KLM meldt datalek waarbij namen en contactgegevens van klanten zijn buitgemaakt

Bij een datalek zijn persoonlijke gegevens van klanten van KLM buitgemaakt, meldt het bedrijf in een e-mail. De aanvaller heeft door de hack onder meer de voor- en achternamen en contactgegevens van klanten in handen gekregen.

Verschillende tweakers melden op het forum dat zij deze e-mail hebben gehad. Volgens KLM heeft een hacker toegang gekregen tot een systeem van een derde partij dat de vliegmaatschappij gebruikt. Daarbij heeft de hacker onder meer de voor- en achternaam, contactgegevens, het Flying Blue-nummer en -niveau en de onderwerpregel van e-mails van mensen verkregen.

KLM schrijft dat het samen met de derde partij stappen heeft ondernomen en de beveiliging heeft opgeschroefd om een nieuw lek te voorkomen. Het lek is ook gemeld bij de Nederlandse Autoriteit Persoonsgegevens. Creditcardgegevens, paspoortnummers, wachtwoorden en informatie over boekingen zijn niet gelekt, zegt het bedrijf.

De data die de hacker heeft verkregen, kan gebruikt worden om phishingmails geloofwaardiger te doen overkomen. KLM raadt klanten aan alert te blijven als zij berichten krijgen waarbij hun persoonlijke gegevens gebruikt worden. Het bedrijf kon niet direct reageren op vragen van Tweakers over het lek.

Dinsdag meldde sieradenketen Pandora een soortgelijk datalek, waarbij een hacker namen, e-mailadressen en telefoonnummers van klanten had verkregen bij een aanval op een derde partij. Het is niet bekend of er een verband bestaat tussen deze twee datalekken.

Update, 16.19 uur - Eerder stond in het artikel dat het lek vermoedelijk alleen leden van Flying Blue trof. Verschillende tweakers die geen lid van Flying Blue zijn, meldden echter ook geïnformeerd te zijn over het lek. Het artikel is hierop aangepast.

Reacties (78)

[Yariva]

Ik heb naar mijn weten nooit iets van Flying Blue / aan een loyaliteitsprogramma deelgenomen en ook ik heb vanochtend een mailtje gekregen. Ik ben benieuwd of de scope stiekem toch niet wat groter is!

[svane]

Ik zou inderdaad eerder verwachten dat het met hun klantenservice te maken heeft. Vooral omdat er in de mail staat:

These relate to your earlier contact with our customer service and may include:

En in dit artikel staat:

en de onderwerpregel van e-mails van mensen verkregen.

Mails lijken mij meer met klantenservice te maken hebben.

Ik ben benieuwd waar het vermoeden vandaan komt dat het alleen om Flying Blue klanten gaat, dat zie ik nergens in het artikel staan.... Iemand een idee?

[jdh009]

Ik denk dat dat vermoeden komt doordat in de mail staat dat onder de gelekte gegevens onder meer je Flying Blue-nummer en tier level vallen:

Your Flying Blue number and tier level

Dat impliceert in elk geval dat een deel van de getroffen personen Flying Blue-leden zijn, ook al staat er niet letterlijk dat het alleen om Flying Blue-klanten gaat. De rest van de genoemde gegevens (contactgegevens, onderwerpregels van serviceverzoeken) wijst dan weer op eerdere klantenservice-interactie, dus het kan een overlap zijn.


Bron: de mail

We are reaching out to you because of a recent data breach involving your personal data. Specifically, a fraudster gained limited access to a third-party system that is used by KLM.

Our dedicated teams, together with the third-party system involved, quickly took the necessary steps to address the situation, and have reinforced protective measures to prevent this from happening again.

Data such as credit card details, passport numbers, Flying Blue Miles balances, passwords or booking information were not involved.

However, we have confirmed that some of your personal data were exposed by this breach. These relate to your earlier contact with our customer service and may include:

• Your first name
• Your family name
• Your contact details
• Your Flying Blue number and tier level
• The subject line of service request emails

We recommend staying alert when receiving messages or other communication using your personal information, and to be cautious of any suspicious activity. The data involved in this breach could be used to make phishing messages appear more credible. If you receive unexpected messages or phone calls, especially asking for personal information or urging you to take action, please check their authenticity.

We have reported this incident to the Dutch Data Protection Authority (Autoriteit Persoonsgegevens), in accordance with data protection laws.

We understand the concern this may cause, and we deeply regret any inconvenience this may have caused you. If you have any questions or need further assistance, please contact the KLM Customer Contact Center.

Yours sincerely,

KLM N.V.

Chief Experience Officer & EVP Business Development

[Reactie gewijzigd door jdh009 op 6 augustus 2025 15:24]

[timeraider]

Denk dat Tweakers hier een misleesje heeft gedaan.
Als ik het zo lees ben ik het met jou eens. Het gaat hier om ALLE accounts die specifiek contact hebben gehad met de klantenservice.

Dus niet alleen Flying Blue, maar het is inderdaad ook niet zo dat iedereen getroffen is.. alleen accounts die contact hebben gehad met klantensupport.

Dus artikel klopt inderdaad niet volledig gebaseerd op het mailbericht iig.

Hoewel ik niet weet waar hun "vermoedelijk" vandaan komt.. misschien is er iemand die er meer over weet :P

[Reactie gewijzigd door timeraider op 6 augustus 2025 15:24]

[runaround]

Zou goed kunnen. Ik heb een flying blue account, heb volgens mij nog nooit contact gehad met de klantenservice en heb nu ook nog geen mailtje mogen ontvangen over dit datalek.

[dutch_mentor]

Wellicht had je ooit een keer een account aangemaakt bij het boeken van een vlucht bij KLM? Ik geloof dat je dan automatisch lid wordt van Flying Blue.

[Yariva]

Dat zou zomaar kunnen. Mogelijk om iets van stoelen te reserveren.

Ik had niet voor ogen dat voor het aanmaken van een account je al mee doet aan verschillende programma's.

[FreezeXJ]

Dat is ook precies het hele idee van data harvesten. Het boeit de klant niet, maar je krijgt wel leuke gegevens, en mensen gaan blond akkoord met van alles dus je kunt ze daarna mooie dealtjes sturen of tracken of ze vaker met je willen vliegen.

Win-win toch, tenzij je niet van reclame houdt of er een derde met die gegevens vandoor gaat.

[magician2000]

Dat is wel erg simplistisch gesteld.


Al die bedrijven maken het dusdanig ondoorzichtig, tijdens een bestel- of koopproces, dat mensen geen idee hebben waar ze wel of niet akkoord voor moeten geven om (voor dit geval) die ticket te boeken die ze nodig hebben.


Hoog tijd dat we van die idioot doorgedraafde commercialisering afkomen.

[Arjan P]

Wellicht had je ooit een keer een account aangemaakt bij het boeken van een vlucht bij KLM? Ik geloof dat je dan automatisch lid wordt van Flying Blue.

Nee, dat is niet zo. En ook met gebruik van de app ben je niet automatisch lid van Flying Blue. Hoewel je er wel steeds om wordt gevraagd. Er staat trouwens duidelijk in de mail "May Include" Flying Blue number e.d.

[R_Zwart]

Aanmelden voor Flying Blue is gratis, ik denk dat heel veel mensen ooit wel een keer het hebben aangevinkt maar omdat ze er niets mee doen vergeten zijn dat ze een flying blue account hebben.

[iAR]

Ik wel, maar heb geen mail gekregen.

[Blokker_1999]

Hier omgekeerd, hoewel het al weer enkele jaren geleden is dat ik met KLM gevlogen heb en ik Flying Blue ben, heb ik dan weer net geen mailtje ontvangen

[Kevinp]

Ik heb ook niks gehad en ben zeker flying blue member.

[ZwolschBalletje]

Misschien moet je even een mailtje aan de klantenservice sturen om te vragen waarom jouw gegevens niet ook gelekt zijn.

[Jimmy-meertens]

Huh raar ik ben een flying blue member en heb geen mail ontvangen

[Davey400]

Bij mij is het andersom; ik gebruik FlyingBlue heel regelmatig (wekelijks) omdat ik het als spaarprogramma bij aankopen in webshops gebruik en log dan ook met grote regelmaat in met dat account.
Ik heb dan weer (tot nu toe) geen enkele communicatie over potentiële gelekte data ontvangen.

[arjankoole]

Ik heb naar mijn weten nooit iets van Flying Blue / aan een loyaliteitsprogramma deelgenomen en ook ik heb vanochtend een mailtje gekregen. Ik ben benieuwd of de scope stiekem toch niet wat groter is!

ik daarentegen ben al jaren lid, en heb niets gehad. :)

[felixctt]

Ik ben daarentegen wel flying blue member en vlieg regelmatig met KLM, maar ik heb dus geen mail gehad. Hopelijk dus ook niet betrokken bij het datalek.

[Finnrt]

Bizar. Dit is al zo zoveelste keer bij KLM. Ik heb helaas ook nog niets ontvangen en het lijkt ook niet mogelijk om mijn wachtwoord te wijzigen.

[litebyte]

Ik ben een frequent flyer en heb (nog) geen mail.

[rdfeij]

Ik heb hem 5 minuten terug pas gehad... de mailrun zal nog lopen ;)

[Finnrt]

Yep, same. Ik vlieg vaak met plezier met KLM, maar ik vind de site en app altijd verschrikkelijk. Het zou mooi zijn als ze als aandeelhouder van SAS wat kunnen leren. Dat werkt perfect!

Helaas nog geen e-mail ontvangen.

[Connr]

Als je inlogt op de KLM site kan je via je profiel en dan beveiligingsinstellingen je wachtwoord aanpassen. Ik moest hiervoor wel Chrome starten ipv Firefox.

Ook gelijk mijn email aangepast en 2fa maar aangezet.

[Finnrt]

Yes, same issue. Het is in een incognitovenster inderdaad gelukt. :)

[jmvdkolk]

Ik zou blij zijn dat je niets ontvangen hebt. Dat betekent hopelijk dat jouw gegevens niet gelekt zijn. Ik ben in ieder geval blij dat ik niets gehoord heb.

Ik kan mijn wachtwoord wijzigen bij Beveiligingsinstellingen. Wat gaat er mis?

[Finnrt]

Als dat zo is, dan is dat inderdaad top! Dat zou echter wel gek zijn, aangezien ik regelmatig met KLM vlieg en alle punten bij elkaar bij schrapen die ik kan. Maar goed, positief blijven.

Wachtwoord wijzigingen is ondertussen gelukt. Ik kreeg eerder veel redirects loops.

[jmvdkolk]

Mooi dat het aanpassen van het wachtwoord inmiddels werkt. Het lijkt erop dat KLM iets heeft opgelost sinds jouw originele post.

Ik ben ook frequent flyer. Support die ik krijg van KLM gaat via de speciale frequent flyer kanalen. Misschien gebruiken die geen Salesforce?

[Simon Weel]

Wat me uit dit soort berichten nooit duidelijk wordt is of het om een 'hack' of misbruik van inloggegevens gaat. Een 'hack' suggereert dat iemand zich via een bug / achterdeur etc. toegang tot een database heeft verschaft. Waarbij ik me dan afvraag: waarom is die database niet versleuteld?

Als iemand zich toegang tot data verschaft met (gestolen) reguliere inloggegevens, dan kan ik me voorstellen dat de opgevraagde data ontsteuteld is.

[Bender]

Wat zie je als database versleuteling?
Wat wil je dan op welke manier versleutelen, er van uitgaande dat de db enkel met een wachtwoord benaderd kan worden.

[klakkie.57th]

enkel benaderen via username/password is echt redelijk gedateerd. Meest moderne database (servers) hebben wel meerdere mogelijkheden.

maar zolang je de precieze omstandigheden niet weet, kun je weinig zinnigs zeggen over deze “hack” en hoe het te voorkomen.

[Bender]

Maar wat voor mogelijkheden dan? Want het is zeer ongebruikelijk data in een database te encrypten, los van wachtwoorden want die wil je maar 1 way encrypten.

[klakkie.57th]

Wel ik maak toch gebruik van databases waar we verschillen velden encrypteren met verschillende keys.

Zo zorgen we ervoor dat iemands bankrekening nummer enkel zichtbaar is voor iemand van HR maar niet voor iemand van de helpdesk

In microsoft sql noemt dit “always encrypted”.

https://learn.microsoft.com/en-us/sql/relational-databases/security/encryption/always-encrypted-database-engine?view=sql-server-ver17#limitations

[Bender]

Dus het is te decrypten.. wat is de laag van security dan?

Dat de HR een rekeningnummer kan zien, maar een ander niet is de softwarelaag die dat doet en totaal niet de database.
(tenzij de HR medewerker direct in de database zit)

En jouw eigen url zegt eigenlijk zegt het zelf ook al;

It also automatically decrypts query results from encrypted database columns.

[klakkie.57th]

Nee zo werkt het niet ofwel begrijpen we mekaar niet

Op je webserver ga naast je connectionstring met bijhorende beveiliging ook nog een cert installeren voor die specifieke velden anders krijg je niet niet unencrypted te zien.

Als je met de databank connecteert via sql server management studio dan je krijgt alle velden ten zien maar enkelen zullen encrypted blijven zelfs als je inlogt met dba credentials, tenzij je dus het nodige certificaat hebt geïnstalleerde op je workstation, of zelfs meerdere certificaten indien er verschillende certificaten werden gebruikt voor verschillende tabellen

Maar de configuratie gebeurd wel op database server niveau. Je kan die certs lokaal opslaan of in meer recentere versies van sql server kun je een azure keyvault hiervoor gebruiken

[Reactie gewijzigd door klakkie.57th op 6 augustus 2025 22:24]

[Die_ene_gast]

Dus het is te decrypten.. wat is de laag van security dan?

Maar dat is toch juist het idee? Anders zouden cryptolockers een godgeschenk zijn

[Ricco02]

Inloggen met inloggegevens van iemand anders zonder toestemming is ook officieel hacken volgens de definitie.

Ookal word dat in het algemeen niet zo gezien. Is het feitelijk dus gewoon hacken. Kan dus beiden manieren zijn.

[Kevinp]

En inloggen met je eigen gegevens en de data ontvreemde mag ook niet. Maar dat zijn wel echt andere dingen.

Zeker binnen de IT kan je vaak bij erg veel data.

[Ricco02]

Maar wat jij beschrijft is niet misbruik van inloggegevens maar eerder breken van geheimhoudingsplicht.

Als je gewoon inlogt met jouw inloggegevens misbruik je niet specifiek jouw inloggegevens. Als jij vervolgens de data zou lekken dan is er met jouw inloggegevens niks aan de hand. Maar breek je wel je geheimhoudingsplicht etc.

[Kevinp]

wat je breekt maar niet zoveel uit. Maar dan is het niet echt een hack. De mens met inlog gegevens is altijd een zwak punt.


Dat kan de IT'er zijn die alles onderhoud

Maar ook de HR man die alle interne personeels gegevens heeft.

Of die IT man die zijn laptop niet locked en een derde persoon de mogelijkheid ziet en pakt om het te stelen.

[gamezfreak]

Waarbij ik me dan afvraag: waarom is die database niet versleuteld?

Korte antwoord, kost tijd en geld om te database te versleutelen. Kan ook zijn dat er antieke software op draait en dat er maar 1 iemand de kennis er van heeft. Dat laatste is niet heel aannemelijk dus gok ik dat het de eerste optie is. Vooral omdat tegenwoordig alles zo goedkoop en snel mogelijk geleverd moet zijn.

Vaak hebben de derde partijen het niet zo nauw qua security en vooral privacy, waardoor dit soort lekken steeds vaker zullen komen én waarbij phishing steeds groter wordt omdat de hackers dan niet alleen de naam hebben, maar dingen die het persoonlijk maakt (boekings en/of vluchtnummer).

Bedrijven moeten echt beginnen met het eisen dat derde partijen hun security op orde hebben, voordat ze gaan samenwerken. Desnoods een onafhankelijke audit laten doen, waarbij er naar gekeken wordt of de derde partij zich aan de gestelde wetten en regels houdt omtrent AVG, security en dat er juiste protocollen bestaan in geval van dat er een lek / hack heeft plaatsgevonden.

Het is niet de vraag of je wordt gehacked, het is de vraag welke gegevens er van jouw op straat komen te liggen, doordat bedrijven er vrij laks omgaan met gevoelige informatie.
Als alleen je voornaam gelekt wordt is niet zo heel spannend, want er zijn heel veel mensen die Simon, Jan, Peter, etc. heten. Het wordt pas wel spannend als ze ook andere gegevens van je hebben zoals je boekings /bestelnummer, IBAN / CC nummer (met de CCV code (tegenwoordig moet je de aankoop bevestigen via de CC app van je bank op je telefoon)) of in ergste geval, dat ze een uitdraai hebben met de plekken waar je vaak komt.

Ik ben benieuwd of er rechtszaken gestart kunnen worden tegen de derde partijen. Ik vind dat de eerste bedrijf / partij (in dit geval KLM) zich wel moet verdiepen hoe hun derde partijen met data omgaan. Voor hetzelfde geval komt een hacker een heel eind in de keten en kan het KLM in die mate raken dat bijv. het vliegverkeer gestoord wordt of dat de bagage afhandeling vastloopt.

[Ryanirin]

Gezien de term "subject line of service request emails" vermoed ik eerder een service request systeem, dan een flying blue systeem.

[svane]

Dat zou ik ook denken. Nu.nl heeft het daar ook over.

Het lek is gevonden bij een extern platform dat KLM en Air France gebruiken voor hun klantenservice.

NRC heeft het wel weer over Flying Blue klanten, maar wederom zonder bron.

Datalek in Flying Blue-programma van KLM

Even afwachten dus. Persoonlijk heb ik de mail gekregen, en heb ik zowel een oud Flying Blue account als regelmatig contact gehad met hun 'klantenservice'* gehad, dus 't kan beiden zijn.

offtopic:
*Die dus mogelijk naast het liegen over alles wat los en vast ook mogelijk je gegevens lekken.

[Ryanirin]

Ik heb ook FB, maar geen mail. Geen klantcontact oid gehad.

Ik vermoed dat dit de zoveelste Salesforce-breach door een actor genaamd Shinyhunters betreft. Even googlen leert dat KLM ook een Salesforceklant is, en het zou best kunnen passen bij het type gegevens dat in de brief (die op het forum is geplaatst) staat.

De Google Threat Intelligence Group heeft een uitgebreide blog over deze groep geschreven begin juni dit jaar: https://cloud.google.com/blog/topics/threat-intelligence/voice-phishing-data-extortion

[HenkEisDS]

Die Salesforce breach is amper een Salesforce breach te noemen. Het is een social engineering campagne die zich richt op Salesforce gebruikers en die gebruikers een malafide app laten autoriseren met hun Salesforce credentials. Diezelfde autorisatie is voor bedrijven erg handig en zorgen ervoor dat je makkelijk externe tools kunt koppelen zoals bijvoorbeeld een survey tool, marketing automation, etc. Elk CRM systeem heeft zo’n feature en ik denk zelfs elk cloudsysteem.

Wat wellicht een beetje zwak is aan Salesforce is dat deze rechten vrij makkelijk aan gebruikers gegeven kunnen worden. Weet even niet uit mijn hoofd of dit in het Standard User profiel zit. Maar een beetje admin geeft geen enkele user API rechten en laat alles via Connected Apps lopen. Ik denk dat als het hier inderdaad bij KLM om Salesforce gaat het niet om deze aanvalsvector gaat. KLM heeft no-way API access open staan.

[pven]

Ja, kwam op LinkedIn al langs bij diverse security-experts.

[Bestseller]

Ik ben van mening dat hacks niet altijd voorkomen kunnen worden. Het blijft een kat en muis spel en een kwestie van de zwakste schakel / medewerker vinden die een foutje maakt.

ik denk dat er meer gefocust moet worden op het kunnen herkennen van phishing en/of nep telefoontjes. En ik denk dat mailproviders, maar ook telecom aanbieders hier een rol in kunnen spelen. Samen met fabrikanten van bijvoorbeeld laptops en telefoons.

Nummerherkenning zou veel beter gecontroleerd kunnen worden. Zeker i.c.m. lokale AI die de inhoud, afzender, telefoonnummer, etc. van een gesprek/mail kan beoordelen en kan waarschuwen.

[nonestpraens]

De zwakste schakel zal altijd de mens blijven die behulpzaam wilt zijn wellicht in de medewerker die een foutje maakt of derden die een applicatie hebben geprogrammeerd voor KLM waar een lek in zat. Men kan wel computers de schuld geven, echter voert een computer enkel datgene uit wat gevraagd wordt van de gebruiker.

[GorgeousMetal]

Ik ben Flying Blue lid en heb (nog) geen email gehad.

[phoenix2149]

Al zeker 11 jaar “lid” en niets ontvangen nog.

Wel weer kwalijk hoor. Voor de zekerheid even wachtwoord veranderd van KLM/Flying blue.

[Reactie gewijzigd door phoenix2149 op 6 augustus 2025 14:39]

[Vogel666]

Jaaaaa...de nieuwe manier van coding: je laat het gewoon over aan een externe partij. SaaS of microservices....what could possibly go wrong? In het contract staat immers dat het goed gaat.

Dat effectief het aantal beheerders dat op de achtergrond zichzelf toegang kan verschaffen tot de data verveelvoudigd en ook de attack-surface vele malen groter is geworden..daar hoor je niemand over.

[Reactie gewijzigd door Vogel666 op 6 augustus 2025 14:57]

[Commendatore]

Sowieso is het uitbesteden van allerlei werkzaamheden in dit opzicht een risico, vooral ook klantenservice.

[Vogel666]

Ik heb er geen enkel illusie over dat je zelf met dezelfde problemen hebt te maken als de partijen waaraan je uitbesteedt (en vice versa). echter schaalgrootte werkt voor dit soort diensten wel sterk in je nadeel (ook al rechtvaardigt een groter platform wel een grotere investering in security)

[beezjeh]

Hier ook uiteraard ontvangen. Ze willen alles weten en toch slagen ze er 'niet' in om belangrijke gegevens fatsoenlijk veilig op te slaan....

[Reactie gewijzigd door beezjeh op 7 augustus 2025 09:29]

[uiltje]

Volgens mij ben je een nietje vergeten.

[beezjeh]

Zie het inderdaad 😅.

[Bender]

Ik heb het niet ontvangen.

Maar vraag me af of het wel met Flying Blue te maken heeft en niet met een klantenservice/ticketsysteem.

[Commendatore]

Dat laatste, als ik de mail mag geloven.