Hackers bieden gegevens van 150.000 leden fitnessketen Jims aan op darkweb

Hackers hebben de gegevens van 150.000 leden van fitnessketen Jims gestolen, bevestigt moederbedrijf Colruyt aan VRT NWS. Het gaat om leden van 31 van de 85 filialen. Om welke locaties het gaat, is niet bekend. Het lek vond al in juli plaats, maar nu pas wordt de omvang duidelijk.

VRT NWS schrijft dat hackers mogelijk naam, adres, geboortedatum, e-mailadres, lidmaatschapsgegevens en in bepaalde gevallen ook het rekeningnummer gestolen hebben. Die gegevens zijn inmiddels ook te koop op het darkweb. De criminelen hebben geen wachtwoorden of gezondheidsgegevens buitgemaakt.

Jims-leden zouden vandaag een e-mail moeten krijgen, waarin Colruyt onder meer waarschuwt voor kwaadaardige mails of sms'jes. Het bedrijf raadt leden aan extra voorzichtig te zijn met berichten die verwijzen naar hun lidmaatschap, betalingen, terugbetalingen, wijzigingen van hun account of domiciliëringen, in Nederland bekend als automatische incasso's.

Colruyt zegt verder dat het de betrokken accounts gereset en extra beveiligd heeft. Wat dat precies inhoudt, is niet bekend. Ook zou het bedrijf frauduleuze e-mailadressen en domeinnamen die werden gebruikt voor phishing hebben laten blokkeren.

Bron: Getty Images/Cultura RF (afbeelding ter illustratie)

Reacties (40)

[GoBieN-Be]

Het feit dat een zekere Wim eind juli al melding maakte aan Jims dat een phishing mail echte gegevens bevatte van Jims en ze er toen niet echt serieus mee omgingen, zegt mij dat deze organisatie cybersecurity niet echt belangrijk vindt.

bron: https://www.vrt.be/vrtnws...en-colruyt-150-000-leden/

[vlijmen]

Not true, ik werk voor dezelfde organisatie maar een andere entiteit en dit staat zeker zeer hoog op de agenda. Ik denk dat dit een gevalletje customer service medewerker die het niet begreep is geweest. Ik ken de exacte situatie niet, maar het is niet altijd mogelijk voor hen om de ernst van een situatie goed in te schatten (ja dat kan misschien beter maar het zijn geen IT experts). Om dan maar te zeggen dat het bedrijf het niet serieus neemt is wel kort door te bocht.

Meerdere cursussen moet iedereen verplicht afleggen en er proberen te controleren dat iedereen dit doet, maar dat lukt natuurlijk nooit 100%. Hoewel kwalijk en erg vervelend vind ik dergelijke opmerkingen elke keer weer erg makkelijk. Alsof bedrijven niet beseffen wat de impact hier van is...

[IStealYourGun]

Alsof bedrijven niet beseffen wat de impact hier van is...

Ik kan mij vergissen, maar naar mijn gevoel is de impact voor bedrijven redelijk beperkt. Vroeger had je nog wat PR schade, maar tegenwoordig worden zoveel klantengegevens gestolen dat niemand nog van verschiet.

Uiteindelijk is de grootste concurrent van JIM, Basic-Fit, enkele maanden daarvoor ook gehackt geweest, dus wat gaan klanten doen? Overstappen naar de ander gehackte fitnessketen?

[Morrowind3]

Overstappen naar een lokale sportschool die niet zo'n doelwit is? Security through obscurity lijkt mij zelf het beste zolang de bekwame klantenservice een mytisch wezen blijft

[lieziewiezie]

Wat mij irriteert is dat ik al meer dan een jaar geen klant meer ben van Jims, en toch zit ik erbij.

Bij de start van het abonnement had ik geen mogelijkheid om te zeggen "deze informatie is niet relevant en wil ik niet afgeven". En bij het stoppen van het abonnement, was er geen automatisch proces om die gegevens terug op te ruimen.

Niet klanten hoeven niet in het systeem te blijven zitten. Adres-gegevens en exacte geboortedatum zijn niet relevant voor een fitness abonnement.

[vlijmen]

True, dat zou inderdaad wel makkelijker mogen zijn bij opzegging zodat het automatisch kan en je niet los een verzoek moet indienen om je gegevens te laten wissen. Ik weet niet wat hun bewaartermijn is dus daar kan ik verder niks over zeggen. Bij ons is het 5 jaar, maar dat is dan meer om wettelijke redenen, lijkt me bij een fitness abbonement inderdaad niet echt van toepassing.

De 5 jaar is trouwens ook gewoon voor actieve klanten. Ook zij verliezen hun bestel geschiedenis, opgeslagen adressen etc als het ouder is.

[Reactie gewijzigd door vlijmen op 30 september 2026 15:03]

[Marcel Boeré]

Hoera, de dagelijkse dosis gelekte data is weer binnen. Het wordt tijd de verplichte velden bij welke online dienst eens onder de loep te nemen en hier ook regelgeving voor te maken. Alles wat leuk was aan ICT is ondertussen wel vergald door mensen die vooral dingen kapot willen maken, mensen willen afpersen, exposen. En is hacken strafbaar? Blijkbaar voor de één wel en voor de ander (AI-bedrijven) niet. Wat lopen we toch achter de feiten aan in onze wetgeving, wat is de politiek toch stekeblind.

[Polderviking]

Alles wat leuk was aan ICT is ondertussen wel vergald door mensen die vooral dingen kapot willen maken, mensen willen afpersen, exposen.

Dit herken ik wel goed dit sentiment.
Al meer dan een enkele keer wakker van gelegen al die ransomware en ai poeha.
En me ook al meer dan een enkele keer afgevraagd of ik niet gewoon wat anders moet gaan doen.

Gewoon bakker worden ofzo.

[Reactie gewijzigd door Polderviking op 29 september 2026 18:37]

[Keypunchie]

Volgens mij is dit een breder sentiment.

De laatste tijd gaat mijn aandacht extra veel uit naar "defense-in-depth" en hoewel ontzettend belangrijk, wil ook ik als IT'er niet alleen maar met security bezig zijn. Je wilt ook dingen opbouwen en mooie projecten doen.

Overigens is wat dat betreft denk ik wel van belang dat het grootste gedeelte van de AI-hacks waar we nu over lezen, niet per se super-geavanceerd zijn. Veel ervan lijkt niet noodzakelijkerwijs complexer dan "onversleutelde credential in een open repo" te zijn. Of "ongepatcht systeem met bekende CVE".

Het verkennen gaat wel op een wat grotere schaal dan een scriptkiddie, maar de zwaktes zijn nog steeds dezelfde, lijkt het.

Wat dat betreft kom je als IT'er nog steeds heel ver met de basishygiene: OS patchen, alle applicaties die binnenkomende verbinding accepteren patchen, firewall/netwerk isolatie van omgevingen, admin-interfaces op een eigen (niet-publiek) netwerk. Alles netjes van een certificaat voorzien.

En het mooie is: daar kun je ook defensief prima AI inzetten om dit soort zaken te controleren en verder te automatiseren. De verschillende modellen zitten tjokvol met kennis over best practices en hoe je "strak" een omgeving beheert.

Ga je misschien een hack a la ShinyHunters niet mee voorkomen (daar zit ook dat stukje social engineering bij), maar de pure AI aanvallen worden dan wel erg duur voor de aanvaller.

[Reactie gewijzigd door Keypunchie op 29 september 2026 19:12]

[jellevanderpal]

Amen! In alle dystopische berichtgeving vergeten we af en toe eventjes het grote gemak dat agentic configuratie management heet bovendien. Wat een verademing is dat zeg!

[jurroen]

Helemaal eens. Het kan óók gecombineerd worden. Ik ben qua IT een dinosaurus - een "ouwe rot" in het vakgebied. Met twee petten: offensive security en systeembeheer.

En nog steeds, dagelijks sta ik in contact met partijen die het goed willen doen. Voor wie security geen bijzaak is, geen vervelend aspect is. Ik mag helaas geen namen noemen, maar mijn en jouw data staat óók bij partijen die het daadwerkelijk veilig willen houden.

Dat gezegd hebbende, er is ook veel (onterechte) angst. Zo werd dat Mythos model geïntroduceerd met onder andere dat er een kwetsbaarheid in OpenBSD was gevonden. Maar als je de details leest: 20K verspild aan een DoS. Geen RCE, geen vulnerability die data kan lekken.

Ja - een DoS is een kwetsbaarheid - availability is óók security. Maar 20K aan stroom en water om een DoS te vinden, die heel snel na het melden gepatcht was (geloof twee uur) is ergens wel een teken hoe veilig het is, out of the box.

Chapeau aan de ontwikkelaars van dergelijke projecten. Chapeau voor iedereen die gepassioneerd is over security en/of daar dingen mee doet of moet doen.

[SG]

Security is extra resource en kosten post waar in geïnvesteerd moet worden en uitgerold met experts en die zijn schaars. En ook geen garantie dat niet gehacked wordt. Je bent afhankelijk dat personeel moet in phishing in trapt. En goede veilig gedrag staat ook het gemak in de weg. Denk niet dat er genoeg experts zijn om elk bedrijf te dekken. Dat grote variatie aan kennis in pool van werknemers met die verantwoordelijkheid of dat onderbezet is. Bedrijven concurreren en hogere kosten staan ze niet te springen. Een security expert is duur. En HR werknemer moet zo iemand aannemen. Voor kleinere bedrijven een probleem eat niet zomaar opgelost kan worden. Wat ook probleem is voor grotere corporaties.

[xxs]

Iedere dag 3:30 opstaan, hmmm doe mij maar af en toe een goeie escalatie.

[Xfade]

Koop dan wel een oude oven, niet een nieuwe. Want die heeft AI!

[jurroen]

De vraag is of het echt AI is. Want marketing-wise lijkt er geen verschil meer te zijn tussen een algoritme en AI.

Als die oven wat slimme snufjes heeft en die prima lokaal kan uitvoeren, zonder internetverbinding, account of cloud/Claude - is het dan echt zo erg?

[jellevanderpal]

Je verwoordt treffend wel wat ik op meer sombere dagen ook ben gaan voelen/denken bij mijn anders toch ook wel passie voor alles dat met de snelheid van het licht informatie kan besturen...

[xxs]

Klopt en dat zielige supertalent PvdS vergooit zijn talent en wordt ook nog verdacht van het aanzetten tot moord. Hij had zoveel goeds kunnen betekenen.

[Reactie gewijzigd door xxs op 29 september 2026 18:37]

[keejoz]

Beste,

Je ontvangt deze e-mail omdat jouw persoonsgegevens nog voorkwamen in systemen van Jims naar aanleiding van een voormalig lidmaatschap. Jims bewaart bepaalde persoonsgegevens na afloop van een lidmaatschap gedurende een beperkte periode wanneer dit noodzakelijk is om te voldoen aan wettelijke, administratieve of contractuele verplichtingen, of om eventuele vragen, geschillen of claims correct te kunnen behandelen.

We willen je informeren over een beveiligingsincident waarbij jouw persoonsgegevens betrokken zijn.

Uit onderzoek blijkt dat een onbevoegde derde toegang heeft gekregen tot het ledenbeheersysteem van Jims en daarbij persoonsgegevens heeft geraadpleegd en gekopieerd. Het kan onder meer gaan om je naam, adres, geboortedatum, e-mailadres, historische lidmaatschapsgegevens en, in bepaalde gevallen, je IBAN-nummer.

De betrokken gegevens werden online aangeboden. Er zijn geen wachtwoorden of gezondheidsgegevens gelekt.

Wat betekent dit voor jou?

Omdat de betrokken gegevens online werden aangeboden, bestaat het risico dat derden deze proberen te gebruiken voor frauduleuze doeleinden, zoals phishing via e-mail, sms of telefoon.

Ook al ben je momenteel geen lid meer van Jims, kwaadwillenden kunnen proberen geloofwaardige berichten te versturen door te verwijzen naar een vroeger lidmaatschap, oude betalingen, terugbetalingen of administratieve gegevens. We raden je daarom aan extra alert te zijn voor dergelijke berichten.

Wat heeft Jims gedaan?

• De betrokken toegang werd definitief gedeactiveerd.
• De Gegevensbeschermingsautoriteit (GBA) werd tijdig geïnformeerd.
• Het incident werd gemeld aan de bevoegde autoriteiten en maakt deel uit van een lopend onderzoek.
• Bijkomende beveiligingsmaatregelen ter versterking van het toegangsbeheer werden versneld ingevoerd.
• Er werd een technische analyse uitgevoerd.
• Extra controles en monitoring werden opgezet om verdachte activiteiten sneller te detecteren.
• Samen met onze leverancier werden bijkomende beveiligingsmaatregelen geïmplementeerd en worden verdere verbeteringen doorgevoerd.

Wat kan jij doen?

• Controleer steeds zorgvuldig de afzender en/of het webadres voordat je persoonsgegevens deelt, een betaling uitvoert of doorklikt op een link.
• Deel nooit wachtwoorden, verificatiecodes of bankgegevens via e-mail, sms of telefoon.
• Wees extra voorzichtig met berichten die verwijzen naar een vroeger lidmaatschap of vroegere betalingen bij Jims.
• Controleer regelmatig je bankrekening op ongebruikelijke verrichtingen.
• Neem bij twijfel rechtstreeks contact op met Jims.

Heb je nog vragen?

Neem dan contact op via [e-mail]. Voor vragen over privacy, persoonsgegevens of de verwerking van jouw gegevens kan je terecht bij onze Data Protection Officer via [e-mail].

Met sportieve groeten,
Jims


mail gekregen van Jims. Ik zit erbij. Great news.

[-ETz-candyman]

Proficiat met de selectie!!

[Nark0tiX]

Blij dat ik nergens mijn echte gegevens invul

[360Degreez]

En wat vinden de webwinkels, energieleveranciers, internetprovider en belastingdienst daarvan?

[beeldbuijs]

Ik heb een echte geboortedatum en een ‘geboortedatum voor internet’ Daar vinden webwinkels niks van. Ook energieleveranciers, internetproviders etc vinden het prima, zolang je maar consequent dezelfde datum blijft opgeven als ze er om vragen.

De juiste naam is meestal ook niet belangrijk, uiteraard wel bij banken en energiebedrijven want die controleren of de rekening wel bij de naam hoort.

De Belastingdienst heeft een betere beveiliging, met DigiD en voor bedrijven is er ook zoiets.

Kortom: Bekijk per geval wat echt nodig is en wat je kunt verbergen achter een nep-opgave.

Het grootste gevaar is niet de geboortedatum of naw maar situaties waarbij mensen denken echt met een bank/politieagent etc te praten terwijl het een oplichter is en malware installeren, mee laten kijken bij banktransacties etc.

[dvz89]

Ah, nog iemand die geboren is op 1 januari 1970?

[beeldbuijs]

Ah, je bedoelt dat dat ook het begin van de jaartelling is voor computersystemen Ik gebruik een andere datum, maar het had gekund.

[Nark0tiX]

Idd webwinkels hebben jouw naam en andere gegevens niet nodig. Standaard telefoonnummer 0612345678 voornaam random. achternaam = naam van de webshop.

Mocht je ooit spam krijgen obv die naam, weet je altijd waar het vandaan komt. Ook een alias in je email obv webshop / leverancier zijn naam.

[Reactie gewijzigd door Nark0tiX op 30 september 2026 15:24]

[grq]

Ben ik het mee eens, maar de postbode wil nog wel eens om ID vragen als je een pakketje moet afhalen en dan heb je een probleem met een valse naam.

[Nark0tiX]

Nog nooit last van gehad, wel een keer bij afhaalpunt. Maar kon gewoon in mijn mail de afhaalcode laten zien, dat was prima. De postbode heeft ook helemaal het recht niet om om legitimatie te vragen.

[beeldbuijs]

Ik doe het nog een tandje scherper; ik heb een catch-all mailbox en gebruik voor elk account / gelegenheid domeinnaam-van-de-webwinkel@mijndomeinnaam

Krijg ik later spam op dat adres, zoals na de odido hack dan kan ik die eenvoudig filteren.

0612345678 accepteert het formulier vaak niet, net als 0123456789 maar als je één cijfer verandert weer wel.

Postbode, bezorger kan en mag om een id vragen, maar alleen in specifieke gevallen (aangetekend verzonden, alcoholische dranken besteld) maar dat wordt van tevoren aangegeven door de webwinkel. Dat zal voor de meeste mensen maar zeer zelden voorkomen.

[Nark0tiX]

moet zeggen dat 0612345678 bijna overal geaccepteerd word en anders andersom idd. catch all mailbox is idd ook handig, ook wel eens naar gekeken. heb sowieso 1 vast mail adres voor uberhaupt dit soort orders.

[jurroen]

Op papier is het misschien fraude. Maar tegelijk, wat maakt het uit als ik een neppe geboortedatum invul bij een webshop voor een enkele bestelling die ik met iDeal aftik?

Ze zijn niet afhankelijk van die gegevens, ik ga geen kredietovereenkomst aan, als ik direct met iDeal een pan afreken hoeven ze ook geen uitgebreid onderzoek te doen of die order legitiem is.

Ja er zijn zeker scenario's waarbij die data wél uitmaakt. Maar we moeten ook niet doorschieten daarin.

Als ik een kekke hoodie wil, gelijk afreken met een betaalmethode die niet zomaar te storneren is... als het geboortedatum veld dan verplicht is zakken ze er maar in. Dan genereer ik een unieke, leg vast waar ik die gebruikt heb zodat ik bij een datalek óók op basis daarvan weet wat de herkomst is.

[Nark0tiX]

nog nooit last van gehad eigenlijk, gaat ze verder ook niks aan. Verzin altijd wat leuke namen die mooi bij de shop of leverancier passen.

[Roberto4646]

Nope ik vul al ruim een jaar andere voornaam en achternaam in. Betaal bijna alles met PayPal (soort Proxy) of mijn Duitse Debet-card. Alleen mijn adres klopt omdat ik te lui ben om het op te halen. Mijn telefoonnummer is ook altijd fake, maar dat doe ik al jaren.

[Reactie gewijzigd door Roberto4646 op 29 september 2026 21:23]

[meowmofo]

Gezien de enorme hoeveelheden aan datalekken, wat zijn die sets nou echt nog helemaal waard op het darknet, iemand enig idee?

[Cor001]

Het wordt nog eens druk aan de voordeur met al die gelekte gegevens Anderhalf jaar geleden is mijn BSN gelekt en deze wordt nu gebruikt bij een Amerikaanse online banenwinkel. Het meest jammere eraan is dat je er niets aan kan doen.

Aan de ene kant te belachelijk voor woorden, het lijkt erop dat tegenwoordig met weinig tools de ene back na de andere kant plaatsen. Ik haal mijn schouders er maar voor op.

[Reactie gewijzigd door Cor001 op 29 september 2026 22:53]

[Jedotw]

Zou je kunnen uitleggen wat je bedoelt met het lekken van je BSN en hoe die banenwinkel het gebruikt?

[Cor001]

Zoals het er staat. Mijn BSN is sinds een hack begin dit jaar op het vrije internet te vinden, mede met mijn adresgegevens. Iemand gebruikt deze gegevens op de site paidwork.com. Ik heb een e-mail gestuurd naar paidwork, maar niets meer vernomen.

[beeldbuijs]

Iedereen die zelfs maar tijdelijk in Nederland is kan een bsn aanvragen. Met een bsn op zich kun je niets.

Het sterkste effect is waarschijnlijk dat de geloofwaardigheid van een fraudepoging groter wordt als er een bsn bij staat.

Wat op zich ironisch is aangezien een sofinummer / bsn nou juist bedoeld is om fraude te bestrijden.

[NickD_93]

Ik vraag me oprecht af wanneer de EU eens een wetgeving zal opstellen om bedrijven verantwoordelijk te stellen als er datalekken (blijken te) zijn. Ik weet dat er al veel regeltjes zijn en dit en dat, maar dit loopt echt de spuigaten uit.

Het is constant dat ik mails mag ontvangen dat mijn gegevens alweer gelekt zijn door een partij die ik (ooit) toevertrouwde met mijn gegevens omdat het niet anders kon, anders kon ik geen account aanmaken of lidmaatschap aangaan, en die partijen maken het dan ook nog eens lastig om al je gegevens te verwijderen binnen een redelijke termijn nadat je je lidmaatschap stopt.

Ik weet al dat de meeste zullen zeggen dat ik niet zomaar mijn gegevens moet achterlaten, maar soms kan je ook gewoon niet anders als je er iets wilt bereiken.