Auto-onderdelenwebshop Autodoc waarschuwt klanten voor datalek

De Duitse auto-onderdelenwebshop Autodoc waarschuwt klanten voor een datalek. Het bedrijf heeft ook een populaire Nederlandse en Belgische webwinkel. Het is niet bekend hoeveel klanten er in totaal zijn getroffen of wat de precieze omvang van het lek is.

Autodoc heeft naar een onbekend aantal klanten een e-mail gestuurd, die door verschillende tweakers is doorgestuurd. De e-mail is Engelstalig, wat erop wijst dat het lek waarschijnlijk internationale effecten heeft. Autodoc is een van origine Duits bedrijf dat inmiddels webshops heeft in Nederland, België en 25 andere Europese landen. De webshop verkoopt auto-onderdelen aan zowel garages en reparateurs als consumenten.

In de e-mail schrijft het bedrijf dat criminelen 'toegang hebben gekregen tot een interne communicatietool'. Het is niet bekend welke tool dat is. Via die tool kregen de criminelen toegang tot het centrale klantenmanagementportaal. Ze konden die informatie daar 'mogelijk kopiëren', maar Autodoc schrijft niet of dat ook daadwerkelijk gebeurd is. In het systeem stonden naw-gegevens, telefoonnummers, e-mailadressen en klantnummers. Er werden volgens Autodoc geen toegangstokens, wachtwoorden of creditcardgegevens opgeslagen. Ook ordergegevens zijn niet buitgemaakt. Het bedrijf waarschuwt klanten voor identiteitsdiefstal.

Autodoc was dinsdag niet direct bereikbaar voor vragen. Het is daarom niet duidelijk hoeveel klanten er wereldwijd of in Nederland of België zijn getroffen. In Europa zegt Autodoc wereldwijd twaalf miljoen klanten te hebben.

Door Tijs Hofmans

Nieuwscoördinator

23-08-2022 • 10:39

57

Submitter: x6m

Reacties (57)

57
56
38
0
0
5
Wijzig sortering
Niets van ze mogen ontvangen, wel al langere tijd klant bij ze.
Maar dan, wat kan ik als klant nog doen?

@Cyb en @DataGhost
Bedankt voor de tips. Bij Autodoc zal het niet veel meer uitmaken, maar ik ga dat zeker bij mijn overige webshop accounts gebruiken! Voor mijn passwords gebruik ik al een manager, kleine moeite om daar ook een specifiek e-mailadres bij te zetten.

[Reactie gewijzigd door Geim op 22 juli 2024 13:46]

Maar dan, wat kan ik als klant nog doen?
Wachtwoord wijzigen, daarna alle je gegevens daar invullen met random gegevens (en noteer deze), op je email na. Gebruik een anonieme emailadres service (bijv. SimpleLogin) voor het emailadres. En vraag daarna op grond van GDPR een verwijderingsverzoek aan.

In het vervolg: gebruik een anonieme emailadres service. Vul bijna nooit je telefoonnummer in. Beperk de informatie die je ze geeft zo veel mogelijk, gebruik waar mogelijk random fake gegevens, en gebruik een VPN.
In het vervolg: gebruik een anonieme emailadres service.
Pff, zelfs m'n bankgegevens hadden ze opgeslagen omdat er een keer een retourzending geweest is.
Maar Mea culpa, ik zal wat voorzichtiger met e.e.a. omgaan |:(
Bankgegevens slaan wenshops op om een refund te kunnen doen, of om fraude tegen te gaan.
Maar als de refund heeft plaatsgevonden is er toch geen enkele reden meer om de gegevens te bewaren? Fraude lijkt me geen goede reden, ik kan op veel verschillende manieren betalen, bovendien kon ik vanmorgen de bankgegevens makkelijk wissen.
Dan kom je op het punt dat gegevens mogelijk te lang bewaard worden, dat kan zeker van toepassing zijn maar dat kan ik hier niet uithalen.
Refund heeft meer dan 2 jaar geleden plaats gevonden, eerder richting de 4 jaar (vorige set remschijven voor mijn auto).
Gezien: Geim in 'Auto-onderdelenwebshop Autodoc waarschuwt klanten voor datalek' verbaast het me niets dat ze de data niet wissen.
Lijkt me dat dat gewoon bij de PSP thuishoort?
Niet iedereen gebruikt een PSP, je kunt ook direct connecten met betaalmethoden.
Aanvullend dat als je iets wil doen met fraude dat je die informatie toch wel echt nodig hebt.

(wat niet wil zeggen dat je er niet zorgvuldig mee om moet gaan, of zichtbaar mag zijn voor bijv klantenservice)
Leuk dat je aannames doet, maar je zit er totaal naast.

De rest van je bericht heb je gelijk in, als je lekker een wordpress websitejes wil maken en daar moet jij het dan ook bij laten. Want grote webshops, die doen wel iets meer als een psp pluginnetje installeren.
Verwijderen is makkelijk, is gewoon een optie op de website (ervaringsdeskundige, zojuist profiel verwijderd).
Ik heb (blijkbaar) zelfs twee accounts bij auto-onderdelen24.nl

Op één van de twee adressen kreeg ik de waarschuwingsmail. Op het andere account niet.
Nou breekt m'n klomp. Ik kan niet meer inloggen bij auto-onderdelen24.nl Kennen m'n e-mail adres niet meer. Log ik in met m'n nieuwe autodoc e-mailadres, zeggen ze dat het wachtwoord niet klopt. Dus nieuw wachtwoord aangevraagd (met mijn autodoc e-mailadres) kan ik opeens inloggen met mijn uniek autodoc e-mailadres bij auto-onderdelen24.nl
Zorgen dat ze geen telefoonnummer van je hebben en het e-mailalias wat je specifiek voor hun shop hebt gemaakt weggooien (en een nieuwe maken en veranderen in je account daar). Dan hebben degenen die de data hebben gejat alleen nog NAW van je en zal het met spam wel meevallen. Oh ja, en het wachtwoord (ook specifiek voor hun shop) in je account daar veranderen in iets nieuws en dat ook updaten in je password manager. Dan zit je doorgaans best goed.

[Reactie gewijzigd door DataGhost op 22 juli 2024 13:46]

ik heb toch zeker veel contact gehad met die klantenservice maar geen mail gehad, dus waarschijnlijk gaat het niet om alle klanten.

daarnaast
Autodoc was dinsdag niet direct bereikbaar voor vragen
is dat bij dit bedrijf ook gewoon het geval als het gaat om welke andere vraag dan ook.
Anoniem: 1028301 @bartje23 augustus 2022 11:32
Ja, je kunt wachten tot je een ons weegt als je belt, of mailt.
Het is een kut bedrijf, wat ontzettend veel soortgelijke websites heeft.

Ik ben er niet blij mee, te vaak iets fout gegaan.
Mwa, als ze leveren heb je wel relatief goedkoop merk onderdelen. Ben er tot nu toe tevreden over.
Je moet goed opletten welk onderdeelnummer vooraf plus ze willen nog weleens STARK leveren als je Bosch hebt besteld. Als je aangeeft dat je dit niet wilt is het geregeld. Ik verwacht deze week weer een bestelling, eigenlijk nooit onoplosbare issues gehad. Gebruik wel de app want die is goedkoper dan de site. Gewoon op de site browsen en daar in favorieten zetten, daarna via de app bestellen, en betalen met Google Pay.
Hier het zelfde, ook geen mail gehad, maar dat had ik bij een ander bedrijf ook niet en toen ik later mijn email adres checkte op haveibeenpwned.com stond dat bedrijf als bron voor een lek.
Ik heb de e-mail ook gekregen. Het bijzondere eraan is dat 'ie verstuurd is naar mijn eBay e-mailadres in plaats van mijn autodoc adres. (ik gebruik catch-all i.c.m. eigen domeinnaam).

https://tweakers.net/i/hs...gEJTAiiS.jpg?f=user_large
Paypal heeft (had?) daar ook een handje van, dat het mailadres van je account wordt doorgegeven aan de eigenlijke verkoper. Waarschijnlijk heb je dus ooit via eBay iets bij Autodoc vandaan gehaald. Dat je een catch-all gebruikt is alleen een grotere "aanvalsvector" voor spam naar jou, maar een legitieme mail van Autodoc zal niet naar een adres gestuurd zijn wat niet daadwerkelijk in hun database stond.
Dat je een catch-all gebruikt is alleen een grotere "aanvalsvector" voor spam naar jou, maar een legitieme mail van Autodoc zal niet naar een adres gestuurd zijn wat niet daadwerkelijk in hun database stond.
Dat van die aanvalsvector valt denk heel goed mee. Buiten de hobbyisten onder ons zijn er weinig domeinen met dit geactiveert. En de mensen die dit gebruiken weet maar heel goed dat het geval kan zijn, dus staat er (oa. bij mij) een regel dat indien niet van een bekend emailadres, automatisch naar spam word verwezen. Daarnaast de meeste spam gaat richting info@, webmaster@, postmaster@ en de andere moreel verplichte adressen.
Ja dat valt enorm mee. Ik maak persoonlijk expliciet aliassen waardoor mail naar niet-bestaande adressen gewoon gebouncet wordt en de "verplichte" adressen kunnen mij aan m'n reet roesten dus die heb ik niet in gebruik. Af en toe kijk ik eens in mijn mail logs van de afgelopen maand naar afleverpogingen op niet-bestaande adressen en dat zij er weinig, en geen enkele volgens het format wat ik voor mijn bedrijfsspecifieke adressen gebruik, dus met een catchall zal het ook meevallen. Het voordeel aan mijn methode vind ik echter dat het makkelijker is een adres weg te gooien als daar eenmaal grote ladingen spam op binnenkomen. Dat is met een catchall toch minder makkelijk. Keerzijde is dus dat ik elke keer een alias moet maken per nieuw bedrijf maar dat is zo gebeurd, ook via mijn telefoon als ik geen computer in de buurt heb.
Ieder z'n eigen keuze natuurlijk. Bij mij was de keuze vooral geinsprireerd omdat ik maar 5 adressen kan aanmaken. Met een catch-all heb je onbeperkte ontvangende adressen. Aangezien een adres/alias voor een account verzenden niet bepaald als vereiste heeft was dit best of both worlds. Zaken die mij echt interesseren (zoals beveiligingsmeldingen) maak ik dan wel een filter dat die niet in spam terecht komen.
Ik doe het weer andersom. Ik maak pas een alias aan zodra ik spam begin te krijgen. Die alias staat dan op een ander account met een inbox size van max 1mb waardoor: ik de spam mail in mijn catchall niet meer te zien krijg + de mails uiteindelijk gebounced worden wanneer de inbox vol zit (duurt nog vrij lang met text only mailtjes)

Zo kan ik on the spot mailadressen verzinnen en blokkeren wanneer het echt uit de hand begint te lopen.
Hoezo moreel verplicht? Zowel in je domeinregistratie als in bijv. je DMARC records kun je ieder willekeurig adres invullen. Is dan ook heel slim om daar juist niet de verwachte opties van te maken, maar iets heel anders, zodat mensen die daadwerkelijk je instructies volgen weten waar ze terecht kunnen.

Ik heb zelf ooit een aantal aliassen als info@, webmaster@, abuse@, root@, admin@, me@ etc naar spam@ ingesteld voor sommige van mijn domeinnamen, en daar komt echt alleen maar spam aan, niks relevants.
Ja, je kan dat instellen, maar het is niet omdat dat zo ingesteld staat in dmarc of DNS of whatever dat het ook effectief gebruikt word. Heel wat mensen gaan er automatisch vanuit dat het info@ adres bestaat en gelezen word (tenzij ze direct een bounce of automatisch antwoord krijgen). Komt niet enkel spam op toe.
Ah, dat zal het inderdaad zijn. Ik heb wel eens wat bij hun eBay store gehaald, was goedkoper dan de webshop :D.
De laatste zin brengt een beetje verwarring op. Begrijp ik nou goed dat ze Europees 12 miljoen klanten hebben of is dit toch wereldwijd?
Aangezien het een Europees bedrijf is wat zich op Europa richt verwacht ik dat er een verwaarloosbaar aantal klanten buiten Europa is. Ze leveren ook by default niet naar landen buiten Europa dus je moet behoorlijk wat moeite doen om je bestelling naar bijv. de VS te krijgen. Uiteindelijk komt het dus min of meer op hetzelfde neer.
Ahh oké duidelijk!
Ik was namelijk best van de veronderstelling dat autodoc beetje dé webshop was voor VAG (en natuurlijk ook andere merken maar in mijn omgeving voornamelijk VAG) onderdelen waarbij ze een vrij groot aanbod in onderdelen hebben. Aangezien er wereldwijd best een groot aandeel automerken vanuit Europa komen (en vgm groeit dit aandeel best hard onder bijv. Amerikanen) had ik stiekem meer gebruikers/klanten verwacht.
Dank u voor de verduidelijking! :)
Dat klopt, de VS is een geheel ander continent en per stuk bestellen over de Atlantische oceaan is niet economisch vanwege invoerrechten. Daarnaast heeft de VS een eigen auto industrie en is een geheel andere economische regio. Er is nagenoeg geen enkele online retailer die beide continenten doet onder dezelfde prijzen en voorwaarden. Wat ook superlogisch is. Amazon houdt bijvoorbeeld eigen voorraden aan in beide continenten en dit zijn verschillende holdings.
Een nieuw wachtwoord mag maximaal 16 tekens bevatten...
want dat is te weinig... volgens mij maakt het vooral uit de verscheidenheid aan tekens die je gebruikt..
12 is momenteel het aantal dat wordt aangeraden, maar ontwikkelingen kunnen snel gaan. Als je automatisch wachtwoorden genereert is er geen reden om niet, zeg, voor honderd tekens te gaan. Dus wel jammer wanneer er services zijn die het beperken tot een relatief laag aantal als 16, daar is gewoon geen goede reden voor.
Worst case is je wachtwoord gehacked en samen met je email of username verkocht. Dus wachtwoord van de site wijzigen, en alle plekken waar je hetzelfde wachtwoord gebruikt heb ook wijzigen.
Ik heb die e-mail ook ontvangen en vond het interessant dat het woord "Sorry" er nergens te vinden was. Ook stond er niks over of ze de autoriteit voor gegevensbescherming in Berlijn hebben ingelicht of niet.
Autodoc... Die fijne mobiele site van ze. Waar altijd een pop-up komt bij bezoek en je naar de app-store gedwongen wordt als je op het kruisje klikt... Dat soort gepusht hou op niet zo van. Alleen daarom al nooit wat gekocht bij ze ;(

[Reactie gewijzigd door ManiacsHouse op 22 juli 2024 13:46]

Autodoc... Die fijne mobiele site van ze. Waar altijd een pop-up komt bij bezoek en je naar de app-store gedwongen wordt als je op het kruisje klikt... Dat soort gepusht hou op niet zo van. Alleen daarom al nooit wat gekocht bij ze ;(
Precies om deze reden ook mijn account daar lang geleden al weer gesloten; echt marketing 1.0 en verder totaal niet meegaan met de tijd.

On topic: krachtens de AVG zijn ze verplicht datalekkage publiekelijk te melden, maar intriest dat men het vervolgens weer omhult met allerlei vaagheden en rookgordijnen en verder enkel de waarschuwing tegen identiteitsdiefstal. Toch een serieuze puddle of sh*t, als je daarin terecht komt. En daarbij ook geen contactpunt willen openstellen voor mensen die (hierover) vragen hebben.
Offtopic maar ik moest dit weekend een auto-onderdeel kopen en ik heb misschien wel 10 soortgelijke sites geprobeerd en ze zijn ALLEMAAL zo! MijnAutoonderdelen, Autodoc, Winparts, auto24whatever, allemaal op exact dezelfde manier pushen naar nieuwsbrieven, de app, accounts... Heel opvallend, dacht aanvankelijk ook dat die sites ook allemaal misschien onder dit ene moederbedrijf vielen zo gelijk was het.
off topic,
maar op winparts na doen ze dat ook, vergelijk de adres gegevens maar eens
Winparts ook? Weet je 't zeker? Recent ( afgelopen jaar) was Winparts nog gewoon in ' Winneweer ' gevestigd?

Autodoc (en al z'n dochters) zit ergens in Duitsland dacht ik, en bestellingen komen meestal 'via' Berlijn, vanuit Polen (warehousing)
Winparts zit in winneweer, is vorig jaar overgenomen door AAG en wordt wel iets agressiever qua adverteren. Enige vervelende op de site van winparts zelf is de nieuwsbrief popup, maar die klik je eenmalig weg en daarja blijft ie weg.
Verder heeft Autodoc idd een heleboel verschillende merknamen met dezelfde artikelen en handelswijze.
Winparts zal wel moeten: als je iets zoekt, kom je alleen nog Autodoc/AutoDoc-zustersites tegen.

Enige voordeel dat Winparts heeft: de 24 in Autoteile24/Auto-onderdelen24.nl staat zeker niet voor 24-uurs levering. Eerder 24 dagen. Winparts is er meestal binnen 2 werkdagen,.. AutoDoc doet er (in mijn beperkte ervaring) meestal minimaal één week over, zonder fatsoenlijke track-n-trace. Laatste bestelling duurde héél lang, de track-n-trace bleeft maar op Berlijn staan, en ineens stond de bezorger voor de deur (alsof ie rechtstreeks met z'n busje vanuit Berlijn was gekomen).
Mister Auto is er ook nog, dit is van PSA nu Stellantis.
Die ervaring heb ik ook, + als hun een fout maken met een onderdeel komen ze met een verhaal dat het bestelde onderdeel niet voorradig was (staat op de website nog steeds als voorradig) en dat dit een alternatief is wat 100% moet passen, en doen ze heel moeilijk als je het toch terug wilt sturen.
AAG is ook overgenomen door Genuine Parts Company, o.a. bekent van NAPA
AAG was al GPC voordat ze winparts overnamen. Maar AAG neemt gewoon alles over wat ze tegenkomen: Brezan, Ferwerda, Dabeko, Winparts...

Winparts is nog wel min of meer zelfstandig, ze mogen gewoon nog inkopen bij andere leveranciers dan AAG (zelfs bij concurrenten Fource en Doyen), maar AAG doet wel z'n best om assortiment en prijs te matchen.
winparts niet dus
"op winparts na"
Ik kan niet lezen.. sorry.
Dat zijn ook gewoon dezelfde websites met een ander jasje en vallen onder dezelfde holding. Dat zijn overnames geweest en alleen de merknaam van de webshop staat nog overeind. Sommigen hebben nog voorraad in NL en kunnen daardoor snel leveren maar zijn dus wel weer duurder.

Ik bestel er geregeld en vanwege het er tussenuit knippen van de Nederlandse tussenhandel gaat van heel wat duurdere onderdelen de prijs door de helft, ten koste van de levertijd, die is meestal 3 tot 5 dagen. Voor garages is dit geen optie omdat leveren te lang duurt, zij krijgen 4 keer per dag levering en die hoge prijs interesseert hen niets want dat berekenen ze gewoon door met marge aan de onwetende eindklant. Voor de consument is de lange levertijd prima en de doodsteek voor de fysieke winkels. De prijs van onderdelen gaat via garages vaak 3 keer over de kop tot aan het gebruik in de auto. Fabrikant - distributeur - tussenhandel - garage - klant. Middels autodoc is het: fabrikant - tussenhandel - eindklant. Daar zijn dus 2(!) schakels tussenuit geknipt met behulp van IT!!!

Overigens is deze holding een verlengstuk van de grote OEM merken zoals febi, corteco, reinz enzovoort uit Duitsland welke leveren aan de Duitse autobouwers. Zij kunnen middels autodoc de consument bereiken met OEM gespecificeerde onderdelen en concurreren met de dealer, waar soms rare hoge prijzen gevraagd worden, vaak denk ik door laks prijsbeleid en de lokale dealer doet daar helemaal niets aan en moet uiteraard er ook aan verdienen, ook is onderdelenhandel niet de core business van de lokale dealer. Zij zien dit meer als service en verdienen hun geld middels de eigen werkplaats. Specifieke onderdelen zijn vaak niet te vinden en daarvoor moet je naar de dealer. Wel petje af voor het extreem grote assortiment, ook voor oudere auto's en de doorzoekbaarheid hiervan, koppelingen met fabrikant onderdelen tools en leveranciers als Bosch garanderen de juiste producten voor je auto. Ook de klantenservice werkt goed via de chat, meermaals als dingen verkeerd gaan kan ik snel schakelen en wordt er niet moeilijk gedaan over geld. De Duitse grundlichkeit geeft in totaal een mooi geheel als leverancier, stimuleert de concurrentie en is daarmee gunstig voor de prijs. Petje af voor de oprichters die eigenlijk een totale marktplaats hiervoor hebben opgericht en heel Europa als leveringsgebied hebben.

[Reactie gewijzigd door Nollekeuh op 22 juli 2024 13:46]

Autodoc heeft meerdere webshops, ik vind het maar een stel oplichters, hun maken een fout en sturen het verkeerde onderdeel, en vervolgens vol blijven houden dat het onderdeel wel moet passen en moeilijk doen als je het retour wilt sturen en je geld terug wilt.

Winparts had ik nooit problemen mee, ze zijn indirect overgenomen door Genuine Parts Company wat enorm groot is, bekent van onder andere NAPA (als je wel eens nascar of indycar kijkt zie je dat vaak genoeg)
De Autodoc app is altijd een stuk goedkoper dan de site.
Bij mij is de mail volledig in het Frans, terwijl ik helemaal niets in het Frans doe.
Helaas hier ook een mail over gehad:
CYBER SECURITY INFORMATION
Cyber attacks on companies and authorities are currently on the rise. Even with the implementation of professional security measures, attackers unfortunately succeed again and again in gaining access to the data and know-how of the organisations concerned. We are contacting you today because unfortunately Autodoc has also suffered a cyber attack.

1. WHAT HAPPENED?

Our cybersecurity team registered an attack in which the criminals managed to gain access to an internally used communication tool. Through this channel, the attackers were able to view personal data in the central customer management software and possibly copy it.

The cybersecurity team was able to promptly detect and stop the attack and prevent further data leaks, but unfortunately, based on what we currently know, it cannot be ruled out that your data was viewed and copied by the attackers.

The data concerned are extracts from the customer master data stored in the customer management system, in particular title, surname, first name, street, house number, postcode, city, country, email address, telephone number (mobile and/or landline) and the internally assigned customer number.

No other data is affected, in particular no access data, passwords, credit card data, bank data, credit balances, or order details.

All necessary measures were immediately taken by our experts and the forensic investigation of the cyber attack is ongoing. Our data protection team is working in coordination with the cybersecurity team on the legal processing and has initiated the necessary legal steps; the competent data protection supervisory authority has already been informed about the attack.

2. POSSIBLE CONSEQUENCES FOR YOU

The attackers or third parties to whom the information may have been passed on by the attackers are not able to access your customer account with the data in question, and no orders can be placed or data changed. It is also not possible to reset the password for the customer account, since this is done via your personal email account and its access data is known only to you.

However, it is conceivable that the data could be used to try to find out further information from you, for example by sending scam text messages, calls or emails, using the real data to fraudulently obtain confidential information as passwords or TANs (known as phishing). It is also possible criminals may also impersonate you in order to gain an advantage for themselves or others or to harm you (i.e. identity theft).

3. OUR MEASURES

Our cyber security team reset all access data for the customer management system. Affected computers were forensically analysed and reset. If the internal communication service was affected, the access data was also reset. From a technical point of view, access to the customer management system was significantly strengthened by the introduction of new transport encryption measures and the connection filter configuration set to be stricter.

From an organisational point of view, as a precautionary measure, certain verification procedures are no longer being used in the customer care area and all employees with customer contact have been informed and sensitised accordingly.

We are keeping a close eye on the internal investigations and other developments in connection with the incident and will immediately initiate further measures if new findings make this necessary.

4. MEASURES WE RECOMMEND YOU TAKE

In future, you should be particularly vigilant if someone asks you to transmit or disclose data by telephone, SMS or email. Therefore, please check all communications you receive, even in time-critical situations, and do not open any attachments or links if you are not completely sure that it is an authentic transaction. If in doubt, you should always choose not to perform the requested action. Do not disclose confidential information to strangers. Remember that, as a rule, service providers, traders, and banks do not request confidential data. Neither is it normal for IT or software companies to contact you unsolicited by telephone to attend to alleged emergencies and demand urgent action from you. Never act in such cases without first seeking reassurance from a source that is undoubtedly authentic and reputable.

If an unknown party tries to put you under time pressure and threatens you with urgency, tries to exploit relationships of superiority/subordination or makes unrealistic promises – do not do what they are asking. Please also talk to friends and relatives so that they are not scammed by someone assuming your identity.

5. CONTACT

If you have any questions, please contact us at:

Autodoc AG

Op dit item kan niet meer gereageerd worden.