Bpost bevestigt datalek: gegevens van 'klein aantal klanten' gestolen

Bpost bevestigt dat het slachtoffer is geworden van een 'cyberincident', nadat eerder deze week 30GB aan informatie van het postbedrijf werd gepubliceerd door een ransomwarebende. Het bedrijf spreekt van een 'beperkt datalek', waarbij data van een 'klein aantal klanten' is gestolen.

Volgens bpost deed de hack zich voor bij een specifieke afdeling van het bedrijf, die niet is gelinkt aan het bezorgen van post of pakketjes. Dat departement werkt met een uitwisselingsplatform dat wordt beheerd door een externe leverancier, zegt het bedrijf.

"We bevestigen een beperkt datalek waarbij persoonlijke en zakelijke informatie van een klein aantal klanten van het departement betrokken is", aldus een woordvoerder van bpost. Wat die gegevens inhouden, wordt niet vermeld.

Het postbedrijf zegt maatregelen te hebben genomen om het datalek in te perken. De dagelijkse operaties van het bedrijf worden 'op geen enkele manier beïnvloed'. Bpost zegt samen te werken met cyberexperts en heeft de autoriteiten geïnformeerd. Betrokken klanten worden 'tijdig geïnformeerd' over het incident, zo zegt de woordvoerder.

De gegevens van bpost verschenen eerder deze week op de website van ransomwarebende TridentLocker. Het ging om 30GB aan informatie, verdeeld over 5140 verschillende bestanden. Het is niet duidelijk of het postbedrijf is gevraagd om losgeld te betalen.

Reacties (30)

[biteMark]

Toch opmerkelijk dat het bij elk datalek dat naar buiten komt altijd, hoe dan ook, elke f***ing keer om een “klein aantal” klanten gaat. Uiteraard zijn de gegevens van de rest keurig netjes beveiligd en niet gestolen. Yeah, right.

[Powerblast]

Als het een apart systeem betreft, het ging volgens mij over de webapp waar je postzegels kon kopen, kan dat toch? Dat lijkt me inderdaad een beperkte groep. Kende de applicatie niet eens. Het is niet alsof het adres van elke ontvanger ooit dan gelekt is.

[mjtdevries]

Inderdaad waarschijnlijk dat het dan beperkt is. Maar hoeveel is beperkt dan?
Als het niet in dat aparte systeem ging dan ging het wellicht over 10 miljoen klanten. Nu is het maar beperkt tot 100.000 klanten? Of beperkt tot 1000? Dat scheelt nogal en het is allebei beperkt tov 10 miljoen.

[Clu3M0r3]

Toch opmerkelijk dat het bij elk datalek dat naar buiten komt altijd, hoe dan ook, elke f***ing keer om een “klein aantal” klanten gaat. Uiteraard zijn de gegevens van de rest keurig netjes beveiligd en niet gestolen. Yeah, right.

Heb je relevante data om je uitspraken in deze feitelijk te kunnen onderbouwen? Zo ja, kom dan met die bewijzen.

[kimborntobewild]

"Toch opmerkelijk dat het bij elk datalek dat naar buiten komt altijd, hoe dan ook, elke f***ing keer om een “klein aantal” klanten gaat":

Dan heb je de meeste artikelen op Tweakers over hacks niet gelezen, want meestal gaar het over een groot aantal klanten.

[evandj]

Een klein aantal klanten, hoeveel is dat dan, drie, vijf, twintig, honderd, hoeveel is een klein aantal? Het was blijkbaar niet bij Bpost zelf het lek maar bij een leverancier. Hier in België snapt men nog steeds niets van cybersecurity men kijkt gewoon naar wie bepaalde diensten kan leveren en wie dat kan tegen de goedkoopste prijs, hoe het zit met hun beveiliging is bijzaak, zolang er niets gebeurt gaat er ook niemand klagen. Toevallig vandaag telefoon gekregen van Bpost om te vragen dat ik mijn pakket al had ontvangen dat volgens hun app nog altijd onderweg was maar blijkbaar al drie dagen in het afhaalpunt lag, vind het bizar, is eerste keer dat Bpost mij zelf contacteert in verband met een pakket, daarna dit nieuws, vreemd.

[toro]

Hoi tweaker daar in België

Als je het nieuws de laatste jaren een beetje gevolgd hebt hier op Tweakers inzake data leks. Dan kan je al een beetje aanvoelen dat het hoogstwaarschijnlijk om veel en veel meer klanten gegevens gaat dan een klein aantal.

Men komt vaak altijd met het gegeven als eerste dat het om een klein aantal klantgegevens gaat. Om vervolgens in de dagen erna naar buiten te komen dat het aanzienlijk meer was of zelfs van alle klanten hun gegevens. Men kan dan tijd winnen door zichzelf juridisch te wapenen en wat niet meer. Het hoeft niet zo te zijn nu bij Bpost. Maar als men naar buitenkomt met "klein aantal klanten" dan leert de media/nieuws ons de laatste jaren dat er veel meer aan de hand is.

[telenut]

de data is gelekt, iedereen kan die downloaden en zelf kijken. Het gaat wel degelijk om een klein aantal klanten, en geen gewone burgers.

[Coolstart]

Bpost is een beursgenoteerd bedrijf. Die kunnen niet maken om zwaar te liegen over zoiets. Het is geen webshop om de hoek. Het zou specifieke data lek zijn. Niet heel de bpost klantendatabase.

Je kan natuurlijk altijd speculeren maar iedereen die denkt dat het lek veel groter is dan beweerd moet dan wel met bewijslast of feiten komen om de verdachtmaking toch wat kracht bij te zetten.

Zeker omdat het lijkt dat de data vrij te downloaden is via TOR zou er al langer moord en brand geslagen zijn om de ernst te duiden. Dat is hier niet gebeurd.

Ook hebben de hackers er alle baat bij om aan te tonen dat ze wel degelijk een grote vangst hebben. Ook die info is er niet.

Kritisch denken is niet altijd uw buikgevoel volgen. Je moet elke case afzonderlijk beredeneren. Pas als er een paar rode vlaggen wordt het interessant. Ik zie die hier niet. Ik heb niet het gevoel dat een grote klatendatabase is gehackt vol gevoelige info.

Het enige wat ik mis is transparantie van Bpost. Wat is ‘klein’ en welke klanten zijn getroffen. Als enkel B2B kopers van grote hoeveelheden postzegels ten prooi zijn gevallen (zo lijkt het) dan zouden ze dat kunnen vermelden.

[Powerblast]

Lees “niet zomaar”. Ze nemen daar zeker bij data lekken een heel groot risico. Komt het uit. Dan zijn het serieuze boetes.

[S-1-5-7]

Hoe serieus die boetes zijn, en stand houden na eventueel beroep, moet nog maar blijken. Ik ben er benieuwd wat er straks in de zaak Clinical Diagnostics zal gebeuren.

Daarnaast worden de hoogte van de boetes vaak bepaald aan de hand van de hoogte van de omzet. Hiermee zouden de boetebedragen beter moeten zijn verdeeld en loopt een webshop om de hoek net zoveel risico wanneer zij liegen als Bpost. Dat is namelijk het hele idee achter het gebruik van percentages.

[kimborntobewild]

Boetes aan bedrijven voor het overtreden van de wetten vallen in het niet met de winsten die met het overtreden van die wetten gemaakt hebben.

[TheFoundation101]

Off-topic: het blijft toch dé grote meerwaarde van Tweakers dat, eens er reactie komt van het bedrijf in kwestie, en zelfs als het even wat lastig is om georganiseerd te krijgen met vakanties en vrije dagen etc, er nog steeds eerlijke updates, aanvullingen, eventueel rechtzettingen of verduidelijkingen komen.

We kennen allemaal de snelheid van de wereld tegenwoordig en we willen allemaal hier en nu alle info onmiddellijk, maar feit blijft dat 95% van de andere media allang de knop omgedraaid zou hebben en bezig zou zijn met het volgende verhaal, zonder zich om eender welke opvolging te bekommeren.

Tweakers cares.

[AlainG]

Tweakers op VRT nieuws. Ik had hun eerste artikel doorgespeeld. VRT nieuws

[possenier]

Wat zijn de regels in zo een geval? Moeten getroffen klanten niet direct op de hoogte gebracht worden?

Ik heb deze week al veel spam telefoons gekregen, en vroeg me al af waarom. Ik weet dat ik hun site al gebruikt heb voor postzegels

[telenut]

Het gaat enkel over de afnemers van grote hoeveelheden postzegels. Echt grote hoeveelheden...
Dat zijn er dus niet zo veel.
Voor de rest bestond de gestolen data uit 99% pdf bestanden van postzegels.

[kimborntobewild]

Dan blijft nog steeds 300 MB over. Genoeg om NAW-gegevens van 1 miljoen mensen op te slaan.

[telenut]

Euh... ik zeg het toch letterlijk: Het zijn allemaal pdf bestanden met postzegels. En bij enkele mappen zitten blijkbaar de gegevens van zeer grote afnemers, gegevens die vermoedelijk makkelijk online op te vragen zijn ook.
Ik heb maar een deel bekeken, en niks gevonden trouwens, iemand anders vond het. Voor de rest is het aan journalisten om dieper te zoeken, maar de bestandsstructuur is niet boeiend :-)

[kimborntobewild]

Nee, je zei letterlijk 99%. Ik begrijp dat dat nu maar een willekeurig getal was, niet iets op feiten gebaseerd. 30 GB - 99% is 300 MB overige data.

[telenut]

je hebt gelijk ja :-) er kan ergens nog een file persoonlijkegegevensvanduizendman.xls zitten

Maar als alle mappen ongeveer dezelfde structuur hebben in daar zitten overal enkel pdf bestanden met afbeeldingen in... kleine kans zeker? ZOek het gerust zelf op :-)

[mjtdevries]

Die kans is niet klein, maar 100% . Bpost heeft namelijk zelf aangegeven dat er gegevens van een aantal klanten zijn gestolen.

En bij datalekken is de definitie van "klein" bij het bedrijf dat gehacked word altijd heel anders dan wat normale mensen hier een klein aantal noemen.

[telenut]

De adresgegevens van een bedrijf zijn nu niet direct persoonlijke gegevens toch

[Maclucid]

Er zit alvast 1 bedrijf bij dat totaal geen postzegels koopt maar e-commerce klant is
Verzenden van pakjes. Dus de info die hebt is totaal niet volledig

[telenut]

hebben de hallmark postkaartjes geen postzegels? :-)
Ik heb niet alle folders bekeken, dat is werk voor journalisten...

[mjtdevries]

Als je niet alle folders hebt bekeken, dan moet je niet dergelijke stellige uitspraken doen.
Zeg er dan duidelijk bij dat je niet alle folders hebt bekeken.

[Sanghelios]

Ik weet nog toen track en trace nieuw was je een link kreeg in de stijl van www.postblabla.be?pakket_id=123456

Die 123456 kon je gewoon aanpassen naar een andere nummer en je kreeg privégegevens te zien van andere mensen.
Een studiegenoot had dit toevallig vastgesteld en aan bpost laten weten. Kreeg er geen reactie op en maanden later was het pas opgelost.

Triestige is dat je zo goed kan beveiligen als je wil. Als één bedrijf zijn zaakjes niet op orde heeft staan je gegevens voor altijd online.

[Reactie gewijzigd door Sanghelios op 3 december 2025 14:43]

[Jochen_MExT]

Ze staan mooi op ransomware.live :-)

Linkje: https://www.ransomware.live/id/YnBvc3RAdHJpZGVudGxvY2tlcg==