Wehkamp stuurt 'wachtwoord reset' mail

[BLACKfm]

Hallo.

Ik kreeg zojuist een mail van Wehkamp met de titel "Let op! Uit voorzorg is het wachtwoord van je Wehkamp account gereset".
Ik zie verder niks staan over de reden en ik heb ook al tijden niks op de Wehkamp site gedaan of bezocht.

Ik heb hierop naar de helpdesk gebeld met de 'waarom' vraag, en die geven aan dat het een soort beleid is en dat ze "deze week begonnen zijn met deze handeling".
De persoon aan de lijn kon geen uitsluitselg even over de achterliggende reden, zoals een beveiligingslek of hackpogingen. Het enige waar ik wat mee kon was de reden 'omdat u het account mogelijk een langere tijd niet heeft gebruikt', gezien dat in mijn geval de reden zou kunnen zijn.

Tja, ik heb er niks op tegen dat uit veiligheidsoverwegingen accounts worden gereset, maar om dat maar zomaar te doen vind ik wat bijzonder.

Iemand hier ook mailtjes van gehad? Of vaker meegemaakt?
Ik zet niet gelijk mijn aluminium hoedje op, maar het zal niet de eerste keer zijn dat er mooi weer wordt gespeeld terwijl er wat serieuze zaken op de achtergrond hebben gespeeld (zoals een datalek / hack).

[juiced01]

Jep. Ook ontvangen. Er staat ook in:

“ Ga je iets bestellen?
Op dit moment vragen we je uit voorzorg om je eerstvolgende bestelling te betalen met iDeal, creditcard of Apple Pay. Zo weten we zeker dat jij het bent. “


Dit doen ze toch niet zomaar?

[M2M]

Te veel geneuzel de laatste tijd met geleende accounts door oplichters die gebruik maken van afterpay en legio iphones bestellen. Ik snap het wel

[ Voor 6% gewijzigd door M2M op 12-03-2020 11:41 ]

[BLACKfm]

Dat heb ik er ook in staan inderdaad.
Wehkamp heeft volgens mij wel van die mogelijkheden om je bestelling achteraf te betalen.

Tenzij de oplichter bij mij voor de poort gaat wachten tot de postbode komt zie ik meer in een oplossing dat wanneer het aflever adres anders is dan het factuur adres er niet achteraf betaald kan worden.
En ik krijg als het goed is ook wel een bevestigingsmail van de bestelling die ik op dat moment wel kan afzeggen als ik dat niet besteld heb.

[M2M]

BLACKfm schreef op donderdag 12 maart 2020 @ 11:46:
Dat heb ik er ook in staan inderdaad.
Wehkamp heeft volgens mij wel van die mogelijkheden om je bestelling achteraf te betalen.

Tenzij de oplichter bij mij voor de poort gaat wachten tot de postbode komt zie ik meer in een oplossing dat wanneer het aflever adres anders is dan het factuur adres er niet achteraf betaald kan worden.
En ik krijg als het goed is ook wel een bevestigingsmail van de bestelling die ik op dat moment wel kan afzeggen als ik dat niet besteld heb.

Wat ze doen is dat ze inloggen in je account, het bezorgadres wijzigen naar een portiekflat, bestellingen plaatsen met afterpay en voor de ingang van de flat wachten op de bezorger. Pakketje in ontvangst nemen en wegwezen.

[BLACKfm]

M2M schreef op donderdag 12 maart 2020 @ 11:55:
[...]

Wat ze doen is dat ze inloggen in je account, het bezorgadres wijzigen naar een portiekflat, bestellingen plaatsen met afterpay en voor de ingang van de flat wachten op de bezorger. Pakketje in ontvangst nemen en wegwezen.

Slechte beveiliging in de backend als dergelijke gegevenswijzigingen niet eerst worden bevestigd per mail.
Zaken achteraf laten betalen brengt zoveel risico's met zich mee dat je daar je systeem op moet aanpassen.

2FA inbouwen kan tegenwoordig overigens ook de moeite niet zijn. Er zijn in ieder geval wel tactischere maatregelen die je kunt nemen dan maar periodiek, zonder reden, een wachtwoord te resetten.

Ik krijg nooit mails van wehkamp, als mijn mailbox gehacked zou zijn weten de mensen die meekijken nu ook dat ik een wehkamp account heb. #NietZoParanoïdeDoen

[M2M]

BLACKfm schreef op donderdag 12 maart 2020 @ 13:51:
[...]


Slechte beveiliging in de backend als dergelijke gegevenswijzigingen niet eerst worden bevestigd per mail.
Zaken achteraf laten betalen brengt zoveel risico's met zich mee dat je daar je systeem op moet aanpassen.

2FA inbouwen kan tegenwoordig overigens ook de moeite niet zijn. Er zijn in ieder geval wel tactischere maatregelen die je kunt nemen dan maar periodiek, zonder reden, een wachtwoord te resetten.

Ik krijg nooit mails van wehkamp, als mijn mailbox gehacked zou zijn weten de mensen die meekijken nu ook dat ik een wehkamp account heb. #NietZoParanoïdeDoen

Wehkamp wil het zijn klanten zo gemakkelijk mogelijk maken om zoveel mogelijk spullen af te nemen. Als je pinpas en random reader pakken te lastig is, klik je op achteraf betalen. Dat dat in combinatie met hetzelfde-email-adres-en-wachtwoord-voor-elke-website niet zo'n goed idee is komen ze nu ook achter.

[BLACKfm]

Niks zo makkelijk als de eerste bestelling gewoon normaal te laten betalen middels Ideal of andere wijze van vooraf betalen. Je account aanmaken moet je overal doen.

Als het account éénmaal gemaakt is zie ik mensen nog niet zo snel elke keer een ander adres opgeven voor leveringen. Wijzigingen die achteraf plaatsvinden kun je best laten bevestigen per mail of 2FA.

In het verleden bij die postorder bedrijven ook gehad dat je een soort 'credibility' moest hebben om achteraf te kunnen betalen. Als je alleen maar producten van een paar tientjes koopt is achteraf betalen niet zo'n risico. Koop je ineens een product van 2000 euro dan kun je prima inbouwen dat zulke bedragen niet binnen het patroon vallen en vooraf betaald moeten worden.

Genoeg logischere 'veiligheidjes' die je kunt inbouwen dan op ogenschijnlijk willekeurige momenten het account maar 'deactiveren'.

Die pinpas en/of random reader of QR-code scanner pakken kan de moeite echt niet zijn.

Persoonlijk is de reden voor mij om achteraf te betalen op bol.com voornamelijk de reden dat bol.com een tussenhandelaar is bij diverse producten. Als je problemen krijgt met de achterliggende leverancier zit je te kutten met support.

Grote bedragen betaal ik ook liever achteraf bij een toko als Wehkamp, omdat dat soort zaken in het verleden niet al te stabiel in de markt stonden, maar als ik daar iets van 100-250 euro moet kopen tik ik dan zonder morren direct af op basis van het merk Wehkamp.