The North Face-moederbedrijf licht klanten in over datalek persoonsgegevens

Kledingmerk The North Face meldt in een mail naar klanten details over het datalek van afgelopen december. Bij een cyberaanval op moederbedrijf VF Corporation werden uiteenlopende persoonsgegevens buitgemaakt, maar geen betalingsgegevens of wachtwoorden.

Uit een mail die is ingezien door Tweakers, blijkt dat klanten van The North Face getroffen zijn door een datalek waarbij persoonsgegevens zijn buitgemaakt. Het gaat om gegevens die opgeslagen worden 'om online aankopen te beheren', aldus het merk. Een threat actor had in december toegang tot onder meer persoonsgegevens zoals e-mailadressen, namen, telefoonnummers en factuur- en verzendadressen van een onbekend aantal klanten dat bij het bedrijf producten heeft besteld. Ook de bestelgeschiedenis, de waarde van bestellingen en informatie over de betaalmethode waren bij het datalek betrokken.

Het bedrijf benadrukt daarentegen dat er geen bankrekening- of creditcardgegevens bij de aanval zijn ingezien, hoogstens verwijzingen naar de betaalmethode, dus bijvoorbeeld 'PayPal' of 'bankrekening'. Ook zouden de aanvallers geen wachtwoorden hebben kunnen inzien. The North Face waarschuwt mogelijk getroffen klanten toch om op te letten voor eventuele phishingaanvallen of verdachte e-mails.

Het moederbedrijf van The North Face, VF Corporation, meldde in december al dat er een cyberbaanval plaats had gevonden. Toen was daarentegen nog niet duidelijk in hoeverre klanten getroffen waren door de aanval en om data van welke merken het zou kunnen gaan. VF Corporation is tevens de eigenaar van onder meer Vans, Eastpak, Kipling en Timberland. Eerder dit jaar werd uit een document van de Amerikaanse SEC duidelijk dat er ruim 35 miljoen klanten door de cyberaanval getroffen werden.

Reacties (54)

[ronaldvr]

Ik heb ook die mail gekregen (vandaag om 9:38):

Wat is er gebeurd en hoe hebben we gereageerd?

Op 13 december ontdekten we ongeautoriseerde activiteiten op een deel van onze IT-systemen, kennelijk uitgevoerd door externe partijen (threat actors).

Na het ontdekken van de ongeautoriseerde activiteiten hebben we onmiddellijk stappen ondernomen om het incident onder controle te krijgen, te onderzoeken en te herstellen, waaronder het activeren van ons interne incident response plan, het inschakelen van toonaangevende externe cyberbeveiligingsexperts om te ondersteunen bij de responsactiviteiten en het tijdelijk uitschakelen van alle IT-systemen die mogelijk waren getroffen.

Op 15 december waren we in staat om de ongeautoriseerde threat actors uit onze IT-omgeving te verwijderen en we hebben nu alle getroffen IT-systemen en activiteiten grotendeels hersteld.

We hebben onmiddellijk de bevoegde wetshandhavingsinstanties ingeschakeld, die ons ondersteunen bij het onderzoek, en we hebben de bevoegde gegevensbeschermingsautoriteit al op de hoogte gebracht, zoals vereist onder de toepasselijke wetgeving.

Welke persoonsgegevens van u zijn mogelijk getroffen?

Uit ons onderzoek is gebleken dat het incident van invloed is geweest op enkele persoonsgegevens van onze klanten die we normaliter opslaan en verwerken om online aankopen te beheren, zoals e-mailadres, volledige naam, telefoonnummer, factuuradres en verzendadres. In bepaalde gevallen kunnen de getroffen gegevens ook de bestelgeschiedenis, de totale waarde van de bestelling en informatie over de betaalmethode die voor de aankopen is gebruikt, bevatten.

Houd er rekening mee dat we in onze IT-systemen nooit gedetailleerde betalings-/financiële informatie verzamelen of bewaren, zoals bijvoorbeeld bankrekening- of creditcardgegevens, dus er is geen kans dat gedetailleerde financiële informatie is blootgesteld aan de threat actors. De informatie die we bewaren is enkel welke betaalmethode is gebruikt voor de aankopen (bijvoorbeeld "creditcard", "Paypal" of "betaling via bankrekening"), zonder aanvullende details.

We kunnen ook bevestigen dat er geen wachtwoorden van consumenten zijn blootgesteld aan de threat actors, dus u kunt er zeker van zijn dat de beveiliging van uw online accounts niet is aangetast als gevolg van dit incident.

Het verzamelde bewijsmateriaal wijst erop dat de getroffen dataset één of meer van de bovenstaande categorieën van persoonsgegevens kan bevatten die op u betrekking hebben, aangezien u voorheen online interactie had met The North Face, en mogelijk ook met andere merken die tot de VF Group behoren

[Patrick_Wolf]

Ik vind het dan altijd interessant om te weten wanneer het daadwerkelijk plaats heeft gevonden, want

13 december ontdekten we

zegt niks over wanneer de inbraak plaats heeft gevonden.

[sixtiek]

Eenzelfde e-mail is op 28 februari al verzonden naar klanten van Dickieslife.com, Dickies is namelijk ook onderdeel van VF Corporation. Dat is bijna twee weken geleden. Worden klanten van The North Face nu pas geïnformeerd of is deze e-mail nu pas ingezien door Tweakers?

[RVervuurt]

Ik heb op 4 maart Tweakers al getipt met de mail van Vans (die op 4 maart dezelfde mail rondstuurde), maar daar is toen dus niets mee gedaan. Ik zie ook dat de submitter iemand anders is dan ik en dat vind ik vreemd.

[tvtech]

ik ben die submitter van dit bericht en heb vanmorgen deze mail ontvangen. Gelijk Tweakers ingelicht.

[crunchytail]

Ik heb op 28 februari de redactie getipt over de mail die is verstuurd naar Dickies-klanten. Is toen ook niks mee gedaan.

[BreadleyG]

Ik heb de mail van The North Face zojuist gekregen.

[GoBieN-Be]

Begin vorige week hebben ze mail gestuurd naar klanten van Kipling.
Wellicht werken ze gefaseerd, want mogelijks tot 35 miljoen mails versturen is niet min natuurlijk.

[Accretion]

Bij het kopen op het internet, kun je ook geen 'pseudoniem' kiezen of iets bestellen en als adres een pakketpunt.

Je moet namelijk vaak alsnog een (kloppend) factuuradres invullen en soms bij het afhalen je identificeren.

Technisch gezien zou het mogelijk moeten zijn om bij het bestellen enkel een pakketpunt te hoeven kiezen en dan krijg je een QR code waarmee je het kunt afhalen, o.i.d.
Of moeten bedrijven echt zo veel informatie hebben, zijn ze die administratie verplicht?

[Reactie gewijzigd door Accretion op 22 juli 2024 16:24]

[5pë©ïàál_Tèkén]

Je kan als je iets op internet koopt 'per ongeluk' een typfout (of 3) maken wanneer je je voor/achternaam invoert. Als je bij het pakketpunt de barcode van het pakket kan laten zien en en je legitimatie dan vinden ze het allemaal best. Dan weet je zeker dat ze niet je officiële namen hebben, wat (bij een eventueel datalek) héél veel scheelt bij phisingmails. Telefoonnummer hebben ze echt never nooit nodig - als je ze willen bereiken mailen ze me maar. "We hebben u geprobeerd te bellen maar u nam niet op dus mailen we maar".

[xxs]

Ik gebruik al jaren mijn 'voorletters' om iets te kunnen herleiden naar een leverancier.

Wat let je om B.O.L. Janssens te gebruiken als je iets bij BOL.com besteld?

[Gulli]

xxs+BOL(at)gmail(dot)com werkt ook, die komt gewoon bij je eigen gmail adres aan maar dan zie je meteen vanuit welk bedrijf je gegevens gelekt/verkocht zijn.

[McBacon]

Wat er achter de plus "moet" komen is vaak wel te raden, helemaal als de afzender/spammer bekend is met winkels uit je land. Ik kan zo +coolblue, +nietbestaandewinkel of +asdjghsdjkfgh gebruiken, weet je alsnog niks. Het probleem is dat elke +suffix automatisch uitkomt bij [e-mail], eigenlijk wil je dat je niet eens mail kan ontvangen op "ongeldige" adressen.

Ik heb voor mezelf iets gemaakt waarmee ik gewoon een alias [e-mail] kan aanmaken en dat wordt dan iets als [e-mail], waarbij het tussenliggende stuk automatisch gegenereerd is. Je hebt hem toch maar voor 1 site/shop/whatever nodig, dus opslaan in je password manager en dan maakt het ook niet meer uit dat hij moeilijk te onthouden is. Krijg je spam dan verwijder je hem gewoon, of je maakt hem opnieuw aan (als je het account waar ie bij hoort wil blijven gebruiken) zodat je in ieder geval niks meer kan ontvangen van bestaande spammers. En natuurlijk even een melding maken ergens.

[The Zep Man]

xxs+BOL(at)gmail(dot)com werkt ook, die komt gewoon bij je eigen gmail adres aan maar dan zie je meteen vanuit welk bedrijf je gegevens gelekt/verkocht zijn.

"Ongeldige karakters in e-mailadres geconstateerd. Voer een geldig e-mailades in."

[Reactie gewijzigd door The Zep Man op 22 juli 2024 16:24]

[Rogers]

Dit gaat zo vaak fout, wordt niet geaccepteerd of filteren het eruit.

[xxs]

Nee, daarvoor gebruik ik tegenwoordig duck.com, ik blijf liever weg bij een data verzamelaar om mijn data te beschermen. Het gaat er over dat ik mijn voorletters aanpas op het moment dat ik iets thuis laat komen, het adres veranderen is niet handig
Zo weet ik altijd bij 'lekkage' wat de bron is.

[Reactie gewijzigd door xxs op 22 juli 2024 16:24]

[tvtech]

of de hide my e-mail functie van iCloud

[HetGezegde]

En dan? Wat als je weet wat de bron is? In dit geval bij dit artikel weet je het: aanval op/lek bij VF Corporation. Of gaat het je eerder om spam mails en het al-dan-niet expres lekken van je gegevens naar andere bedrijven (lees: doorverkopen). En wat doe je daar dan mee? Oprechte vraag. Ik kom zelf niet verder dan melding maken bij ACM, maar de vraag is altijd maar of er iets mee wordt gedaan of niet.

[The Zep Man]

En dan? Wat als je weet wat de bron is?

E-mailalias blokkeren, een nieuw account met willekeurig wachtwoord+e-mailalias aanmaken bij de betreffende winkel als dat ooit weer nodig is om daar te bestellen, en weer door.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 16:24]

[xxs]

Dan kan ze ze er in elk geval op aanspreken, ik heb het al eens gehad met een op internet besteld product wat in de verste verte niks te maken had met zonnepanelen. Plotseling kreeg ik post thuis van een energie boer of ik gebruik wilde maken van een mooi zonnepanelen aanbod. Dat soort post gaat meteen terug de PostNL brievenbus in met een sticker "ONGEWENST". Contact met de bron opgenomen en daar al mijn gegevens laten verwijderen.

Het werd weer rustig.

[The Zep Man]

Technisch gezien zou het mogelijk moeten zijn om bij het bestellen enkel een pakketpunt te hoeven kiezen en dan krijg je een QR code waarmee je het kunt afhalen, o.i.d.

Technisch wel, maar veel webwinkels ondersteunen geen Pakjegemak (of hoe de huidige variant bij PostNL en bij andere pakketbezorgers heet).

[HetGezegde]

PostNL laat dat niet bij elke webwinkel toe. Het is o.a. afhankelijk van het contract dat je met PostNL hebt en dat hangt weer samen met de grootte van je webwinkel

[The Zep Man]

Wat de achterliggende oorzaak ook is, het punt is dat je als consument de dupe bent door die versnippering. Ook slaat die versnippering nergens op, want meer pakketten lokaal afleveren op een locatie die de consument toch bezoekt (zoals een supermarkt) is beter voor het milieu.

Zelf haal ik pakketten liever op bij een lokale supermarkt om de hoek tot negen of tien uur 's avonds i.p.v. overdag achter een bezorger aanrennen die belletje trekken speelt voordat die naar zijn bus rent met mijn pakket. En dat is als de bezorger al aanbelt en niet snel voorbij rijdt.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 16:24]

[Nature]

PostNL is altijd oke hier, DHl zegt rustig we komen tussen 8:00-22:00 daar kan ik ook weinig mee en laat ik naar een ophaalpunt komen.
Soms komen ze dan evengoed als hij het licht ziet branden.

[The_Woesh]

Ik heb nogal wat discussie bij pakketpunten.

Mijn vrouw besteld iets, dan ga ik het halen maar willen ze ID van mijn vrouw zien? echt belachelijk naar mijn inzicht omdat ik de QR heb. Tot nu toe lukt het wel met wat overtuigingskracht maar het gaat niet vanzelf.

Aan de deur geeft de bezorger het gewoon aan iedereen. Als mijn dochter van 6 de deur opent, krijgt ze gewoon het pakje mee.

[Accretion]

Aan de deur geeft de bezorger het gewoon aan iedereen. Als mijn dochter van 6 de deur opent, krijgt ze gewoon het pakje mee.

Sterker nog, ze leggen het pakketje bij de voordeur neer en zetten zelf een handtekening

[FatGoebbelsIM]

Bij het kopen op het internet, kun je ook geen 'pseudoniem' kiezen...

Kan wel, ik doe dat nml.
De keren dat ik me moest legitimeren met mijn echte naam vond de bezorger (of bij de afhaalbalie) het helemaal geen probleem dat ik'n pseudoniem gebruikte.

[crunchytail]

Dickies valt ook onder dit moederbedrijf en de klanten van dit merk zijn eveneens getroffen. Zij zijn op 28 februari jl. ingelicht.

[Reactie gewijzigd door crunchytail op 22 juli 2024 16:24]

[digibaro]

Topje van de ijsberg en onvoldoende om in het westen eens kritisch na te gaan denken of wij de goede weg op gaan, lees all-digitaal, all-Internet.

[CAPSLOCK2000]

Ik vind dat bedrijven voortaan een vergunning moeten aanvragen om persoonsgegevens op te slaan. Deel van die vergunning is een strenge controle van de beveiliging en onderzoek naar de noodzaak van het opslaan van deze gegevens (en hoe lang ze bewaaard worden).

Het is nu allemaal veel te vrijblijvend. Als er iets mis gaat sturen bedrijven een mailtje rond naar alle klanten en daarmee is de kous af. Ik heb nog nooit gehoord dat zo'n bedrijf massaal klanten verliest na een lek. Ik heb wel het omgekeerde gezien, namelijk dat zo'n mail alleen maar als reclame voor het bedrijf werkt en de verkoop stijgt na melding van een incident.
Wat ik niet wil is achteraf boetes opleggen als er iets mis is gegaan, dan gaan bedrijven hun lekken en problemen alleen maar verbergen en onze data krijgen we toch niet meer terug. Het systeem moet gericht zijn op voorkomen dat er iets kán lekken.
Er zijn nu ook wel wat regels voor bedrijven die data opslaan maar die zijn in praktijk vooral aanwijzingen voor bedrijven die van goede wil zijn. Wie er geen zin heeft kan zich er makkelijk vanaf maken, controle is er eigenlijk niet en heel dwingend zijn de regels toch al niet.

[Bor]

onderzoek naar de noodzaak van het opslaan van deze gegevens (en hoe lang ze bewaaard worden).

Deels wordt het opslaan verplicht vanuit wet- en regelgeving zoals de belastingdienst. Vanuit de AVG zou er altijd dataminimalisatie plaatst moeten vinden.

[CaptainKansloos]

Er had natuurlijk in december al gecommuuniceerd moeten worden met een: We hebben je PWD veranderd! oid. Weet iemand of dat gebeurd is?

Aan die gegevens die gelekt zijn verander je nu niet zoveel meer, maar probeer daarna je klanten iig zo snel en zo goed mogelijk te beschermen. Ik kan niet echt vinden wat er nou concreet aan risico gelopen wordt. Dat is op zichzelf best een kwalijke zaak lijkt me; helemaal 3 maanden achteraf.

[mjtdevries]

Waarom zouden ze je password veranderen als dat helemaal niet gecompromiteerd is?

[CaptainKansloos]

Omdat dat het minste is wat je kunt doen, zeker als de communicatie zo onduidelijk is. Van een wachtwoord veranderen word je amper slechter, maar het is vrijwel altijd een verbetering van de beveiliging.

Bij mij is het iig een soort reflex. Eerst dat; dan inventaristie wat ik allemaal nog meer kan doen.

[Accretion]

We hebben je wachtwoord veranderd; en dan in de mail je wachtwoord zetten in plain tekst?

[CaptainKansloos]

Nee. Veranderen en een mail sturen met de tekst: "We hebben 'm veranderd (om misbruik te voorkomen). Volg de pwd reset procedure om een nieuw wachtwoord te zetten".

Hierdoor is de window tussen hack en misbruik zo klein mogelijk. De klant kan op eigen tempo besluiten een nieuw wachtwoord te kiezen.

[Reactie gewijzigd door CaptainKansloos op 22 juli 2024 16:24]

[Yzord]

Zal Holleder niet blij mee zijn

[segil]

Ik heb ook deze mail gekregen en hen gevraagd waarom ik nu pas word geïnformeerd. Ik had zelf al eerdere mitigerende maatregelen kunnen nemen, zoals het wijzigen van mijn wachtwoord.

Ben benieuwd naar het antwoord.

[mjtdevries]

En in welke wijze zou dat dan een mitigerende maatregel zijn?
Er word immers niet verteld dat de password gecompromiteerd zijn?

[segil]

Omdat in dat geval sowieso geen misbruik gemaakt kan worden van mijn account. We zien wel vaker dat een bedrijf eerst meldt dat geen wachtwoorden buit zijn gemaakt, en later toch wel.
Het is aan mij de keuze of ik mijn wachtwoord wil wijzigen. Of mijn account wil opzeggen. Maar dat kan pas, als ik hierover ben geïnformeerd. Wat nu redelijk laat is gebeurd.

[Accretion]

Als er een lijst met email-adressen vrij komt van een bepaalde website, kun je in andere data-dumps zoeken naar wachtwoorden.

De kans is aannemelijk dat een persoon op verschillende platformen hetzelfde wachtwoord gebruikt.

Maar ja, verder heeft het niet veel nut en je zou kunnen stellen dat ook zonder de tweede lek die pogingen gedaan (kunnen) worden.

[mjtdevries]

Als jij op verschillende sites hetzelfde wachtwoord gebruikt, dan weet je dat zelf.
Dus dan weet je ook zelf of een aanvaller een wachtwoord zou kunnen vinden van een ander account van je.
Dat heeft segil vast niet gedaan, dus vandaar mijn vraag specifiek aan hem wat dat zou mitigeren in zijn geval.

En ik begrijp zijn antwoord dat hij het voor de zekerheid doet, voor geval er later gemeld word dat er toch passwords gestolen zijn.

[segil]

inderdaad. Ze hadden iig een persoonlijke mail kunnen versturen in december 2023 dat deze aanval had plaatsgevonden en nog e.e.a. uitgezocht zou worden. Dat had het een stuk transparanter gemaakt.
Nu, of ze wisten in december al dat geen wachtwoorden buit gemaakt waren. Dat hadden ze dan gelijk kunnen melden in de pers om onrust te voorkomen. Of, ze weten nu pas dat geen wachtwoorden buit zijn gemaakt en hebben ze al die tijd gewacht om klanten te informeren, met het risico dat wachtwoord wel gecomprimeerd waren en deze credentials al een langere tijd misbruikt konden worden.

[Reactie gewijzigd door segil op 22 juli 2024 16:24]

[segil]

Update: Antwoord dat ik gekregen heb, stelt teleur:

Dank u voor het contacteren van het Data Incident Care Team.

Houd er rekening mee dat we in geen geval ooit gedetailleerde betalings-/financiële informatie verzamelen of bewaren in onze IT-systemen, zoals bijvoorbeeld bankrekening- of creditcardgegevens, dus er is geen kans dat gedetailleerde financiële informatie is blootgesteld aan de dreigingsfactoren. De informatie die we bewaren is alleen de betalingsmethode die voor de aankoop is gebruikt (bijvoorbeeld creditcard”, Paypal” of betaling via bankrekening”), zonder aanvullende details.

Wij dragen hoge waarde toe aan uw privacy. Uw privacy is daarom onze prioriteit. We zullen de situatie actief blijven monitoren en wij zullen direct en effectief handelen om uw persoonlijke gegevens te beschermen.

We zullen ons beleid en onze procedures op het gebied van cyberbeveiliging en onze technologische capaciteiten blijven herzien door te zoeken naar mogelijkheden om zo de veerkracht in een steeds evoluerend dreigingslandschap te versterken.

Laat het me alstublieft weten als u verder nog vragen heeft.

[Mushroomician]

Daarom altijd aliassen. Bijvoorbeeld met SimpleLogin.