Logitech bevestigt cyberaanval, 'beperkte informatie' van klanten buitgemaakt

Logitech bevestigt onlangs slachtoffer te zijn geweest van een cyberaanval. Daarbij hebben de aanvallers 'beperkte informatie over werknemers en consumenten' buitgemaakt. Het incident heeft geen gevolgen voor de productie van het bedrijf.

Logitech schrijft dat het onderzoek loopt, maar dat het bedrijf vermoedt dat de hackers gebruik hebben gemaakt van een zerodaykwetsbaarheid in 'een softwareplatform van derden'. Om welk softwareplatform het precies gaat, is niet bekend. Logitech heeft de kwetsbaarheid gedicht nadat een patch door de leverancier beschikbaar was gesteld.

De fabrikant schrijft verder dat de aanvallers 'beperkte informatie over werknemers en consumenten en gegevens met betrekking tot klanten en leveranciers' hebben bemachtigd. Logitech vermoedt dat er geen gevoelige persoonlijke gegevens, zoals bsn's of creditcardgegevens, in het getroffen IT-systeem waren opgeslagen.

Het bedrijf denkt niet dat het incident een groot negatief effect zal hebben op de financiële situatie of de bedrijfsresultaten. Logitech zegt dat de fabrikant een uitgebreide cybersecurityverzekering heeft afgesloten. De verwachting is dat deze niet alleen de kosten voor incidentrespons en forensisch onderzoek, maar ook de kosten voor eventuele bedrijfsonderbrekingen, rechtszaken en boeten van toezichthouders dekt.

Reacties (52)

[Luchtbakker]

Ik heb recent een POS ontwikkeld en daarbij moest ik ook rekening houden met alle data dat er van klanten in de database opgeslagen staan. En eigenlijk is het eerste wat ik heb gedaan elke regel in de database laten encrypten als er ook maar iets van userdata was. Zelfs al was het maar zo iets simpels als een medewerker pincode voor het inloggen. Dan is het bij diefstal eigenlijk waardeloos. Ik snap niet dat bedrijven als Logitech dat niet standaard doen. Het kost wat extra resources maar het scheelt vooral iedereen die in een database staan zoveel ellende.

[Reactie gewijzigd door Luchtbakker op 15 november 2025 13:15]

[Blokker_1999]

Er is een groot verschil tussen hackers die heel snel zoveel mogelijk data proberen te exporteren en hackers die de tijd nemen als ze eenmaal binnen zitten. Data-at-rest encryption is vooral belangrijk voor wanneer data later toevallig ergens achter blijft. Bijvoorbeeld een bedrijf gaat failliet, servers en computers gaan in een veiling zonder gewist te worden en dan kan dankzij data-at-rest encryptie geen data uitlekken. Of harde schijven worden vervangen en ook dan moet je je geen zorgen maken.

Maar een aanvaller die tijd heeft om alles even gade te slaan, die ga je niet snel tegenhouden met dit soort encryptie. Wanneer een POS in gebruik is, moet deze aan de data kunnen. En dan kan de hacker op zoek gaan naar de decryptiesleutel op die POS. Tenzij de decryptiesleutel op een fysieke HSM staat die een medewerker in de POS moet plaatsen om zo alles te decrypten on-the-fly wanneer het het systeem binnenkomt, heeft een aanvaller met tijd altijd alle kansen om gewoon aan al die data te kunnen.

Ik snap ergens ook niet dat jij er dan ook vanuit gaat dat omdat je row level encryptie toepast op (een deel van) je database dat die data daarmee niet gestolen zou kunnen worden en dat daarom Logitech dit overduidelijk niet zou doen. Daar is dus geen enkel bewijs voor. Wij weten helemaal niets van die hack als buitenstaanders, behalve de informatie die het bedrijf zelf naar buiten brengt. Zomaar beginnen speculeren van dat ze x of y hadden kunnen en moeten doen is dan ook zinloos.

[DoubleDot]

Encryptie is nutteloos als het systeem die de data mag uitlezen lek is.

[MainframeX]

Dat is dan misschien wel zo, maar het komt ook vaak genoeg voor dat de applicatie zelf niet gehacked wordt maar men wel via een andere weg toegang heeft tot de database (door bijvoorbeeld elders in het netwerk binnen te dringen), dan heeft encrypted opslaan echt wel degelijk meerwaarde. Tegenwoordig dien je dat soort zaken gewoon niet meer plaintext op te slaan.

[DoubleDot]

Natuurlijk heeft het meerwaarde. Maar uit je opmerking las ik dat jij denkt dat die data veilig was geweest (in dit specifieke geval) bij encrypted storage, ik gaf enkel wat tegengas :)

[nullbyte]

Cybersecurity is een lagen systeem, dit is 1 laag. Het is niet nutteloos als het systeem dat de data mag uitlezen NIET lek is.

Of wil je suggereren dat omdat zon syseeem eventueel lek kan zijn het beter is om dan maar geen encryptie toe te passen? Het enige voordeel daar dan van is dat het minder werk is voor de ontwikkelaar.

[Reactie gewijzigd door nullbyte op 15 november 2025 13:48]

[DoubleDot]

Ik had wat uitgebreider moeten antwoorden, maar ik suggereer helemaal niets. Natuurlijk is het belangrijk en zinvol, maar niet dat het by default voorkomt dat data kan lekken.

[Luchtbakker]

Encryptie is nutteloos als het systeem die de data mag uitlezen lek is.

Dat ligt 100% aan de manier waarop je het implementeert. In mijn geval is er voor gekozen een SAM key toe te passen dat de decryptie regelt. Zonder SAM heb je geen ontsleuteling en dus ook geen bruikbare data. Dit is 1 van de tig oplossingen die beschikbaar zijn. Maar in een cloud omgeving is deze oplossing al niet mogelijk.

[PeterPluijms]

Zolang de key beschikbaar is op het systeem of de data uiteindelijk unencrypted wordt verwerkt is er een weg om het eruit te krijgen. Encryption at rest werkt goed tegen fysieke diefstal van de appliance.

Hij staat hier vrij laag op de prioriteitenlijst daarom.

[Orangelights23]

Diefstal is voor nu nutteloos, maar gezien de ontwikkelingen met kwantumtechnologie ziet men duidelijk dat threat actors data stelen en simpelweg wachten tot ze de encryptie kunnen breken. TNO heeft een tooltje ontwikkeld om te identificeren met welke kwantumbestendige encryptie men nu al aan de slag kan.

[R_Zwart]

Maar tegen de tijd dat het zo ver is, is de waarde van veel data ook verminderd of nul. Dit is iets wat je in de risk assessment voor iets dat je nu gaat maken mee moet nemen (en als onderdeel van life cycle management regelmatig opnieuw moet doen).

[Orangelights23]

Waarom denk je dat de waarde van data nul is? NAW blijven vask grotendeels hetzelfde, bet als wachtwoorden. Enzovoorts.

Meerdere klanten van mij zijn al bezig met post-kwantum encryptie omdat de data veel vertelt over individuen. Van banken tot aan SaaS.

[blaatenator]

Waarom denk je dat de waarde van data nul is?

Dat is niet wat @R_Zwart zegt. Terecht merkt hij op dat in veel gevallen met verloop van tijd data waarde verliest. Beveiliging is niet zwart / wit en iedereen die hier serieus mee bezig is houdt hier rekening mee (termen als 'risk appetite', 'risk assessment', 'threat modeling' raken dit). Altijd alles 100% afdekken is meestal niet nodig en maakt alles onnodig complex (met alle gevolgen van dien) en gebruikers onvriendelijk.

[Orangelights23]

Dit is letterlijk wat hij zegt:

Maar tegen de tijd dat het zo ver is, is de waarde van veel data ook verminderd of nul

Je noemt wat risicomanagement termen, prima natuurlijk, maar dat heeft niets te maken met de waarde van data. Ook hebben de meeste bedrijven geen kennis van de gevolgen en is risk appetite niets meer dan het groene vakje in een risk matrix.

Ik geef zelf al enkele jaren talks op conferenties in Europa over cybersecurity en risicomanagement vanuit mijn ervaringen als CISO bij onder meer banken, verzekeraars en tech startups. Geloof me, bijna niemand zonder sterke cybersecurity expertise heeft geen enkel idee wat de gevolgen zijn van deze situatie.

[Keyb]

Er zijn ook partijen die op basis van een pcap file of een directe capture kunnen aangeven welke https verbindingen PQC safe zijn. En tls scans uitvoeren welke servers wel/niet quantum safe zijn.

[Bierfustje]

Gelukkig ben je geen security specialist, want dan had je een onveilige oplossing als veilig verkocht.

Klant denken dat ze veilig zijn, om vervolgens bij een compromise erachter te komen dat clear-text klantgegevens bemachtigd zijn.


'Maar Luchtbakker gaf aan dat de gegevens in het backend systeem versleutelt waren en dat dit daarom niet kon gebeuren??!!'.

Ja, maar zijn naam is niet voor niets luchtbakker; hij heeft u gebakken lucht verkocht.

[Luchtbakker]

Gelukkig heb jij de code en back-end gezien en weet je exact waar je in mijn situatie over spreekt. Drink er nog eentje.

[Microwilly]

Je praat best veel onzin

[Terry A Davis]

Dankje voor je eerlijkheid. Ik leer daar van.

[logix147]

"Logitech zegt dat de fabrikant een uitgebreide cybersecurityverzekering heeft afgesloten. De verwachting is dat deze niet alleen de kosten voor incidentrespons en forensisch onderzoek, maar ook de kosten voor eventuele bedrijfsonderbrekingen, rechtszaken en boeten van toezichthouders dekt."

Dus als je cc gelekt wordt en je trapt erin dat Logitech weer betaald moet worden dan val je denk ik buiten de boot default.

Wel fijn dat zoveel bedrijven alles van je willen bewaren en het zo lijkt afschuiven op derden.

[Olaf van der Spek]

Dus als je cc gelekt wordt en je trapt erin dat Logitech weer betaald moet worden dan val je denk ik buiten de boot default.

Dat is gewoon via de creditcardmaatschappij op te lossen toch?

[logix147]

De zero liability clausule is denk ik wel in 90% dekkend, maar je kan er wel relatief veel gedoe mee krijgen als je ineens veel charges hebt. Dat kan ongemerkt soms ook gevolgen hebben.

Bijvoorbeeld jouw 'online reputatie' kan hierdoor onterecht als risico stempel ontvangen. Nu koop ikzelf nauwelijks meer op afbetaling, want creditcard dekt mijn aankoop toch wel linksom of rechtsom. Maar op mijn hoofdmailadres zwerft vast en zeker ergens een profiel rond, want daar kom ik eenvoudig door een klarna/paypal/afterpay check heen terwijl mijn alias-per-shop mailbox vaak vastloopt/geweigerd wordt.

Laatst was er nog een artikel hier te lezen dat dit soort profielen simpel gezegd not-done zijn, maargoed we weten heus wel dat dit soort datasets bestaan en dat winkels daar online gebruik van maken of ze wel of niet een aankoop via kopen op afbetaling toestaan.

[Ascathon]

Dat noemt men verzekeren. In plaats van dat jij alles moet betalen als je iemands auto aanrijdt en totalled. Dan schuif jij het ook af op je verzekering en ga je soort van verder met je leven.

[logix147]

Verschil met de auto is dat ik wel een beetje invloed heb op wat ik ermee doe, met je gegevens achterlaten bij een bedrijf - dit is eigenlijk gokken/hopen?

Dat zou toch anno 2025 geen vraagstuk meer mogen zijn, maar 100% dicht bestaat niet of is niet te bekostigen (zowel bedrijf als consument).

Misschien dat een stel knappe koppen een beter werkend systeem dan de creditcard kunnen bedenken. Ik snap bijvoorbeeld soms echt niet waarop het authoriseren van mijn creditcard betalingen op gebaseerd is. Ik zou eigenlijk willen dat ik gewoon kan instellen dat ik vanaf bedrag XX het gewoon standaard altijd in mijn app dien te beantwoorden of het akkoord is.

[mburg]

Ik heb een creditcard bij de Rabobank en moet elke online transactie autoriseren in de App. Verschilt dus waarschijnlijk per provider.

[Mathi159]

"Ik heb jouw auto aan gort gereden maar gelukkig ben ik daarvoor verzekerd" Heel fijn voor Logitech inderdaad, 0 verbetering voor de daadwerkelijke slachtoffers...

[maradesign]

Niet vergeten dat als data lekt, het ook niet perse zo hoeft te zijn dat er 'alleen' wat met deze data gedaan wordt.

Maar er zijn vaker lekken, en er zijn genoeg bedrijven die alles aan elkaar koppelen en profielen opbouwen met veel meer dan alleen maar bijvoorbeeld deze logitech data.

Dus het is echt potentieel veel gevaarkelijker elke keer dat er een nieuw lek is bij deze grote jongens.

Er worden misschien door Mark Zuckerberg en anderen profielen van je opgebouwd voor targeted adds, en wat nog meer. Maar dat kan ook net zo goed voor de internet criminelen gelden op het darkweb om gerichte aanvallen te doen, of door te verkopen.

[nullbyte]

Maar dat kan ook net zo goed voor de internet criminelen gelden op het darkweb om gerichte aanvallen te doen, of door te verkopen.

UIteraard, het zou ook naief zijn te denken dat organisaties als de NSA, de FSB en Ministry of State Security (china) geen profiel hebben van zo veel mogelijk Europese inwoners.

[Bkim]

Aan de reacties te lezen, begrijpt niemand er wat van en is het geroeptoeter herhaling van eerdere hack / datalek meldingen. Maar het is mij wel duidelijk dat alles te hacken is, ongeacht de beveiliging. Als je als beheerder denkt dat je systeem veilig is, moet je je achter je oren krabben. Dus ligt de verantwoordelijkheid plots bij de consument. Terug naar de tijd van het telefoonboek en de gouden gids...

[TechAddicted]

Veel gehackte bedrijven laten helemaal niets weten terwijl de data evengoed op straat ligt. Transparantie in zulke incidenten blijft toch wel aangewezen om het vertrouwen van gebruikers te behouden.

Maar dergelijke bedrijven zouden hun beveiliging eigenlijk foutloos moeten organiseren, gezien de schaal waarop ze opereren ende verantwoordelijkheid die ze dragen voor de gegevens van hun gebruikers.

[Vage_Karel]

Daarom zo min mogelijk informatie van jezelf achterlaten.
Mensen vullen alles maar in als geboortedatum en volledige naam met adres.
Vul alleen adres in voor verzenden en gebruik voor je naam een alias en je geboortedatum altijd op 1 januari.

[grote_oever]

Dat is helaas lastig om zo min mogelijk van jezelf achter te laten. Als je een product online producten koopt moet jij je gegevens achter laten voor onder andere de bezorging. Hoe vaak ik geen mobielnummer moet invullen bij een online bestelling, waarvan soms wel en soms niet verplicht is. Ik ben volgens mij nog nooit gebeld door een webshop.

[Aurora]

Really? Is dat echt lastig? Je verplicht voelen om je telefoonnummer of andere niet relevante gegevens op te geven?

Ik heb het helaas al vaker gehoord van mensen dat ze braaf alles invullen wat er gevraagd wordt. Voor een computermuis of refill voor hun printer..

Wellicht zit het in het brave van de Hollander, maar je mag gerust het minimale opgeven dat jij denkt passend te vinden voor een specifieke bestelling. Verplicht veld? Boggus random data. Ik geef enkel mijn huisadres en ik gebruik mijn initialen voor mijn voor en achternaam. That's it. Al 20 jaar lang doe ik het op die manier.

Bestel ik iets groots, zoals een wasmachine, dan is het vaak logisch dat je je telefoonnummer opgeeft voor de vervoerder.

[grote_oever]

Ik vul daar ook nooit kloppende telefoonnummers in. Maar je mist hier het punt. Waarom verplicht stellen en die gegevens opslaan. Je ziet het overal, waarbij de klant de dupe is van de verwerker.

En je geeft het zelf aan. Bij iets groots is het logisch dat je het opgeeft, maar tot wanneer is het niet meer logisch? Ik ze ze de check bij bestellen nog niet inbouwen "Bij deze bezorgingen bellen wij je op. Dus we hebben je telefoonnummer nodig", terwijl ze dat bij iets kleins dan niet doen.

[R_Zwart]

Nooit kloppend als niet bestaand of iets anders dan jouw telefoonnummer?

[nullbyte]

Er zijn mail aliassen, bij Proton mail kan je er een aantal aanmaken.

[Vage_Karel]

Vul 10 nullen in bij telefoonnummer, maak een 2e emailadres aan zonder je eigen naam erin.
Alleen het adres is belangrijk de rest gaat ze geen reet aan en is puur voor data verzamelen.

[BrokenTable]

En je geboortedatum, uiteraard adres, telefoonnummer want bij sommige webshops 'noodzakelijk' voor de pakketdienst (bijv. Coolblue doet er daadwerkelijk wat mee, bij anderen nog nooit meegemaakt ondanks verplichting op te geven). En je IBAN wanneer je met iDeal hebt betaald.

Een phishing mail gericht aan Pietje Puk haal je er sneller uit dan wanneer hij aan je echte naam gericht is.

[Reactie gewijzigd door BrokenTable op 15 november 2025 13:04]

[R_Zwart]

Mensen kunnen ook gewoon niet kopen als webwinkels onnodige informatie vragen. Maar dan vinden velen een paar euro korting vaak belangrijker dan persoonlijke gegevens geven aan een organisatie die ze niet kennen.

[HollowGamer]

Logitech vraagt steeds mij in te loggen voor hun muis/toetsenbord service. Dit is o.a. een reden waarom ik het niet wil bij zit soort dingen, je weet niet hoe zij of derden met je gegevens omgaan.

[DeadPhoenix86]

Ik heb daar geen last van. En ik heb nooit een account aangemaakt. Vind dat onzin.
Alles werkt perfect. Account is alleen nodig als je profielen wil downloaden van andere mensen.

[HollowGamer]

Precies. Ik doe het dus ook gewoon zonder account.

[R_Zwart]

Wat is dat voor service? Ik heb alles van Logitech maar heb het nog nooit gezien.

[HollowGamer]

Is hun nieuwe app, de opvolger van hun oude. Geloof dat die Logitech Connect was.

[duvekot]

Logitech vermoedt dat er geen gevoelige persoonlijke gegevens, zoals bsn's of creditcardgegevens, in het getroffen IT-systeem waren opgeslagen.

Lijkt me sterk dat Logitech BSNs van Nederlanders in hun systemen zou hebben staan .. want dan overtreden ze de Nederlandse wet

[Daoka]

De fabrikant schrijft verder dat de aanvallers 'beperkte informatie over werknemers en consumenten en gegevens met betrekking tot klanten en leveranciers' hebben bemachtigd.

Er wordt hier gezegd BSN omdat wij dit hier hebben als naam voor de ID nummer. Daarnaast is het niet alleen klanten maar dus ook medewerkers data gelekt. Dus daar zou het natuurlijk wel bij kunnen zitten.

[Dutchzilla]

Om deze reden gebruik ik revolut en eenmalige creditcards. Mijn naam boeit me niet en adres gegevens ook niet.

[DonJunior]

Logitech vermoedt dat er geen gevoelige persoonlijke gegevens, zoals bsn's of creditcardgegevens, in het getroffen IT-systeem waren opgeslagen.

Vreemd dat Logitech niet duidelijk heeft welke informatie er op hun systemen staat?

Daarbij, zijn ze niet verplicht dit lek ook aan hun klanten te melden via mail ofzo?

Ik heb een Logitech account maar geen mail mogen ontvangen.