MediaMarkt: 'er zijn geen klantgegevens gestolen bij ransomwareaanval'

Er zijn geen klantgegevens van MediaMarkt gestolen bij de ransomwareaanval van deze week. Dat meldt het bedrijf aan het AD en HLN. Het is inmiddels ook weer mogelijk om bestellingen te retourneren en producten aan te melden voor reparatie.

"Na uitgebreid onderzoek kunnen we zeggen dat er geen klantgegevens zijn gestolen", vertelt een MediaMarkt-woordvoerder aan het AD. De klantdata is volgens het bedrijf 'volledig veilig'. De winkels van het bedrijf zijn inmiddels ook weer open om bestellingen om te ruilen, te retourneren en voor reparatie aan te bieden. Het afhalen van bestellingen is nog niet mogelijk in de 49 Nederlandse vestigingen van de winkelketen.

MediaMarkt werd afgelopen maandag getroffen door de Hive-ransomware. Het bedrijf spreekt tegenover HLN over een 'zeer gerichte' aanval op de IT-infrastructuur van het bedrijf. De ransomwarecriminelen richtten zich bijvoorbeeld op Windows Server en Microsoft Active Directory, waarvan het bedrijf gebruikmaakt.

Volgens RTL Nieuws onderhandelt MediaMarkt momenteel met de Hive-ransomwarebende, die omgerekend 43 miljoen euro aan losgeld zou eisen. MediaMarkt wil die informatie vooralsnog niet bevestigen.

Reacties (91)

[kodak]

Wat is voor Mediamarkt de definitie van klantgegevens? En waarom noemen ze het niet gewoon persoonsgegevens, waar duidelijke wetgeving voor bestaat?

[SunnieNL]

Omdat persoonsgegevens een aantal zaken niet bevatten, zoals creditcards en eerdere bestellingen. En die gegevens vallen wel onder klantgegevens.

[R4gnax]

Omdat persoonsgegevens een aantal zaken niet bevatten, zoals creditcards en eerdere bestellingen.

Volgens de wettelijke definitie zijn alle gegevens die herleid kunnen worden naar een identificeerbaar natuurlijk persoon of ies over die persoon beschrijven, een persoonsgegeven. Het nummer van je credit card is een persoonsgegeven. Als je met die creditcard elders betaalt weet men dat daar dezelfde persoon achter zit. Jouw bestelgeschiedenis zegt iets over je productinteresses en de frequentie van bestellingen beschrijft je koopgedrag. Daarmee is dat dus ook een (set) persoonsgegeven(s).

[tweaker2010]

Snap wat je bedoelt, maar zo zwart-wit is het niet in de praktijk. Vind het dan ook nogal typisch dat MM met zekerheid durft te beweren dat er geen klant gegevens zijn buitgemaakt. Klant gegevens is een nietszeggende term, laten we voor het gemak uitgaan van persoons gegevens. De AP zegt hier het volgende over:

Er is op grond van de Algemene verordening gegevensbescherming (AVG) geen concrete bewaartermijn voor persoonsgegevens. Organisaties bepalen zelf hoe lang zij persoonsgegevens bewaren. Hierbij kijken zij naar hoe lang de gegevens nodig zijn voor het doel waarvoor deze zijn verzameld of worden gebruikt.
https://www.autoriteitpersoonsgegevens.nl/nl/over-privacy/persoonsgegevens/bewaren-van-persoonsgegevens

[kodak]

Zolang Mediamarkt niet duidelijk maakt wat ze onder klantgegevens (of klantdata, zoals in de bron staat) verstaan kunnen we wel gaan raden, maar dat maakt het er niet duidelijk op wat er wel en niet getroffen is.

Een van de redenen om dit heel duidelijk te krijgen is dat het wettelijk nogal wat uit maakt om welke gegevens het precies gaat. Zolang Mediamarkt dus onduidelijk blijft valt niet uit te sluiten waar klanten rekening mee moeten houden. Natuurlijk mag je als klant wel wat vertrouwen hebben dat Mediamarkt het niet mooier probeert voor te stellen dan het is, maar ondertussen heeft wel in het nieuws gestaan dat het bedrijf tot de conclusie was gekomen dat hun WWS systeem getroffen is. Dat stelt niet gerust dat het dus niet om gegevens gaat die betrekking op klanten hebben.

[Super_Fred]

Een getroffen bedrijf is verplicht haar klanten te informeren over een datalek waar persoonsgegevens bij betrokken zijn. Mediamarkt heeft op geen enkele wijze geprobeerd dit onder de pet te houden en ook de AP kijkt mee. Aangezien ik als klant geen brief of mail van Mediamarkt heb ontvangen, heb ik er wel vertrouwen in dat in elk geval mijn persoonsgegevens niet zijn gelekt. Dat zou dus (in mijn geval) aansluiten bij het verhaal van Mediamarkt.

[kodak]

Bij een datalek is er een meldplicht bij de toezichthouder. Of een bedrijf het ook aan klanten moet melden hangt er vanaf of er voor de klanten een hoog risico is. Dat is een risico op lichamelijke, materiële of immateriële schade voor de betrokken personen. Maar zelfs als dat het geval is (wat dus afhangt van wat Mediamarkt onder die gegevens verstaat en of ze de juiste keuze maken) is er geen duidelijkheid wanneer dat precies moet gebeuren. Dus dat je in nog geen twee dagen niets hebt vernomen zegt helaas niet zoveel.

[Reactie gewijzigd door kodak op 23 juli 2024 20:56]

[The_Real_Angel]

De AP definieert dat bij een datalek dit altijd om persoonsgegevens gaat. Dus bij een datalek is er altijd sprake van ongeautoriseerd toegang tot persoonsgegevens. Klantgegevens hoeven niet per definitie herleidbaar te kunnen zijn naar een natuurlijk persoon. Mediamarkt heeft haar woordkeuze in deze zorgvuldig gekozen.


Bron:
https://autoriteitpersoon...ing/meldplicht-datalekken

[VictorK]

Een creditcardnummer is ook een persoonsgegeven.

[aikebah]

Maar mag niet door Mediamarkt worden opgeslagen

[Upsilon]

In principe zijn er weinig tot geen redenen om creditcardnummers of bankrekeningnummers op facturen langer dan 7 jaar te bewaren

[Broud]

Beiden zijn ook persoonsgegevens.

[stok]

Misschien omdat het ene personele gegevens uitsluit en het andere niet.

[Gwaihir]

Dus die vingerafdrukken van personeel, waar heisa om was, zijn wellicht wel uitgelekt..

[Niels.68]

En daar kun je niets mee. Is geen fotootje o.i.d van je vingertop.

[mjtdevries]

Daar kun je juist wel wat mee. Juist omdat het niet een simpel fotootje van je vingertop is.
Mits de biometrische data ergens centraal opgeslagen is.

[Reactie gewijzigd door mjtdevries op 23 juli 2024 20:56]

[Sanchaz12]

De vingerafdrukscanners die gebruikt worden zijn van Suprema, volgens de informatie die ik heb kunnen vinden worden vingerafdrukken niet als foto opgeslagen.
Uit het artikel: "Raw images of the fingerprints / faces are never stored in the device or server. All data is stored in templates which encrypted
by 128bit AES, 256bit AES, DES/3DES depending on the designated storage location. (i.e. Device, Server and/or Smart card)"

Bron: https://www.supremainc.co...als/20190218104806986.pdf

[mjtdevries]

Maar de cruciale informatie is ook niet de "raw images" van de vingerafdruk.
De cruciale informatie is de herkenningspunten die door de software/hardware gedefinieerd worden en die gebruikt worden op een vingerafdruk te verifieren.
Zodra je die informatie hebt, kun je het ook misbruiken.

Maar tegenover een leek vertellen dat je de ruwe foto van de vingerafdruk niet opslaat, klinkt natuurlijk wel heel mooi voor die leek.

Dat is net zoiets als vertellen dat je bij een fysieke sleutel niet een ruwe foto van de sleutel opslaat. Maar ondertussen heb je wel precies vastgelegd hoe de zijkant van de sleutel gekarteld is en waar de gaten in de zijkant zitten. M.a.w. je hebt precies alle informatie die je nodig hebt om de sleutel te dupliceren.

[Reactie gewijzigd door mjtdevries op 23 juli 2024 20:56]

[Eld0]

Ik weet niet hoe het in Nederland zit maar in Mediamarkt België zijn we verplicht onze identiteitskaart te laten uitlezen voor we iets kunnen afrekenen, ze zeggen er dan altijd bij “uw identititeitskaart is onze klantenkaart” …

[BladeSlayer1000]

Ik heb hier nog nooit van gehoord in Nederland. Volgens mij mogen ze dat gezien de AVG ook niet.

[batjes]

In Nederland mag dat zeker niet!

Ik woon niet in België, maar wat ik zo even bij elkaar Google, mag het in België zolang het optioneel is. Bij ons is een BSN een speciaal persoonsgegeven, waar maar een select aantal partijen gebruik van mogen maken.

[xSNAKEX]

Je ID kaart uitlezen!=BSN uitlezen. Ik maak er hier ook plasticcontainers mee open puur als identificatie dat ik in NL woon.

[Blaatpraat]

Je bent het niet verplicht, en kan dat perfect weigeren.
Alleen heb je dan inderdaad geen promoties, moet je de bonnetjes sparen voor garantie, en hebben zij geen koppeling tussen je persoonsgegevens en je aankopen.

[b12e]

Ik zeg altijd dat ik een buitenlands paspoort heb. Dan vragen ze enkel je postcode.

[Blokker_1999]

Dan mag jij mij eens zeggen welke MM dat is. Het gebruik van de identiteitskaart is ALTIJD optioneel en kan gebruikt worden om de garantie van het product aan jouw identiteit te koppelen. Je bent NIET verplicht je kaart te geven, gewoon vriendelijk bedanken voor het aanbod.

[pharmacist]

Je bent niet verplicht, maar gaan gewoon zagen dat je dan moeilijker je garantie kunt afhandelen en ZEKER geen bonnetjes mag verliezen blablabla. Je kunt altijd zeggen: wat jullie vragen is in strijd met de GDPR-regels.

[gedonie]

Het vragen om legitimatiebewijs en enkel inzien is in Nederland in ieder geval niet tegen de AVG. Sterker nog volgens de autoriteit persoons gegeven valt dit niet onder de AVG. Dit omdat er geen gegevens verwerkt worden.

Dit staat wel los van het feit of er juridisch het recht is om te vragen om legitimatie. Dit kan dacht ik enkel door beveiliging worden gedaan als je de winkel in loopt.

[pharmacist]

dat klopt: maar Mediamarkt België leest effectief de ID-kaart in met gevoelige data zoals het Rijksregisternummer (vergelijkbaar met het BSN in Nederland), dus dat is echt linke boel en ook je adres en dan wordt de data gewoon geregistreerd...

[primium]

Ik kan me herinneren dat ze in NL alleen maar om een e-mailadres vroegen.

[mjtdevries]

Dit omdat er geen gegevens verwerkt worden.

Dat kan nooit waar zijn.
Als iemand alleen maar kijkt naar je legitimatiebewijs dan is dat juridisch gezien al het verwerken van gegevens.

[gedonie]

Voor jou gevoel wellicht wel, maar blijkbaar voor de wet niet. Anders had het overheidsorgaan dat gaat over handhaving gaat dit niet expliciet vermeld.

[mjtdevries]

Nee, ik ken die wet goed genoeg. Kijken is al verwerken!
Vraag het maar aan elke willekeurige privacy jurist.

[IceQbe75]

Dit is niet verplicht, ze doen dit om je kasticket (garantiebewijs) te koppelen aan je EID.

Maar je kan de dit makkelijk weigeren en je papieren kassabon bijhouden.

[Gladiator5]

Bizar, en snap ook niet dat mensen daarmee akoord gaan

[sdepolo]

Je (onder/over)schat de average belg!

[kayjay]

Je bent nooit verplicht geweest om dit te doen. Ik weigerde dit en daar was nooit een probleem voor. Ze mogen dit namelijk ook niet eisen.

[dogan2010]

Het wordt spannend daar bij de mediamarkt
Vlak voor blackfriday
Gaan ze betalen of niet?

[mjl]

Blackmail Friday …

[RobbieB]

Ze hebben al betaald. No way dat je binnen 2 dagen hersteld van zo’n aanval zonder te betalen.

[phoenix2149]

En uiteindelijk betaalt dus de consument.

Het vervelend dat dit gebeurd voor een bedrijf, maar ik vind dat losgeld betalen voor dit soort zaken wettelijk strafbaar moet worden gesteld. Je werkt enkel dit soort praktijken in de hand.

Beter om te dwingen dat geld in IT infrastructuur te laten stoppen zodat het niet/minder snel kan gebeuren.

[Cranx]

Als je dat verbied, wie draait dan op voor de kosten om alles opnieuw op te bouwen en in te regelen? Subsidie van de overheid? Oftewel dan draaien de burgers ervoor op vanwege het onkunde van een bedrijf.

Laat het bedrijf zelf opdraaien voor de kosten om hun eigen fout op te lossen.

[Reactie gewijzigd door Cranx op 23 juli 2024 20:56]

[Sluuut]

“Hun eigen fout” ligt ook wel wat genuanceerder; een bedrijf kan alle IT zaken nooit 100% up-to-date en perfect ingericht hebben. Daar is nooit het budget en de mankracht voor, misschien bij enkele banken, maar de rest van de wereld heeft dat helaas niet.

Software en infrastructuur word steeds ingewikkelder, er worden meer zaken naar de IT geschoven, terwijl er overal personeelstekorten zijn.

[Reactie gewijzigd door Sluuut op 23 juli 2024 20:56]

[denkster]

Nooit budget voor 100%veilig? Dat is geen excuus om de boel uit de hand te laten lopen.

[Sluuut]

Dus jij denkt dat 100% veilig bestaat?

[phoenix2149]

Subsidie? Omdat je je IT zaken niet op orde hebt? Miljoenen, al dan niet miljarden winst maar dat beetje investeren in goede IT…..

100% veilig bestaat niet. Maar hoe denk je dat banken vele malen minder-tot niet worden gehijacked?

Goed ben geen IT specialist maar weet uit ziekenhuis dat een aantal systemen 100% losgekoppeld zijn fan externe toegankelijke netwerken. Zoals PACS systemen. Daar hebben ze dan een PC naast staan voor toegang tot mail en internet.

Er zijn ook onafhankelijk bedrijven voor backups erc. Beter encryptie voor de personeels data en klanten data, of beter externe bedrijven als SalesForce etc.

Ja dat kost allemaal geld, kunnen ze mooi die 50M voor gebruiken om in te investeren. Tot dat maar met papier je spul verkopen in de winkels. Back to the ‘80s

[Reactie gewijzigd door phoenix2149 op 23 juli 2024 20:56]

[MrManuel]

Dit is een lastig onderwerp. Want voor veel bedrijven kan het ook wel eens betekenen dat het niet betalen het einde van bedrijfsvoering betekend.

[phoenix2149]

Misschien is dat een goede motivatie om te investeren in betere veiligheid. Preventief en niet reactief.

[revengeyo]

Hun eigen systemen laten hacken, maar de gegevens van klanten wel veilig hebben bewaard.....
mogelijk dat er toch klantgegevens zijn gestolen, maar dat zullen we later weleens horen

[Reactie gewijzigd door revengeyo op 23 juli 2024 20:56]

[Cobalt]

Dit soort bedrijven zijn meer dan alleen webshop interface. Zo'n AD kan zijn om in te loggen op alle computers die in de winkels/magazijnen staan waar medewerkers van gebruik maken. Terwijl de klantgegevens elders staan in de db van de webshop.

[Reactie gewijzigd door Cobalt op 23 juli 2024 20:56]

[R4gnax]

Dit riekt inderdaad een beetje naar de bekende weg:

Ok, ok... Er zijn maar een paar gegevens van een paar klanten die recent iets gekocht hadden gestolen.
[6 maanden later]
Ok, ok... er zijn gegevens van iets meer klanten gestolen. Maar geen betalingsgegevens, maak je niet druk.
[3 maanden later]
Ok, ok... er zijn ook betalingsgegevens gestolen, maar gelukkig alleen van die paar mensen. Als je daar niet bij zat: niets aan de hand.
[2 maanden later]
Ok, ok... het lijkt er op dat er toch van nog wat meer mensen gegevens gestolen zijn...

etc.

[Reactie gewijzigd door R4gnax op 23 juli 2024 20:56]

[thepeet]

43 miljoen euro aan losgeld, in geen 43 miljoen jaar.
Het zijn gewoon Cyber Terroristen, ze moeten 20 miljoen beloning geven wie ze kan vinden.
Moet jij eens kijken

[Havelock]

Kees van der Spek weet ze misschien wel te vinden!
Hij heeft genoeg zaken gedaan waar de politie nog puntje aan kan zuigen!

Waarom komt hij wel er achter wie de daders zijn en politie niet 123 het zal vast wel komen door onze wetgeving en tekort aan man kracht zijn….

Maar het blijft raar dat een misdaadjournalist er wel achter komt wie de oplichter zijn en politie niet blijft apart.

[Urk]

Ja absoluut, vind ik ook!

[HenkEisDS]

Ha! Hele interessante gedachtegang. Maar ik denk dat als dit ook maar een beetje realistisch was de FoxIT’s hier al voor benaderd waren.

[phoenix2149]

Probleem met FoxIT is denk ik dat ze een bedrijf met winstoogmerk zijn. Daarmee bedoel ik dus, dat als ze (te) diep moeten graven er wellicht al snel gezegd wordt we kunnen niks.

Tenzij er natuurlijk grof geld verdend kan worden doordat de klant 43M betaalt om het op te lossen en opsluiten van de criminelen ipv aan de crinimelen zelf.

[Roel1966]

"Na uitgebreid onderzoek kunnen we zeggen dat er geen klantgegevens zijn gestolen", vertelt een MediaMarkt-woordvoerder

Niet dat ik er nu zo bang voor ben dat mijn klantgegevens op straat zouden komen te liggen, maar ik vraag mij af vanuit wie dat onderzoek dan gedaan is. Logisch dat als dit door Mediamarkt zelf gedaan is dat zij nooit zullen zeggen dat er iets uitgelekt is. Daarbij nog eens genomen dat Mediamarkt aan het onderhandelen is met die bende kan je ook vraagtekens bij zetten. Als er werkelijk niets gestolen is dan kan je je afvragen wat voor nut het dan heeft om te betalen.

[thetakman]

Ik denk bijna dat als er ENKEL klantgegevens gestolen waren de mediamarkt niet eens zou onderhandelen.

Echter sta ik er niet raar van te kijken dat de mediamarkt onderhandelt. Hun halve/hele backend schijnt plat te liggen terwijl we letterlijk Cyber Monday/ Black Friday/ Sinterklaas/ Kerstmis voor de deur hebben staan.
De komende anderhalve maand draait een Mediamarkt bijna net zoveel of misschien wel meer omzet dan de rest van het jaar als je niet uitkijkt.

Als jij als bedrijf 256 Miljoen winst per jaar pakt, dan is 40-50 miljoen een schijntje om je drukste maand van het jaar door te laten gaan.

[DoubleYouPee]

"Na uitgebreid onderzoek"

In 2 dagen?

[Mathijs]

Het bedrijf spreekt tegenover HLN over een 'zeer gerichte' aanval op de IT-infrastructuur van het bedrijf. De ransomwarecriminelen richtten zich bijvoorbeeld op Windows Server en Microsoft Active Directory, waarvan het bedrijf gebruikmaakt.

Wel een beetje niveau van een dorpskrant dit op een tech/it site. Misschien eens wat meer moeite doen dan een directe copy-paste van het AD.

[MatthiasL]

Dat komt waarschijnlijk omdat ze zelf niet eens bij hun klantgegevens kunnen, er zijn weinig zo incapable bedrijven als de Mediamarkt.

Twee voorbeelden op een imgur: https://imgur.com/a/m6yBiCZ
1) Een bot die me al jaar en dag elke dag vraagt of ik nog geholnen wil worden, nog nooit een echt persoon gesproken
2) Een Clubpas die al 7x (!) aangevraagd is en zogenaamd verstuurd is maar nog nooit wat ontvangen.

Als je dit aangeeft bij de "Support desk" bij een winkel geven ze aan "Ja dit is uitbesteed en we krijgen hier veel klachten van maar kunnen je ook niet helpen". Verbaast me dus helemaal niks dat ze gehackt zijn.

Ben ook niet meer van plan daar iets te kopen. Leuk die goedkope prijzen, maar je betaald ervoor doordat je simpelweg geen service krijgt. Dus succes met je product binnen de garantie dat stuk gaat.

[Reactie gewijzigd door MatthiasL op 23 juli 2024 20:56]

[Wachten...]

Mediamarkt is niet eens goedkoop, het is meer dat het nog een fysieke winkel is die bijna overal staat. De service (voornamelijk kennis) is echt om te huilen.

[WouterL]

Pro tip: ik wil met een medewerker spreken/chatten werkt bijna bij elke chatbot, waaronder die van MediaMarkt!

[kroam]

Alleen het woord medewerker is vaak al voldoende. Ook bij telefonische bots.

[CPV]

Of gewoon 2 of 3 domme of juist zeer technische vragen, die de bot boven de pet gaan.

[prodesk]

En hoe weten wij dit zeker?

[mr_evil08]

Dat weet je aardig vlot als je spontaan gebeld wordt door "Microsoft" of opeens spam ontvangt in je mailbox die alleen mediamarkt weet, of opeens een lening of whatever op jouw naam is aangevraagd.

Kortom dat weet je niet en moet ze maar op hun blauwe ogen geloven dat het zo is.

[Reactie gewijzigd door mr_evil08 op 23 juli 2024 20:56]

[SunnieNL]

Tot het moment dat er ineens wel een datadump klantgegevens is. Tot die tijd weet je het niet zeker en kun je van het positieve of negatieve uit gaan.
Nu zeggen van niet en later wel uitkomen geeft een enorme negatieve golf, dus ik ga er maar vanuit dat ze nu de waarheid spreken.

[SMGGM]

Dat is mijn eerste vraag ook.
Media Markt bewijst ergens al dat ze niet op en tot beveiligd zijn omdat dit wel is kunnen voorkomen (er kunnen natuurlijk discussies ontstaan over wat je hiertegen kan doen maar goed, vertrouwen schept het niet).

Een bedrijf waar ik dat vertrouwen niet heb, hoe gaan zij mij overtuigen dat ze de kennis hebben om zo'n statement te maken?
Ik werk in het bankwezen en ik zie al hoeveel data er op persoonlijke folders staat van mensen (hetzij tijdelijk om bepaalde marketing / sales activiteiten uit te voeren, hetzij slecht databeheer en gewoon laten liggen en niet wissen). Als zo'n ransomware aanval met zo'n impact kan voordoen, dan kan die evengoed wat data hebben doorgegeven aan de maker.
Of heeft de kwaadwillige op zijn / haar communiezieltje beloofd alles te verwijderen na betalen (maar gaat die nu om nog iets extra te verdienen de data verkopen aan de hoogste bieder).
Of heeft een bedrijf waar ik al geen vertrouwen in heb zo'n goede logbeheer om te weten wat er wel en niet van data is doorgestuurd via eender welke computer die geïnfecteerd was?

Ik ben het dus met je eens en geloof niets van dit statement.