Bpost onderzoekt storing waardoor gebruikers pakjes van anderen zien in app

Het Belgische postbedrijf bpost onderzoekt een storing waardoor sommige mensen pakjes van andere mensen kunnen zien in de My bpost-app. Het bedrijf onderzoekt hoeveel mensen last hebben van de storing en hoe het probleem is op te lossen.

Verschillende mensen hebben de problemen aan VRT NWS gemeld. Een van hen zegt 'tientallen pakjes' van anderen te kunnen zien en volgen, inclusief naam, adres en codes waarmee de pakjes van het postkantoor af te halen zijn. Bpost is op de hoogte van de problemen. "Het gaat om een probleem waardoor bij gebruikers pakjes tevoorschijn komen die ze niet verwachten en door andere mensen besteld zijn", zegt een woordvoerder tegen VRT NWS. Hij wil niet bevestigen of gebruikers mogelijk de naam, het adres en de afhaalcode van anderen kunnen zien.

De oorzaak van de storing is volgens bpost een ict-probleem. Daarbij heeft zich afgelopen nacht 'enkele uren' een probleem voorgedaan bij pakjes die moesten worden gesorteerd. Bpost heeft het probleem opgelost, maar sommige pakjes kunnen nog verkeerd in de app verschijnen. Het postbedrijf raadt aan deze pakjes handmatig uit de app te verwijderen en onderzoekt ook hoe het bedrijf dat zelf kan doen.

De woordvoerder zegt dat bpost de privacy van zijn klanten 'heel serieus' neemt en een 'grondige analyse' uitvoert om het probleem in de toekomst te voorkomen. Hij benadrukt dat de pakketjes op het juiste adres zullen aankomen.

Reacties (26)

[DDX]

De oorzaak is een ict-probleem, je meent het....
Lekker algemeen begrip 'ict'

[kuurtjes]

Het simpelweg een "storing" noemen vind ik ook nogal zwak.

[Clu3M0r3]

Die woordvoerders hebben vrijwel allemaal geleerd dat je iets wat potentieel heel groot en/of vervelend voor de werkgever van betrokken woordvoerder kan worden, vanaf het begin naar buiten toe zo klein mogelijk moet maken. Vaak waait het dan over en voorkomt het reputatieschade.

Cynisch gezegd, het boeit ze eigenlijk niet zo veel, als ze hun bonus maar kunnen veiligstellen.

[tc982]

Het cynisme is niet terecht. Woordvoerders krijgen geen "bonus" per incident dat ze kunnen kleinhouden. Wie ken jij die dat heeft? Een woordvoerder is mestal iemand met een marketingachtergrond die de pers te woord moet staan.

Deze vragen vaak een uur na de eerste melding al tekst en uitleg, vaak voor dat men in de organisatie zelf al weet wat er aan de hand is. Wat krijg je dan? Algemeenheden. Ook zijn ze zich bewust van de juridische implicaties van hetgeen ze naar de buitenwereld brengen. Als ze iets teveel rapporteren kan het zijn dat ze meer schade toebrengen dan dat ze iets "algemeen" rapporteren.

Dit is echt een fenomeen in de huidige tijdsgeest, nieuws en informatie gaan zo snel, dat je vaak gedwongen word om te communiceren binnen een zeer korte tijdspanne zonder dat er al oplossingen of mitigaties zijn uitgevoerd.

Een ander probleem is ook dat iedereen zich precies het recht voorhoud om alle informatie van het incident te mogen weten. Er is geen plicht van een bedrijf om het hele incident open en bloot in een krant te vermelden met alle details. Transparantie is een dooddoener, want de gemiddelde mens kent niets van nuances en denken dat ze het beter weten.

Ik zou het beroep niet willen uitvoeren, want het cynisme bij mensen is te groot.

[NoTechSupport]

Lekker genuanceerd. Uiteraard moet je dingen niet groter maken dan je zeker bent dat ze zijn.

[Knallmeister]

Uiteraard moet je dingen niet groter maken dan je zeker bent dat ze zijn.

Wow, dat is een waarheid als een koe. Chapeau.

[Clu3M0r3]

Het Belgische postbedrijf bpost onderzoekt een storing waardoor sommige mensen pakjes van andere mensen kunnen zien in de My bpost-app. Het bedrijf onderzoekt hoeveel mensen last hebben van de storing en hoe het probleem is op te lossen.

Dat is een geruststellende gedachte. Gaan Bpost misschien ook nog onderzoeken of er n.a.v. deze storing privacy gevoelige data is gelekt?

[Tim AtSharp]

Die lijkt me hoe dan ook gelekt:

"inclusief naam, adres en codes waarmee de pakjes van het postkantoor af te halen zijn"

[Clu3M0r3]

Die lijkt me hoe dan ook gelekt:

"inclusief naam, adres en codes waarmee de pakjes van het postkantoor af te halen zijn"

Hij wil niet bevestigen of gebruikers mogelijk de naam, het adres en de afhaalcode van anderen kunnen zien.

Hij is hier de woordvoerder. Vandaar dus. (Woordvoerders kunnen wel eens een erg hoog al dan niet bewust klok-en-klepel niveau etaleren).

[sebastienbo]

Het is straf dat ze dit een storing noemen, het is gewoon een datalekkage door een fout in hun applicatie, het is met andere woorden een beveiligingsprobleem, geen correcte scheiding van data.

Een storing is voor mij iets dat de availability aantast, maar niet de confidentiallity.

Confidentiality breach is een incident, een security incident.

Terminologie is belangrijk...

[Scriptkid]

Yep maar een storing is een defect en je het het hier dus over een defect is de app.

Het zou netter zijn om te zeggen door een storing in de app hebben we nu een data lek.

Maar ook van data lek is niet helemaal te spreken omdat het geen 1:many is maar een 1:1 share van 1 stuks data.

Daarnaast is het de vraag wat je ziet. Als je alleen een track code en timestamp ziet voor aflevering is het geen data lek.

[sebastienbo]

In belgie in de Bpost app als je de pakjes van een ander kan zien, dan kan je ook de verzender en ontvanger adressen zien. Je kan dus ook zien dat iemand een aangetekende brief van het gerecht krijgt.
Want in de BPost app zie je alle verzendingen die naar jou gestuurd worden met een tracking code: Dus niet ALLEEN pakjes zoals Bpost beweerd.

Over de terminologie: Een defect is ook niet hetzelfde als een storing.

Het technische verschil

• Defect (Bug/Fout): Dit is de oorzaak. Er zit een fout in de code of de logica (bijv. een caching-probleem of een verkeerde sessie-afhandeling) waardoor data X bij gebruiker Y wordt getoond.
• Storing (Outage/Disruption): Dit verwijst meestal naar de beschikbaarheid (Availability). Het systeem werkt niet, is traag of onbereikbaar.
• Incident (Security Incident/Datalek): Dit is wat er bij bpost werkelijk aan de hand is. De vertrouwelijkheid (Confidentiality) is geschonden.

CIA:

1. Confidentiality (Vertrouwelijkheid): GEFAALD. Onbevoegden zien data van anderen. Dit is een datalek (GDPR/AVG issue).
2. Integrity (Integriteit): MOGELIJK GEFAALD. Als gebruikers ook acties konden uitvoeren op die pakketjes (bv. leveradres wijzigen), is ook de integriteit aangetast.
3. Availability (Beschikbaarheid): OK. De app werkte gewoon. Je kon inloggen en schermen laden.

Door het een "storing" te noemen, impliceert bpost dat het een probleem is met punt 3 (het werkt even niet), terwijl het eigenlijk een catastrofaal falen is van punt 1 (het is onveilig).

Waarom bedrijven het woord "storing" misbruiken

In PR-communicatie is "storing" een veilig containerbegrip.

• "We hebben een datalek": Paniek, krantenkoppen, directe link met GDPR-boetes, imagoschade.
• "We hebben een softwarefout": Klinkt als incompetentie van de developers.
• "We hebben een storing": Klinkt als "overmacht", iets tijdelijks, iets technisch dat "even gereboot" moet worden. Het haalt de lading van de privacy-inbreuk af.

Ze doen dus alsof het overmacht is, dat is manipulatie van de publieke berichtgeving om het te minimaliseren. De storing dat is iets dat intern is. Maar extern is het geen storing, het is een data lek, dus een security incident.

Het is geen overmacht het is oftewel incompetentie (developer fout of deployment fout),
oftewel een security incident -> in dat laatste geval heb je twee mogelijkheden Interne actor (eigen actie heeft voor de lekkage gezorgd) of externe actor (hacker heeft de lekkage veroorzaakt)

[Reactie gewijzigd door sebastienbo op 7 januari 2026 09:52]

[Flex-Able]

Typisch voorbeeld wat “Inconsistent data” in een database kan veroorzaken.

[Heidistein]

Yes, Of cookies op plaatjes zetten en die incluis cookie laten cachen in een CDN of varnish.

[AshleyAlthea]

Die My bpost‑app is écht aan een grondige herbouw toe, niet nog een laagje verf. Zelf had ik onlangs nog een ander “feature‑tje”: webshop gebruikte een Apple Relay‑adres en in de app kreeg ik doodleuk “U heeft geen toestemming voor dit pakje, toestemming pending”, met als resultaat dat ik een app‑only locker dus gewoon niet open kreeg. Klantendienst erbij: “Nee, die lockers kunnen we vanop afstand ook niet openen, we sturen het door naar het postkantoor”… super handig als je pakket daar gewoon vastzit.

Wat mij vooral stoort, is dat ze pakketten blijkbaar krampachtig koppelen aan e‑mailadressen, in plaats van aan een echt robuuste unieke identifier. Eén stukje inconsistente data en de hele keten loopt in het honderd. In een logistiek proces waar alles traceerbaar en auditeerbaar zou moeten zijn, is dat gewoon slechte domeinmodellering.

En dan nu die storing waarbij willekeurige pakjes van anderen in je app verschijnen, inclusief naam, adres en afhaalcodes: dat gaat veel verder dan een onschuldige bug, dat is gewoon een privacy‑incident. Als pakketcodes en zendingen zomaar naar verkeerde accounts gepusht worden, heb je meer een structureel probleem met hoe accounts, identifiers en sorteerdata aan elkaar gelinkt worden. Minstens zou er bovenop postcode/naam nog een extra controle moeten komen in plaats van “oh, het staat in het systeem dus het zal wel kloppen”.​

Het wringt dan extra hard om te lezen dat bpost “de privacy heel serieus neemt” terwijl gebruikers melding maken dat ze tientallen pakketten van anderen zien, inclusief afhaalcode. Op dat punt is de data per definitie al gelekt en zou je een heel ander kaliber transparantie en incident‑respons verwachten dan “we onderzoeken een ict‑probleem”. In 2026 nog zulke basisfouten maken in een app die letterlijk persoonsgegevens en fysieke toegangscodes tot pakjes beheert, is gewoon beschamend.

[Reactie gewijzigd door AshleyAlthea op 6 januari 2026 21:58]

[iqcgubon]

Die My bpost‑app is écht aan een grondige herbouw toe, niet nog een laagje verf. Zelf had ik onlangs nog een ander “feature‑tje”: webshop gebruikte een Apple Relay‑adres en in de app kreeg ik doodleuk “U heeft geen toestemming voor dit pakje, toestemming pending”

Oh ja, heerlijk dat! Ik gebruik voor elke webshop een eigen catch-all e-mail adres zoals amazon@mijndomein, bol@mijndomein, azerty@mijndomein,... Elke keer inderdaad die melding. En de knop om toestemming te verlenen werkt nooit. Altijd manueel toevoegen in de app. Gedoe

[stijn014]

Ze gaan ook foto's sturen van de post die onderweg is en wanneer die gaat aankomen (testfase).
Nog meer data om te lekken.

[stijn014]

Vreemd want ik had eens dat de Locker gecrasht was. Klantendienst kon toen wel vanop afstand een reset doen (ging niet want er was een dataprobleem). Lijkt me raar dat ze die dan niet kunnen openen.

[AshleyAlthea]

Volgens die medewerker die ik gisteren aan de lijn had (want was toevallig ook gisteren gebeurd), mochten die enkel verifieren en als dat in orde was konden ze terugsturen vermijden, maar aangezien het zo geen QR locker was maar enkel via bluetooth zei die persoon van klantendienst dat hij die rechten niet had om remote open te doen, kon enkel in het traceersysteem herboeken naar postkantoor, inmiddels zie ik dat de pakjes opgehaald zijn om naar postkantoor terug te zenden (yay, weer extra dagen wachten).

Het grootste risico ivm. deze storing (ontopic), is dat hun backend heel verouderd was, is inmiddels nu wel al enkele jaren geleden dat het mijn ex-werkgever was (werkte in het sorteercentrum), dus wie weet zijn ze modernisaties aan het maken, maar het is duidelijk dat security hardening / data leaks nog een werkpunt zijn, vooral hun reactie "we hopen dat mensen het pakketje uit de app halen" is wel heel goed vertrouwen in tijden van e-commerce, want je krijgt pakket formaat etc ook te zien in de app of track and trace, dus een mobiele telefoon (als voorbeeld) kan dan gemakkelijk afgehaald worden met enkel die QR code... leuk dat ze in postkantoor identiteitskaart vragen maar als het een postautomaat vlakbij is heb je enkel de code nodig...

Maar ja, dan moet je al toevallig een pakket krijgen van een ander, dat ook in jouw gemeente/stad is natuurlijk, maar dat risico is er wel degelijk wel... ik hoop voor hun dat schade beperkt blijft.

[Graviton12]

Ik heb een vergelijkbaar iets maanden terug al aan de hand gehad bij hun waarbij ik een pakket op dezelfde voor- en achternaam kon inzien. Ik kreeg doodleuk een mail aan dat het pakketje opgehaald zou worden. Absoluut niet happy toendertijd dat dit soort nonsense gebeuren kon.

[Zwaai Haai]

probleem voorgedaan bij pakjes die moesten worden gesorteerd

"Bpost gebruikt AI om pakjes nog beter te kunnen sorteren"

Maar hey, zie het positief, de "ICT storing" had altijd nog erger gekund hoor,
Bpost wil proef doen met bezorging in huis via slimme deurbel en Nuki slot

[Bux666]

Een van hen zegt 'tientallen pakjes' van anderen te kunnen zien en volgen, inclusief naam, adres en codes waarmee de pakjes van het postkantoor af te halen zijn.

en

Hij benadrukt dat de pakketjes op het juiste adres zullen aankomen.

Zeker! 100%...

[jvvv]

Ik gok dat dit een design fout is in hun systeem.

Onlangs ook gehad met een vendor. Na 5 jaar was hun database te groot geworden en liep het allemaal fout.

[Scriptkid]

Laat me raden de bouwer werkt er niet meer of de inhuur partij is pleiten.

[VixenFive)]

Ik denk dat het niet alleen Bpost is. Persoonlijk heb ik in de PostNL app ook post van anderen gezien en staat nog steeds zichtbaar in mijn overzicht. Alleen de letters van de postcode komen overeen.

[Roko]

Hier ook gehad in de PostNL app, brievenbus post van anderen waren zichtbaar. Ik heb daar toen melding van gemaakt met screenshots. Geen enkele reactie over gekregen, maar de post was later wel weg uit mijn overzicht van nog te ontvangen post. Goed mogelijk dat het inmiddels wel correct bezorgd was.