris schreef op zondag 17 juli 2016 @ 11:19:
[...]
"er gelekt zijn", je bedoelt "welke er potentieel gelekt hadden kunnen zijn"?

In het kader van de richtlijnen rondom de meldplicht datalekken wordt iets als een datalek gezien wanneer er een beveiligingsincident heeft plaatsgevonden en er geen zekerheid kan worden gegeven over de verwerking van de gegevens.

Typhone gebruikt zelf de term datalek én geeft aan dat het incident het gemeld is bij de AP.

... of als u onrechtmatige verwerking van de persoonsgegevens niet redelijkerwijs kunt
uitsluiten.
Als alleen sprake is van een zwakke plek in de beveiliging, spreken we van een
beveiligingslek en niet van een datalek. U hoeft dan geen melding te doen aan de
Autoriteit Persoonsgegevens.

De gegevens zijn dus "gelekt". Dat wil niet zeggen dat ze "opgevangen" zijn.

Mijn intuïtie daarvoor:

• Gelekt: Geen zekerheid over toegang tot gegevens en onvoldoende technische maatregelen; data hoeft niet publiek te zijn.
  "Kan geen ongekwalificeerde opinie van een auditor krijgen dat de verwerking integer was"
• Misbruikt/Opgevangen:
  "De payment processor nam contact met ons op, met veel creditcards die bij ons gebruikt zijn fraude wordt gepleegd" of
  "Iemand linkte ons een torrent en toen we er goed naar keken was het inderdaad een deel van de `users` tabel"

[Osiris]

Ze zijn wel streng

Wellicht heeft Typhone simpelweg geen gegevens (logs e.d.) meer over de eerdere perioden, waardoor ze 't dus simpelweg niet kunnen weten. Dan is 't inderdaad een datalek

[ Voor 5% gewijzigd door Osiris op 17-07-2016 12:46 ]

[fm77]

Het is hier nu al een maand stil... Aan de hoeveelheid reacties te lezen speel dit probleem blijkbaar niet echt bij veel mensen.
Waar ik me druk om maak is dat "misschien" mijn gegevens in verkeerde handen gekomen zijn.
Ik heb nu een half wazig persbericht van de partij waar de fout is gevonden gehad. Maar is het niet de bedoeling dat ik ook iets te horen krijg van het bedrijf waar ik mee te maken heb (en die dus kennelijk gebruik maakten van het betroffen bedrijf)? Iets met meldingsplicht naar je klanten?
Ik heb veel gegevens bij gsmeasy in het systeem staan (al mijn persoonlijke gegevens incl een kopie van id kaart). Echter heb ik tot dusver nog niets van hun persoonlijk vernomen dat die gegevens mogelijk misbruikt zijn.