Kledingwinkel Guess meldt datalek aan klanten na ransomware-aanval

De Amerikaanse winkelketen Guess heeft een aantal klanten een brief gestuurd om hen op de hoogte te brengen van een datalek bij het bedrijf. De gegevens zijn gelekt na een ransomware-aanval in februari.

Guess heeft in elk geval vier klanten in de Amerikaanse staat Maine geïnformeerd via een brief over het datalek. Een woordvoerder van de kledingwinkel wilde tegenover ZDNet niet zeggen hoeveel klanten zijn getroffen en of het alleen om Amerikaanse klanten gaat. Volgens de melding bij de autoriteiten van de staat Maine zou het om totaal 1304 klanten gaan.

Volgens het onderzoek dat de winkelketen liet uitvoeren hadden de aanvallers van 2 februari tot en met 23 februari toegang tot het netwerk van Guess. Het datalek werd ontdekt op 26 mei. Er zouden Social security-nummers, rijbewijzen en bankrekeningnummers zijn gelekt.

Guess heeft in Nederland ook een aantal filialen, waaronder in Amsterdam, Rotterdam en Utrecht. Het is niet duidelijk of ook Europese winkels getroffen zijn door de ransomware-aanval in februari. Vooralsnog zijn alleen Amerikaanse klanten geïnformeerd over gelekte data.

De ransomware-groepering DarkSide zou achter de aanval zitten. Deze Russische groepering zat ook achter de aanval op een Amerikaans bedrijf voor oliepijpleidingen. Eerder deze maand wist de Nederlandse politie een server van de Darkside-groepering in beslag te nemen.

Reacties (62)

Waarom heeft Guess de rijbewijzen en/of social security nummers van hun klanten?

Goeie vraag, en exact deze vraag stelde ik toen ik bij de Bo-rent stond om een busje te huren. Het was een drukke zaterdag ochtend en mijn rijbwijs ging netjes onder de scanner en werd van boven en onder netjes ingescand. Omdat het ontzettend druk was en ik een verhuiszing had gepland, kan je wel stampij maken in die winkel maar dan krijg jij mooi je bus niet mee.

Achteraf een mail gestuurd over het waarom en wat er met die gegevens gebeurt werd er gereageerd dat het vernietigd werd na x dagen etc. Ik vroeg naar een bewijs van de vernietiging, maar dat konden ze niet geven. Blijft een wazig verhaal.

Ik vroeg naar een bewijs van de vernietiging, maar dat konden ze niet geven. Blijft een wazig verhaal.

Wat voor bewijs wil je dan? Het feit dat je al op mail hebt dat ze het na x aantal dagen vernietigen is toch alles wat ze kunnen bieden lijkt me.

In de datavernietigings"wereld" is het gebruikelijk om een getekende verklaring te krijgen waarbij 1 persoon de data vernietigt en tenminste 1 persoon getuige is. Dat geldt dan als bewijs.

En dat lijkt je niet een tikje overdreven in een onderneming waarin dagelijks honderden voertuigen worden gehuurd? En verder wat @bwerg zegt.. Het voegt niets toe, daar het volledig digitaal gaat.

Die getekende verklaring heeft m.i. weinig juridische inhoud. Neem 2 situaties:

- Je ID is gelekt bij Borent, en je hebt geen vernietigingsverklaring: Bo-rent is aansprakelijk.
- Je ID is gelekt bij Borent, en je hebt wel een vernietigingsverklaring: Bo-rent is aansprakelijk.

Als je met die verklaring iets wil zul je nog moeten aantonen dat het lek na de niet-uitgevoerde-vernietiging was.

Voor jou als particulier lijkt me dit niet zinvol. Tussen zakelijke contracten wel, daar je dan een overdracht van risico hebt geregeld. In het kader van "accept, mitigate, accept or transfer" kies je dan voor Transfer. Het risico van adequate vernietiging ligt dan contractueel heel duidelijk bij de partij die het gaat vernietigen. Het risico van datalek heb je dan getransferred. Omdat zij ook weer moeten aantonen dat het daadwerkelijk vernietigd is sturen ze je dan een bewijsje.

Belangrijk verschil is dat een vernietigingsbedrijf dan ook expliciet het risico op zich neemt op moment dat zij de archiefstukken in bezit hebben. Dat doet borent bij jou natuurlijk niet. Indirect door wetgeving wellicht, maar niet zo expliciet als tussen 2 ondernemingen.

Ik geef in dit geval expres mijn mening niet, natuurlijk vind ik het overdreven, je gaat niet na afloop van iedere verhuurde heggenschaar een vernietigingsbewijs overhandigen voor de persoonlijke gegevens van de klant. Het is echter wel voer tot nadenken, want ze gaan wel met je unieke gegevens om, en hoe meer dat bloot komt te liggen, hoe groter het risico op identiteitsdiefstal. Ik ben wel benieuwd van hoeveel mensen (inclusief mezelf) een database met gevoelige gegevens bij elkaar te sprokkelen is omdat bedrijven als Guess te veel info opslaan en niet netjes verwijderen.

Wat zegt zo'n bewijs dan? Dat er op een delete-knopje is gedrukt? Dat je een DELETE-statement hebt uitgevoerd? Dat gecontroleerd is of er geen back-ups zijn?

Het is een juridische stok achter de deur, meer niet natuurlijk. Maar dat motiveert bedrijven om het goed te regelen, want als die data dan alsnog lekt dan heb je een getekende verklaring om ze aansprakelijk mee te stellen.

Maar dat kan je toch niet verwachten van alle bedrijven. Bovendien snap ik perfect dat ze bij een voertuigenverhuur een rijbewijs vragen en dit inscannen. Ze moeten achteraf kunnen aantonen dat jij wel degelijk over het juiste rijbewijs beschikte (in de politiewereld geld een gewone verklaring van 1 iemand, zonder bevoegdheden dan nog, immers niet als een bewijs). Jij kan echter bvb ern nsmaak rijbewijs presenteren, de firma die het voertuig aan jou verhuurd heeft kan dat dan aantonen.

Bovendien kan er met het gehuurde voertuig vanalles gebeurd zijn, de identiteit van de bestuurder moet dus minstens even bewaard worden, niet dan?

En over de vernietiging, zoals ik al aangeef, of ze nu in een mail bevestigen dat het vernietigd wordt na x-aantal dagen/weken of je krijgt een papier met de effectieve bevestiging en een handtekening van een geruige erbij… de data is gelekt en bo-rent is verantwoordelijk.

Hoe moeten ze bewijzen dat het vernietigd is?
Je kan niet aantonen dat je iets niet hebt.

[Reactie gewijzigd door Deleon78 op 13 juli 2021 20:00]

Hooguit een video waarop alle bestanden verwijderd worden en het papierwerk door de shredder gehaald wordt, maar in de praktijk wil het nog wel eens in backups belanden (die dan eigenlijk ook nog aangepast moeten worden)

Afschrift getekend proces verbaal door twee bevoegde personen?

maar dan krijg jij mooi je bus niet mee.

Verwacht je dan dat ze je een bus van tientallen duizenden euro's meegeven zonder je identiteit en capaciteit om er in te rijden vast te leggen?

je kan je prima legitimeren zonder een kopie van je paspoort af te geven.
En dan naam + documentnummer paspoort opschrijven.

Ze vragen al een behoorlijk bedrag aan borg en naar ik geloof een dubbele identificatie (rijbewijs snap ik, maar paspoort/ID mwoah).

Maar je rijbewijs kunnen ze ook als identicatie gebruiken. 2 keer identificeren lijkt me wat veel van het goede.

Dit mogen ze als ze gebruik maken van Elena, van Bovag.
https://www.bovag.nl/elena

De 'protocollen' geven aan dat de maximale bewaringstermijn van gegevensregistratie 5 jaar bedraagt. Vind ik tamelijk lang voor het huren van een auto.

Gaat bij Elena niet om het huren van een auto. Het is een soort zwartelijst. Als jij netjes je auto terugbrengt (in de breedste zin van het woord, zoals op bovengenoemde URL) kom je hier niet in te staan.

Geheugen kopieermachine vol met geheimen

https://www.security.nl/p...rmachine+vol+met+geheimen

Een Amerikaanse zorgverzekeraar heeft meer dan 400.000 klanten en werknemers gewaarschuwd dat hun gegevens door een harde schijf in een kopieermachine op straat zijn beland. De kopieermachine was geleased en teruggebracht naar het leasebedrijf. De schijf stond nog vol met gegevens. Het ging onder andere om medische gegevens, social security nummers en geboortedata. Zorgverzekeraar Affinity Health Plan gaat voortaan de harde schijven eerst wipen voordat ze teruggaan.

Als net goed moeten ze hier een protocol voor hebben. Hoezo ze jou data verwijderen van de printer. Naast het vernietigen van de papieren afdruk.

Data verlies komt veel vaker voor dan men zelf beseft.

Toch staat het incident niet op zichzelf, zo blijkt uit een aflevering van CBS News. Het televisieprogramma waarschuwde onlangs dat er op veel tweedehands kopieermachines nog steeds vertrouwelijke gegevens staan. Tijdens een steekproef ontdekte men op twee machines die bij overheidsinstanties vandaan kwamen een lijst van gezochte zedendelinquenten door politie en een overzicht van gezochte drugsdealers. CBS ontdekte ook de harde schijf van Affinity Health Plan. Het ging onder andere om recepten, bloedtests en een kankerdiagnose.
"Je hebt het hier over het potentieel verpesten van iemands leven. Waar ze met ernstige sociale repercussies te maken kunnen krijgen", aldus beveiligingsexpert Ira Winkler. "Je moet enige verantwoordelijkheid nemen en beseffen dat deze kopieermachines in feite computers zijn, waar de data van moet worden verwijderd."

Als het jouw bus zou zijn, wat zou jij dan allemaal verlangen van de huurder? Als de huurder het huurbedrag heeft betaald is het goed genoeg voor jou? Of wil je toch wel wat bewijs v.w.b. de identiteit van de huurder?

Zal best dat een hoop klanten op afbetaling willen kopen oid, dan wil je toch wat extra info

Zal best dat een hoop klanten op afbetaling willen kopen oid, dan wil je toch wat extra info

Als ik in Nederland iets op afbetaling koop hoef ik die zaken toch ook niet te overleggen?
Of wel?

Hier in Nederland wordt je profiel opgemaakt door speciale bureaus - die veelal weer in Tiel kijken of jij braaf geweest bent. Of via o.a. Experian en Informdata.nl of een partij zoals Arvato..

Op 1 of andere manier komt men echt op hele shady wijze aan een risico profiel in Nederland, wat ook nog eens per store verschilt. In de States kan je dit als bedrijf veel makkelijker toetsen n.a.v. fico score.

Met shady bedoel ik dus dat als je data niet te herleiden is aan jouw als persoon, denk aan IP/mobiel nummer, geboortedatum/ adres etc allerlei factoren: dan kan je clean bestellen. Dat het niet berust is op feiten, maar vage databases van gegevens waar jij, nog ik weet van hebben waar het allemaal vandaan kwam... AVG en Privacy zijn niet zo heel lang een ding waar je als consument recht op hebt. En hier zitten ook weer financiële mazen in.

Lang verhaal kort: betaal lekker gelijk - dan hoef je ook niet bang te zijn dat een webwinkel vanalles van je wilt weten en dus bewaren. Of bedenk goed wat je bij een winkel achterlaat. Ik heb niet voor niets een prepaid CC waarmee ik direct via iDeal kan opladen. Ik wens de dief daarmee succes die een grote aankoop wil doen.

Met shady bedoel ik dus dat als je data niet te herleiden is aan jouw als persoon, denk aan IP/mobiel nummer, geboortedatum/ adres etc allerlei factoren: dan kan je clean bestellen.

Die zaken zijn wel allemaal persoonsgegevens volgens AVG/GDPR.

Postcode + huisnummer + geboortedatum betaald op adres A niet.

Nieuw persoon komt op dat adres wonen en deelt toevallig dezelfde geboortedatum en wordt geweigerd op kopen op rekening.

Hierboven is dan officieel niets gekoppeld aan een persoon. Maar eerder aan zo’n soort shady risico profiel hoe we in NL dat laten samenstellen. De exacte manier weet ik niet meer maar dan krijg je een idee wat ik bedoel met niet koppelen van data aan een persoon l.

Aan 1 kant zou een opener betaal portaal beter zijn, ik vind dat na goedkeuring bijv een bedrijf best mag nagaan bij andere bedrijven waar ik diensten afneem of ik een Ok betaler ben. Nu kan 1 foutje bij Tiel langdurige gevolgen hebben. Of wordt je al uitgesloten op basis van een adres of ander “slim” algoritme terwijl het gewoon vragen en vanuit financiële dienstverlening bevestigen dat ik goed betaal imho meer waard is dan alleen mijn loonstrookje kan beamen.. al is dat een geheel andere discussie

In Europa heb je in de meeste landen een identiteitskaart, in de VS en de VK bestaat dit niet en moet je met andere documenten je identiteit bewijzen.

Dat bestaat wel degelijk in de vS.
Waar jij waarschijnlijk mee in de war bent, is dat er naast het US paspoort geen federale identiteitskaart is. Maar de afzonderlijke staten hebben gewoon identiteitskaarten.
En bovendien is er de naast het US paspoort ook de "US passport card" wat in de praktijk volgens mij vrijwel identiek is aan wat wij als identiteitskaart hebben.
https://en.wikipedia.org/...ents_in_the_United_States

Het rijbewijs is vaak de enige vorm van legitimatie die vele Amerikanen hebben, de enige vorm van identiteitskaart die door de overheid is uitgegeven.

In Nederland heeft men voor een controle van kredietwaardigheid ook je BSN nodig, in België je NN. In de VS is dat dus je SSN.

Af wat dacht je, dat je hier een krediet kunt krijgen zonder een controle op je identiteit en kredietwaardigheid?

Kopen op rekening wordt dacht ik nog niet gezien als kredietwaardigheid, niet hoe we het in Nederland gebruiken. Dat zal in de VS anders zijn, maar die regelgeving is helemaal omgedraaide wereld zo lijkt het.

Bij de mediamarkt moet je ook foto van je identiteitsbewijs en bankpas uploaden. Daarnaast is een bewijs nodig van je inkomsten en lasten bij een bedrag van boven de 1000 euro.

Volgens mij is dat gewoon verplicht voor het aangaan van een lening.

Geen idee of dit een betrouwbare bron is:
https://nederlandskrediet...een-lening-aanvragen.html

[Reactie gewijzigd door e.dewaal op 13 juli 2021 19:22]

En als het niet verplicht is, is het gewoon heel verstandig van de geldschieter.

tenzij je in de VS woont is dat waarschijnlijk niet van toepassing voor jou. Elk land heeft zo zijn eigen wetgeving en zaken die bedrijven moeten/mogen vragen

Take a guess.

Tja, het lijkt inmiddels onvermijdelijk dat je gegevens een keer worden gelekt.
We moeten zorgen dat ze vervolgens niks met die data kunnen. Creditcard moet dus eigenlijk verplicht met een 2fa komen, betere spamfilters zodat phising ook niet mogelijk is, etc etc. En natuurlijk voor elke site een ander wachtwoord

Dan ook elk jaar verhuizen, een nieuw telefoon nummer, naam en geslachtswijziging en dan ook meteen een nieuw BSN nummer (wat helemaal niet mogelijk is)

Het systeem zal moeten veranderen, zodat ze niets met die data kunnen. Dat ze me bellen zal me worst wezen, elk spam belletje wordt automatisch al genegeerd. Vroeger stond je ook met je gegevens in t telefoonboek. BSN snap ik niet dat in NL dat zo'n impact kan hebben, dat is al een design fout

Hoe meer informatie men van je heeft, hoe moeilijker het zal zijn om phising van realiteit te onderscheiden.

Mogelijke phishing moet je ook niet beoordelen op de informatie die men over jou heeft, maar met de informatie die jij over hen (de persoon/het bedrijf dat ze zeggen te zijn) hebt.
Krijg je een mail van een bedrijf die zeggen dat er nog een rekening op staat, log in op de website die je normaal ook gebruikt om met dat bedrijf te communiceren en kijk of er een rekening open staat, of bel/mail met ze via de contactgegevens op de site. Volg nooit links in emails,

Op zich geen probleem dat BSN niet wijzigbaar is (is ook logisch, je blijft hoe dan ook dezelfde persoon). Het probleem zit hem in het beschouwen van het bsn als geheim en op het kennen van een nummertje hiervan besluiten nemen. Bsn is niets anders dan je username.

[Reactie gewijzigd door Deleon78 op 13 juli 2021 20:03]

Ja ik vind het ook raar dat een BSN praktisch onveranderbaar is. Dat is een keuze, en behoorlijk stom na de problemen die we meemaken.

Uit het boek 'komt een vrouw bij de hacker' ook een verhaal van een man die meerdere men per jaar door de politie van z'n bed gelicht word omdat zij wéér zijn gegevens niet op orde hebben, doodat zijn bsn niet veranders. Leuk he, identiteitsfraude?

Ik kan bij veel zaken niets zonder in te loggen op mijn creditcard site en daar te bevestigen middels een sms, of all things - Eigenlijk is dat een beetje 3FA dus.

Ik gok dat dit ligt aan waar je iets koopt, niet zo zeer aan de Creditcard partij.

2fa is sinds dit jaar verplicht bij aankopen met je credit card.

https://www.dnb.nl/actuee...aankopen-met-credit-card/

Afstappen van wachtwoorden is al een stap in de goede richting. Het is een illusie om te denken dat het ooit gaat lukken dat iedereen per site een ander password gaat gebruiken. Je moet iets hebben om de identiteit van de persoon te kunnen checken. Wachtwoorden zijn daar niet geschikt voor. Als ik het briefje dat veel mensen ergens hebben liggen weet te bemachtigen kan ik me al voordoen als die persoon. Zo'n systeem kan per definitie nooit veilig gemaakt worden. Ook niet met 2FA, want dat vereist weer dat mensen altijd hun telefoon moeten beveiligen.

Elke dag komt er wel een datalek aan het licht. Ik vraag mij eerder wat er aan de hand is want ik kan mij niet herinneren dat er ooit zoveel datalekken zijn geweest.

Tien jaar terug zat je geloof ik al gemiddeld in 300 databases. Neemt alleen maar toe, dus kans op lekken ook.

Je weet niet hoeveel data lekken er 10 jaar geleden waren. Maar ga er maar van uit dat databases toen lekker waren dan nu. Domweg omdat er geen regelgeving was.

Heeft dat er niet mee te maken dat ze tegenwoordig verplicht zijn om het openbaar te maken? ( kan me iets van tweakers herinneren over dat onderwerp).

Er valt geld mee te verdienen. Veel geld. En dat trekt criminele organisaties aan die geld kunnen en durven investeren om er veel meer uit te halen. Enkele miljoenen investeren in het vinden van exploits om dan tientallen miljoenen te kunnen gaan innen van je criminele feiten.

Wat moet een kledingwinkel met een kopie rijbewijs is het eerste wat in mij opkomt en wat ik het meest frappante vind. Want van een datalek schrik ik niet meer, dat is bijna dagelijks nieuws geworden.

Vaak de enige vorm van legitimatie in de VS. Als je dus je identiteit moet bewijzen dan is het rijbewijs vaak de enige manier dat dat kan in de VS.

De VS hebben inderdaad geen nationale ID-kaart, dat is een idee wat vaak op basis van burgerrechten wordt verworpen. Daarmee zijn rijbewijzen en het Social Security-nummer het enige wat er in de praktijk een beetje van in de buurt komt (en dat is een beveiligingsramp). Het enige federale ID-bewijs is het paspoort maar daar hebben Amerikanen betrekkelijk weinig aan daar het mogelijk is om grote afstanden te rijden zonder het land te verlaten, dat lukt in Europa bijvoorbeeld niet.

Een korte blik op wiki laat zien dat er weinig klopt van jouw verhaal:
https://en.wikipedia.org/...ents_in_the_United_States

Dat amerikanen weinig behoefte hebben aan ID kaarten is heel wat anders dan dat ze er niet zouden zijn.
Ze hebben beschikking over meer identiteitsbewijzen dan wij.

Ik gok dat deze bij de afdeling HR buitgemaakt zijn. Dat is niet een ongewoon doel van ransomware groepen.

Dit is een patroon geen incident. Het lijkt mij dat opslag van persoonsgegeven door bedrijven het probleem is. ik zie daar geen oplossing voor (dat blijven ze toch wel doen). Dan blijft over: de waarde en bruikbaarheid van NAW gegevens omlaag brengen.

Of de criminaliteit bestrijden.....

Als bedrijven het niet zelf opslaan moet je een centraal systeem hebben. Maar als daar wat mee gebeurt is er echt stront aan de knikker. Is dus geen verbetering. En je ontkomt er niet aan dat er zaken moeten worden opgeslagen.

Je moet een systeem hebben waarbij je pas "iemand" bent als je ook informatie hebt die niet kan worden opgeslagen. Maar goed, ga dat maar eens wereldwijd invoeren...

via een brief?

Er was nog een Rolodex en typmachine beschikbaar.

kopie maken en printen en na terug brengen krijg je de kopie mee of doe je hem ter plekke daar door de papierschredder.

Nogal ver gezocht om over een data lek in Amerika te berichtten. Waarbij van 1300 klanten hun gegevens zijn gelekt.. is het komkommertijd ?

Over heel de wereld worden dagelijks vele bedrijven gehacked waarbij data gestolen wordt.