[online.nl] datalek online.nl / Xtrasource / Webhelp

[luchthaak]

Hallo mede tweakers,

ter info, zojuist vond ik onderstaande mail in mijn mailbox:


Informatie over jouw gegevens

Beste xxx,

Online.nl werkt samen met Xtrasource, een dochterbedrijf van klantenservicebedrijf Webhelp. In mei is Xtrasource getroffen door een cyberaanval. Door deze aanval zijn persoonlijke gegevens openbaar geworden. In deze e-mail willen we je hier graag wat meer over vertellen.

Wat is er precies gebeurd?
Volgens Thomas Blankvoort, CCO van Webhelp Nederland en managing director van Xtrasource, had het bedrijf in mei te maken met verschillende storingen. Vermoedelijk zijn die veroorzaakt om ongemerkt bestanden te kunnen stelen. Toen dit duidelijk werd, zijn de politie en de Autoriteit Persoonsgegevens direct geïnformeerd.

Wat betekent dit voor jou?
Omdat Online.nl samenwerkt met Xtrasource voor de dienstverlening van onze klanten, kan dit betekenen dat jouw gegevens mogelijk ook zijn uitgelekt. Het gaat dan om naam, adresgegevens, e-mailadres en IBAN. Ondanks dat de kans op fraude met alleen deze gegevens zeer beperkt is, willen we dit uit voorzorg met jullie delen.

Wat kun jij doen?
We raden je aan om activiteiten op je bankrekening goed in de gaten te houden. Aarzel niet om je bank om meer informatie te vragen als je een transactie niet herkent.
In de afgelopen 12 maanden zien we dat er een toename is in phishing. Dit is een vorm van online oplichting, waarbij criminelen uit zijn op je inlog- of rekeninggegevens.

Als consument is het dus belangrijk om hier altijd alert op te zijn. Wij zullen bijvoorbeeld nooit om inloggegevens vragen of vragen om in te loggen. Check daarnaast altijd goed of de linkjes om in te loggen echt naar onze eigen omgeving gaan, zoals https://www.online.nl/mijnonlinenl/ en https://webmail.online.nl/.

Meer weten over hoe je phishing e-mails kunt herkennen? Check onze blog!


Vragen?
Heb je nog vragen? Neem dan contact op via 020 517 4780 (lokaal tarief).

Onze excuses voor het ongemak.

Met vriendelijke groet,
Christiaan Puper

[luchthaak]

Gerelateerd aan bovenstaande, hoe lang is het reëel dat een provider je gegevens bewaard? ik ben inmiddels 6.5 jaar geen klant meer bij online. Lijkt mij niet netjes als ze je dan nog steeds je IBAN bewaren, want die hebben ze niet nodig.

[japser84]

Het zelfde hier. Ik ben al 6 jaar heen klant meer! Waarom worden mijn gegevens bewaard. ( Kleine lettertjes waarschijnlijk)

[Gwaihir]

Idem. En al 7 jaar geen klant meer..

[slaay]

luchthaak schreef op dinsdag 27 juli 2021 @ 15:29:
Gerelateerd aan bovenstaande, hoe lang is het reëel dat een provider je gegevens bewaard? ik ben inmiddels 6.5 jaar geen klant meer bij online. Lijkt mij niet netjes als ze je dan nog steeds je IBAN bewaren, want die hebben ze niet nodig.

Uit de actuele privacyverklaring (https://m7cdn.io/online/pdf/privacyverklaring_online.nl.pdf) op pagina 6:

"G. BIJHOUDEN VAN GEGEVENS
We houden uw persoonsgegevens slechts zo lang bij als nodig is om de doeleinden te realiseren waarvoor we ze hebben verzameld, met inbegrip van doelstellingen om aan wettelijke, boekhoudkundige of rapporteringseisen te voldoen. Bij de bepaling van de geschikte bewaarperiode voor persoonsgegevens houden we rekening met de hoeveelheid, de aard en de gevoeligheid van de persoonsgegevens, het potentiële risico op schade ten gevolge van een ongeoorloofd gebruik of bekendmaking van uw persoonsgegevens, de doeleinden waarvoor we uw persoonsgegevens verwerken en het antwoord op de vraag of we die doeleinden op andere manieren kunnen realiseren en de toepasselijke wettelijke vereisten.
In sommige gevallen kunt u ons vragen om uw gegevens te verwijderen: zie Verzoek tot verwijdering hieronder voor meer informatie. In sommige gevallen is het mogelijk dat we uw persoonsgegevens voor onderzoeks- of statische doeleinden anonimiseren (zodat ze niet langer met u in verband kunnen
worden gebracht). In dat geval kunnen we die informatie voor een onbepaalde tijd gebruiken zonder dat we u daarvan op de hoogte houden."

Het is erg vaag opgeschreven, maar je zou sowieso een verzoek kunnen doen met welke termijnen ze aanhouden. Op basis daarvan zou je verdere stappen kunnen ondernemen mocht blijken dat 6 of 7 jaar langer is dan dat ze je gegevens zouden bewaren.

[Zen1581]

Bedrijven zijn vaak verplicht om (veel) gegevens te bewaren omdat ze aan de Belastingdienst moeten kunnen laten zien dat alles wel klopt. Voor “normale” bedrijven geldt een bewaartermijn van 7 jaar, voor zaken die te maken hebben met (o.a.) telecommunicatiediensten, waaronder dus internet, geldt dat ze het minstens 10 jaar moeten bewaren. De AVG zal wat dat betreft ook geen extra bescherming met zich meebrengen tegen deze bewaartermijn, gelet op het feit dat het bewaren hiervan wettelijk verplicht is.

Wel is het gelet op dataminimalisatie natuurlijk de vraag wat ze mogen bewaren voor die tijd. Ik kan me voorstellen dat de belastingdienst graag wil kunnen terugherleiden wie welk bedrag heeft overgemaakt, dus naw- en ibangegevens vind ik eigenlijk zo gek nog niet.

Meer info: https://www.belastingdien...ondernemen/administratie/

[ Voor 7% gewijzigd door Zen1581 op 28-07-2021 14:35 . Reden: Link toegevoegd naar website belastingdienst ]

[Jerrythafast]

Hier nog iemand die deze mail heeft ontvangen Was ooit klant bij Online. In augustus 2012 overgestapt naar Ziggo. Dat is bijna 9 jaar geleden dus

[Thijsmans]

@Zen1581 Ik denk dat je de financiële administratie en een CRM-tool wel los van elkaar moet zien.

Dat je de administratie zelf een aantal jaren moet bewaren om aan te tonen wat je omzet is geweest, betekent natuurlijk nog niet dat je het IBAN-nr zélf ook moet bewaren in de CRM-tool. Vanuit oogpunt van privacy-by-design en bovenmatige gegevensverwerking, valt er best wat voor te zeggen dat financiële gegevens daaruit verwijderd moeten worden na het beëindigen van de financiële relatie. Je hoeft immers geen customer relation meer te managen Denk bovendien ook aan artikel 32 van de AVG: tref organisatorische maatregelen om een inbreuk zo klein mogelijk te maken, door alleen van actuele klanten gegevens te verstrekken aan een verwerker.

[Webgnome]

ah gelukkig ben niet de enige die deze mail heeft gehad. En ook zoals bij anderen heb ik al heel lang geen online meer. Ik kan het niet eens meer terug vinden in mijn keepass en dat is toch al weer wat jaartjes oud. Toen ik de webcare afdeling vroeg of ze kunnen checken welke gegevens ze nog van mij hadden kreeg ik te horen dat er niks onder de huidige gegevens bekend was. Op basis van het e-mail adres mochten ze ook niks doorgeven. Handig.

[duikje]

Bij mijn weten ben ik nooit klant geweest bij Online.nl en ik heb vandaag ook de email gehad met de correcte voorletters en mijn correcte achternaam.
Het enige wat ik me kan bedenken dat ik indertijd internet gehad heb via hun of een voorloper/overgenomen bedrijf onder de paraplu van een bedrijf waar ik 15 jaar geleden voor gewerkt heb en die dat op die manier sponsorde.

[thof]

duikje schreef op woensdag 28 juli 2021 @ 16:06:
Bij mijn weten ben ik nooit klant geweest bij Online.nl en ik heb vandaag ook de email gehad met de correcte voorletters en mijn correcte achternaam.
Het enige wat ik me kan bedenken dat ik indertijd internet gehad heb via hun of een voorloper/overgenomen bedrijf onder de paraplu van een bedrijf waar ik 15 jaar geleden voor gewerkt heb en die dat op die manier sponsorde.

Wat ik mij kan herinneren: Euronet -> Wanadoo -> Orange -> T-mobile -> Online -> T-mobile Online -> Online.nl
Zelf stam ik uit de Wanadoo tijd en mij abonnement is net deze maand gestopt. Nog geen mail gezien, althans niet in het hoofd Online mailaccount, zal nog even het niet-Online account laten checken.

Edit:
- T-mobile is niet dezelfde T-mobile die ook mobiele telefonie abonnementen deed mee ik.
- Hier nog altijd de mail niet ontvangen, zou ik er dan niet bij gezeten hebben? Door de jaren heen echt wel contact gehad met de klantenservice.

[ Voor 14% gewijzigd door thof op 28-07-2021 16:50 ]

[duikje]

thof schreef op woensdag 28 juli 2021 @ 16:11:
[...]


Wat ik mij kan herinneren: Wanadoo -> Orange -> Online -> T.mobile? -> Online.nl
Zelf stam ik uit de Wanadoo tijd en mij abonnement is net deze maand gestopt. Nog geen mail gezien, althans niet in het hoofd Online mailaccount, zal nog even het niet-Online account laten checken.

Heb de email op mijn gmail account binnengekregen .
Is er een connectie met T-Mobile, kunnen ze daar klantgegevens van in hun database hebben staan want daarvan heb ik al jaren een telefoonabonnement en daar is ook het gmail account bekend?

[king006]

@duikje,

Dat lijkt me onlogisch. Online.nl heeft namelijk niets met T-Mobile Mobiel te maken.
Heb je nooit bij Wanadoo of Orange -> Online gezeten?

[thof]

duikje schreef op woensdag 28 juli 2021 @ 16:14:
[...]

Heb de email op mijn gmail account binnengekregen .
Is er een connectie met T-Mobile, kunnen ze daar klantgegevens van in hun database hebben staan want daarvan heb ik al jaren een telefoonabonnement en daar is ook het gmail account bekend?

Hier nog geen bericht op gmail account gehad en niet op het hoofdaccount van Online. Bijzonder.
Verwacht het niet, T-mobile mobiel is volgens mij gescheiden van wat men toen aanbood voor DSL.

[duikje]

king006 schreef op woensdag 28 juli 2021 @ 16:25:
@duikje,

Dat lijkt me onlogisch. Online.nl heeft namelijk niets met T-Mobile Mobiel te maken.
Heb je nooit bij Wanadoo of Orange -> Online gezeten?

Nope hoogstens via dat paraplu contract bij een werkgever 15 jaar geleden

UPDATE:
Mysterie is opgelost, is indertijd inderdaad Orange -> Online geweest en ik heb dat contract veel langer gehad als ik me kan herinneren, laatste factuur is van 2014. Toen van DSL naar kabel omdat er toen glasvezel gelegd werd door de kabelprovider en jaar daarna over op glasvezel.

[ Voor 30% gewijzigd door duikje op 28-07-2021 16:55 ]

[luchthaak]

@slaay dank voor de info, via de comments in het nieuwsitem kwam het volgende langs wanneer je wilt checken welke gegevens ze allemaal van je bewaard hebben:

[e-mail] (via: Blackouts in 'nieuws: Datalek bij leverancier van Online.nl betrof 'mogelijk'... )

[pa3fre]

Contact opgenomen met Online, zij weigeren verder ook maar iets te regelen en verwijzen naar Xtrasource. Ben nu ruim 7 jaar geen klant meer, maar was dat wel vanaf de 90er jaren (toen Euronet). Zie niet in waarom mijn gegevens bij een externe partij gestald zijn, ook na alle wettelijke bewaartermijnen. Ook nooit expliciet toestemming daarvoor gegeven.

[True]

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

[Gwaihir]

pa3fre schreef op donderdag 29 juli 2021 @ 09:56:
Contact opgenomen met Online,

Hoe?

zij weigeren verder ook maar iets te regelen en verwijzen naar Xtrasource. Ben nu ruim 7 jaar geen klant meer, maar was dat wel vanaf de 90er jaren (toen Euronet). Zie niet in waarom mijn gegevens bij een externe partij gestald zijn, ook na alle wettelijke bewaartermijnen. Ook nooit expliciet toestemming daarvoor gegeven.

Dat lijkt mij niet verstandig van ze.. als je inderdaad een beroep op je wettelijke rechten hebt gedaan. Ik heb er een mailtje naar dat privacy-adres aan gewaagd.

Verwacht dat het overladen wordt en antwoord lang duurt, maar wel komt. Want dat naast ze neerleggen, terwijl ze al met de billen bloot liggen bij de AP, lijkt me een erg onverstandige actie.

Is ook zo'n beetje de enige tegenzet die je m.i. kunt doen: als ze leren dat zoiets véél werk oplevert, hebben ze een motivatie tot beter opletten.

[Jerrythafast]

pa3fre schreef op donderdag 29 juli 2021 @ 09:56:
Contact opgenomen met Online, zij weigeren verder ook maar iets te regelen en verwijzen naar Xtrasource. Ben nu ruim 7 jaar geen klant meer, maar was dat wel vanaf de 90er jaren (toen Euronet). Zie niet in waarom mijn gegevens bij een externe partij gestald zijn, ook na alle wettelijke bewaartermijnen. Ook nooit expliciet toestemming daarvoor gegeven.

Oei, dat is niet hoe het in de wetgeving (AVG et al) is geregeld. Online mag Xtrasource in de arm nemen om de persoonsgegevens namens hen te verwerken, maar ze zijn nog steeds zelf verantwoordelijk voor die gegevens. Om dezelfde reden zijn zij zelf ook degene die het datalek moesten melden bij de AP. Desgevraagd (via het privacyverklaring e-mailadres) zijn ze verplicht je volledig te informeren, doorschuiven naar een derde partij is expliciet verboden. Gewoon terugmailen dus, op je strepen blijven staan. CC'tje naar de AP erbij