Data van Belgische bpost verschijnt op ransomwaresite - update

De Belgische postdienst bpost is mogelijk getroffen door ransomware. Op de website van ransomwarebende Tridentlocker is 30GB aan informatie verschenen. Mogelijk zitten daar persoonsgegevens bij. De informatie is ook al meteen te downloaden, wat erop kan wijzen dat bpost heeft geweigerd te betalen.

Op de .onion-pagina van Tridentlocker, maar ook op verschillende ransomwaretrackingpagina's, is te zien dat bpost is verschenen in de lijst met slachtoffers. Bpost is daar vandaag toegevoegd. De Belgische postdienst meldt zelf vooralsnog niets op zijn website. Tweakers heeft de authenticiteit van de bestanden ook niet kunnen verifiëren.

Het is niet duidelijk wat de exacte omvang van de hack is en welke gegevens daarin zijn buitgemaakt. Wel zijn er bepaalde bestanden die erop lijken te duiden dat er mogelijk adresgegevens zijn buitgemaakt, maar ook dat is niet met zekerheid te zeggen. Er staan 5140 bestanden in de datadump, met een totale grootte van 30,46GB.

Dat de gegevens op de website zijn verschenen, is opvallend. Dat kan aantonen dat bpost heeft geweigerd het losgeld te betalen, maar dat is niet zeker. Ransomwarebendes opereren meestal op vergelijkbare wijze. Dat betekent dat ze informatie niet openbaar maken zolang de onderhandelingen lopen. Voorafgaand aan die onderhandelingen wordt er soms wel een kleine hoeveelheid gegevens online gezet, maar dat lijkt hier niet het geval.

Update, dinsdag - Bpost bevestigt in een verklaring dat het slachtoffer is geworden van een 'cyberincident'. Het bedrijf zegt dat er een beperkt datalek was bij een specifiek departement dat niet is betrokken bij postbezorging. Daarbij is persoonlijke en zakelijke informatie van een klein aantal klanten buitgemaakt. Bpost zegt dat de hack geen enkele invloed heeft op de dagelijkse operaties en dat de betrokken klanten 'tijdig worden geïnformeerd'.

Reacties (37)

[Aerodynamite]

Bpost heeft ondertussen uitgereikt via het forum: forumtopic: Data van Belgische bpost verschijnt op ransomwaresite, hack…

[TijsZonderH]

Wie hier wat meer tips over heeft, laat me vooral weten! Anoniem contact kan ook: www.tijshofmans.nl/privacy

[yuckywucky]

Het lijkt een breach te zijn bij MyStamp. Het gaat voornamelijk om designs van postzegels. Er zitten ook wel een aantal postzegelbestellingen (1100-tal) waarvan in de bevestigingspdf het adres van de koper staat.

[telenut]

exact. Al bij al wel te begrijpen dat ze er niet veel voor willen betalen... De adressen van degene die bestellingen dezen zijn ook niet echt zo waardevol lijkt me.
Het downloaden duurt vrij lang trouwens :-)

[KorporaalTimmer]

Sowieso is een goede tip om zo min mogelijk accounts te hebben, of als het moet (tenzij het om je bank gaat hoewel die ook gehackt kunnen worden) overal unieke anonieme e-mailadressen en altijd verschillende wachtwoorden gebruiken overal. Voorkomen kan je een datalek niet, immers heb je geen controle over de incompetentie van IT afdelingen of de capaciteiten van de hackers, maar je kunt zeker minimaliseren hoeveel schade er is!

[kimborntobewild]

De pakkans en de straffen voor deze zware misdaden zijn simpelweg veel te klein.

[Powerblast]

Een oplossing zou alvast zijn om het verboden te maken op nog te betalen. Wereldwijd natuurlijk want dan is er geen verdienmodel meer. Zolang de kans bestaat dat er eentje betaalt blijven ze proberen.

Maar deel je mening dat de straffen ook niet in lijn zijn om voldoende af te schrikken. Dat is ook eenvoudig op te lossen maar ook dat moet wereldwijd of het haalt niks uit.

[Reactie gewijzigd door Powerblast op 1 december 2025 21:33]

[Stroper]

Leuk in theorie, maar iets wereldwijd goedgekeurd krijgen is niet-realistisch.

Komt daar nog bij dat je net zoals vroeger, met illegale piraten & door een staat goedgekeurde kaapvaarders, nu ook "legale" digitale kaapvaarders hebt, die zolang ze enkel buitenlanders aanvallen gerust gelaten worden door hun overheid(Rusland, Noord-korea,...).

[Tha Render_2]

"Een oplossing zou alvast zijn om het verboden te maken op nog te betalen.".

Helemaal niet, zo kunnen kritieke bedrijven volledig ten onder gaan omdat ze eens pech hebben gehad (bijvoorbeeld een zero-day vulnerability). Dit kan een verwoestende impact hebben op onze maatschappij als een kritiek bedrijf moet sluiten door zo'n niet-doordachte dwaze regel te handhaven.

[Deguchi]

Een kritiek bedrijf is toch sowieso gezien? Zelfs al betalen ze en krijgen ze een unlocker, als de data echt zo kritiek is, kan je als hacker toch twee keer cashen door de data ook te verkopen?
Dus ja, je bent iets sneller terug operationeel (misschien), maar data ben je toch kwijt als bedrijf.

[SHFT]

Vreemd genoeg hebben velen op dat vlak echt wel een deontologische code. Als ze zich niet aan hun woord houden, krijgen ze een slechte naam en betaalt er sowieso niemand meer.

We hebben één keer een klant gehad die een cryptolocker op z'n systeem had. Die heeft een stevige som betaald of het was boeken toe en 150 mensen op straat. Na de betaling was werden tools en info netjes aangeleverd. Sterker nog er werd zelfs support aangeboden.

Uiteraard is dat niet stap 1 in het proces maar als last resort.

[witchdoc]

ja, en ondertussen is je kritische data misschien niet publiek op het internet gegooid, hoop je, maar wees maar zeker dat china, n-korea en of rusland nu jouw kritieke data aan't ontleden zijn voor hun eigen gewin.

[SHFT]

Die kans bestaat zeker. Het grote "voordeel" aan een zo'n breach is dat het vaak wat zaken in gang kan zetten. Je kan/moet jezelf dan maar wapenen voor de toekomst.

[Powerblast]

Ik zou alvast als kritiek bedrijf niet op de mooie ogen van een bende hackers gaan betrouwen dat ze de boel dan niet alsnog verkopen. Dat het gebeurt kun je niet uitsluiten, maar het is ook lucratief en daar zit mijn inziens het probleem. Iets wat niet oplevert, trekt veel minder aan.

Misschien een vergelijking die niet vollledig opgaat, maar kijk naar bankovervallen. Gebeurt zover ik weet niet meer, omdat er gewoon geen of amper nog geld te pakken valt op die manier. Zolang er echter winst te pakken valt, trekt het bad people aan.

[zipje_en_zopje]

Waar gehakt wordt vallen spaanders.


Op korte termijn zullen inderdaad bedrijven over kop gaan, maar op lange termijn zal het de economie ten goede kunnen komen omdat betalingen voor ongevraagde en illegale operaties verminderd. Alles heeft nu eenmaal zijn prijs.

[mbbs1024]

Dat is natuurlijk makkelijk gezegd als je er zelf niet mee te maken hebt.
Stel je eens in de plaats van zo een bedrijfsleider, de keuze tussen 10% van je winst betalen om in bedrijf te blijven, of niet betalen, en het bedrijf dat je hebt opgericht en waar je zoveel energie in gestoken hebt, te zien failliet gaan, al je werknemers moeten ontslaan, en met een hoop schulden achterblijven.

Of bvb ASML, niet betalen, failliet, waardoor er wereldwijd geen geavanceerde chipmachines meer kunnen geleverd worden, met een wereldwijd chiptekort als gevolg.

Ontwikkelaars komen er ook makkelijk mee weg als hun software gatenkaas blijkt te zijn, en vooral dan als het gaat om software die verondersteld wordt om te beveiligen tegen hacks.
Daar zit ook een grote verantwoordelijkheid.

[Luchtbakker]

Een oplossing zou alvast zijn om het verboden te maken op nog te betalen. Wereldwijd natuurlijk want dan is er geen verdienmodel meer.

Het probleem is dat niet alleen de bedrijven zijn die bereid zijn te betalen. Als die namelijk niet betaalt, dan zijn er genoeg scammers die maar wat graag de data opkopen voor fraude. Gegevens van burgers zijn een goudmijn.

Je lost dit dus niet eenzijdig op met een verbod. Je verplaatst alleen het probleem.

[Powerblast]

Voor gegevens van burgers opper ik al even voor het op een of andere manier zodanig inrichten van data dat het mag lekken maar niks waard is als het lekt. Nu is het een grote ramp dat bijvoorbeeld je rijksregisternummer lekt. Zou bijvoorbeeld vervangbaar moeten zijn. Of 2FA als het gebruikt wordt, zodat een gegeven op zich, geen enkele waarde heeft. Gaat sowieso niet met alles natuurlijk want je adres kun je niet wijzigen. Maar daar moet vast ook wat voor te bedenken zijn .

[Blokker_1999]

Wil je dan even hier al je data neerschrijven zoals je adres, je telefoonnummer, je email, eventueel sociale media enzoverder .... .

Want dat lijk jij als onbelangrijke data te klasseren dus dat mag geen probleem zijn, toch?

Want de waarde zit hem vooral in de mogelijkheid tot phishing aanvallen. Een goed leugen is eenvoudiger te geloven dan de waarheid. De hoeveelheid scams die rondgaan zijn niet meer te tellen en hoewel vele mensen van zichzelf denken dat ze er nooit zullen intrappen blijkt steeds maar weer dat iedereen er vatbaar voor kan zijn en dat het vooral een kwestie is van de juiste scam te vinden voor je slachtoffer.

Daarnaast zijn in Belgie de rijksregisternummers iets minder belangrijk dan het Nederlandse BSN. In Belgie werkt men primair met het nummer van de identiteitskaart wanneer het gaat om onder andere contracten. En dat is een gegeven dat wel degelijk te vervangen is.

[Powerblast]

Vandaar ook mijn punt. Nu hechten we daar veel belang aan want het is belangrijk. Ik zeg nergens dat die gegevens niet belangrijk zijn. We moeten er voor zorgen dat die gegevens voor phishing niet meer bruikbaar of onbruikbaar gemaakt kunnen worden. Moet toch wel iets op te verzinnen zijn.

We moeten naar een systeem waarbij die gegevens niet meer belangrijk zijn waardoor, als ze lekken, er weinig aan de hand is.

We zijn alleen zo gewend geraakt om overal email af te geven bijvoorbeeld, want het id zo gemakkelijk. Ik doe dat al een paar jaar niet meer. Tandarts heeft mijn email nodig, nope heb ik niet. Kijken ze even raar maar account maken gaat nog steeds zonder.

[Reactie gewijzigd door Powerblast op 2 december 2025 10:11]

[dasiro]

Nee, en wel om deze reden: als het legaal is om te betalen, dan is de kans veel groter dat het niet geheim gehouden wordt. Hierdoor komt er meer awareness en dat is uiteindelijk een goed ding. Criminelen zullen er niet plots door stoppen omdat het minder lucratief wordt.

De vergelijking loopt waarschijnlijk heel krom, maar seksueel misbruik is pas de laatste jaren bespreekbaar geworden omdat de slachtoffers relatief gezien nu minder te verliezen hebben door het openbaar te maken als vroeger.

[Mizgala28]

En de bedrijf in kwestie stevig straffen als ze laks waren met de security.

Want het zijn de normale gebruikers die echt de sjaak zijn hierna, de ernst ervan afhankelijk wat er exact gelekt is.

[dasiro]

Daar zijn al straffen voor, maar wat noem je laks met security? Er zijn nog genoeg bedrijven waar de dossierkasten vol staan waar een beetje inbreker ook zonder problemen aan geraakt, net zoals een beetje hacker ook in hetzelfde bedrijf digitaal binnen kan geraken.

Er zijn zoveel verschillende attack-vectors en weak-spots te vinden dat je er maar eentje moet hebben om alles kwijt te zijn, maar daarom heb je niet het vermogen (in kennis, mankracht en financieel) om helemaal tot op het hoogste niveau beveiligd te zijn.

[CAPSLOCK2000]

Een oplossing zou alvast zijn om het verboden te maken op nog te betalen. Wereldwijd natuurlijk want dan is er geen verdienmodel meer. Zolang de kans bestaat dat er eentje betaalt blijven ze proberen.

Nee, dat zou het erger maken. We moeten slachtoffers van chantage niet nog verder onder druk zetten.
Hoewel ik fel tegen betaling ben moeten we het niet verbieden.

Als slachtoffer is betalen altijd veruit de makkelijkste en goedkoopste oplossing. Alle chantage is gebaseerd op het principe dat meewerken veel minder pijn doet dan niet meewerken. Het slachtoffer mag eigenlijk geen andere oplossing zien zoals de politie of gespecialiseerd bedrijf om hulp vragen.
Voor de slachtoffers is het "simpel": Je betaalt een relatief klein bedrag en alle problemen verdwijnen, of je betaalt niet en je bedrijf of carriere wordt kapot gemaakt.

Als naar de politie gaan betekent dat je niet meer kan betalen en je data dus op straat komt te liggen dan zullen velen er voor kiezen om in het geheim te betalen. Vervolgens zitten ze dubbel in de problemen want ze kunnen ook weer gechanteerd worden met het feit dat ze hebben betaalt.

Als hacks geheim worden gehouden is dat ook vervelend voor de rest van de wereld die niet meer kan leren van de fouten van anderen.

Een verbod op betalen zou de criminelen dus helpen omdat er minder mogelijkheden zijn om hulp te vragen, de politie er buiten gehouden worddt, kennis over aanvallen en lekken geheim zal worden gehouden en de slachtoffers nog verder in het nauw worden gedreven, Precies wat een chanteur wil.

[Reactie gewijzigd door CAPSLOCK2000 op 2 december 2025 08:30]

[Niema]

Het internet kan anoniem gebruikt worden. Dat helpt niet bij de pakkans. Daarnaast is het internet erg internationaal en zijn er ook landen die geen functionerend uitleveringsverdrag hebben. Het lijkt me bijzonder lastig om dit effectief op te lossen. Legitieme gebruikers pesten lukt prima als je bijvoorbeeld vpn's verbiedt, maar als er mensen met slechte intenties het internet gebruiken zijn die niet gebonden aan zulk soort regels. Dit oplossen lijkt me vrij lastig, tenzij we ons afsluiten van het wereldwijde web en er een soort intranet van maken om dat te kunnen reguleren

[barbarbar]

Het voordeel van al die gegevens die inmiddels al online liggen, is dat het van vrijwel iedereen is. Dus bij de volgende hack wordt het steeds minder interessant om nog losgeld te betalen, immers ligt die data van iedereen toch al op straat. En dus houden die hacks vanzelf wel een keer op zou je zeggen.

[Thomassassin]

En hoe meer data publiek ter beschikking, hoe gerichter de phishing kan worden, en dat maakt ons nog vatbaarder voor ransomware.

Het publiek maken van data is een zaak, maar het vasthouden/vergrendelen van data is ook ergerlijk, waarvoor mensen blijven losgeld betalen.
Het probleem lost pas op als we collectief weigeren losgeld te betalen (of als het onmogelijk wordt gemaakt)

[Zorg]

Ironisch, vorige week op een conference geweest waar het hoofd van AI (weet haar exacte titel niet maar, maar was AI in Finane en zij was de opening en bestuurder bij bpost) werd gevolgd door een zeer interessante key note op gebied van security en randsomware. Kan toch haast niet anders dat dat al speelde op dat moment? Dat de security key note de top onderhandelaars in dat vakgebied kent (dat zijn er blijkbaar niet veel) en vermoedelijk daar op een of andere manier ook bij betrokken is, in de consultantcy hoek ofzo?

Strekking was in ieder geval, zoals altijd, je bent zo sterk als de zwakste schakel en het is niet of je wordt gehackt maar wanneer je wordt gehackt. En de randsom? 10% van je omzet.

[Reactie gewijzigd door Zorg op 1 december 2025 21:47]

[Thexerox]

Aha, dat verklaard de massa aan spam calls de laatste weken ..

[Hansie9999]

LOL,

Ik dacht net hetzelfde,

was mij al aan het afvragen welke kak site mijn gegevens weer gelekt had, en kan toevallig zijn, maar er zijn niet veel bedrijven die mijn GSM hebben en bpost is daar spijtig genoeg eentje van.

[Thomassassin]

Bij heel veel van mijn bestellingen wordt gewoon mijn telefoonnummer mee gezet op de verpakking onder het adres.

Dus overal waar het pakje passeert, kan dus gewoon deze informatie worden bijgehouden (of worden doorverkocht).

[PiHole]

Zo hebben wij wel eens klachten gehad dat wij het 06 nummer niet op het label stond en de klant niet wist dat het pakket op een postpunt lag. -> track en trace was gewoon beschikbaar..

[Sanghelios]

Daarom vul ik nooit een telefoonnummer in en als het verplicht is vul ik gewoon een onbestaand nummer in.
Hebben ze geen zaken mee.
Ze mailen maar als het nodig zou zijn...

[Prince]

Wel vreemd, ze spreken over 30GB, maar het totaal van de 7z files is 16GB.
Compressieratio van ~50% is erg vreemd. Dat doet me vermoeden dat de bestanden in de 7z files reeds gecomprimeerd waren en dat de reële grootte dus veel hoger was. (bvb een database dump in gz formaat op level 2 of 3 of zo)

[IngvarGo]

Bpost medewerkers sluiten af vóór 4 uur. Dat is normaal dat er geen reactie was.

Vandaag na 9u mogelijks komt er één.


Nu jokes aside, spijtig dat ze dit zelf niet proactief communiceren en dat je dat te weten moet komen via het nieuws.

[Dingeske]

Als er geen impact is op de productie en de onderhandelingen zijn nog bezig dan is er ook geen reden om proactief te communiceren.

[telenut]

als alles al online staat zijn de onderhandelingen duidelijk gedaan...
En een bedrijf als Bpost weet ook maar al te goed dat dit snel in de pers komt, daar moeten ze dus al sneller op anticiperen.