RTL: geen enkele klant betaalde losgeld aan hackers van onlinesupermarkt Flink

Tot dusver heeft nog geen enkele klant losgeld betaald aan de ransomwarebende die onlinesupermarkt Flink hackte. De criminelen vroegen klanten om ongeveer 11 euro in crypto. In ruil daarvoor zouden ze de gestolen gebruikersdata niet publiceren.

Er is nog geen enkele transactie binnengekomen op het cryptovaluta-adres van de ransomwarebende, zo blijkt uit onderzoek van RTL Nieuws. Voor zover bekend gebruikten de hackers in alle afpersingsberichten hetzelfde adres. Ze vroegen klanten om 0,005 ether, wat neerkomt op iets meer dan 11 euro. De criminelen wilden vóór 2 oktober minstens 100 ether, of 239.000 euro, ontvangen van klanten. Dan zouden ze de gebruikersdata niet op het darkweb te koop aanbieden.

De recent opgerichte ransomwarebende LPG zei vorige week dat ze data heeft gestolen van een miljoen klanten van onlinesupermarkt Flink. Het gaat om namen, e-mailadressen, postcodes en telefoonnummers. Wachtwoorden, betalingsgegevens en bankgegevens bleven volgens Flink buiten schot. De hackers kwamen binnen met de inloggegevens van een voormalig werknemer, meldt Tagesspiegel.

Opmerkelijke modus operandi

Dat criminelen individuele klanten vragen om losgeld komt maar zelden voor, hoewel experts hier wel al langer voor waarschuwen. In de meeste gevallen proberen hackers het getroffen bedrijf te laten betalen. Ook LPG heeft naar eigen zeggen met Flink geprobeerd te onderhandelen, maar het bezorgbedrijf zou niet op de eisen van de aanvallers zijn ingegaan.

Hack cyber malware hacker hackers ransomware. Beeld: Getty Images/Cultura RF

Door Kevin Krikhaar

Redacteur

30-09-2026 • 20:14

91

Submitter: Xtuv

Reacties (90)

Sorteer op:

Weergave:

Ik vind niet bijzonder dat die hack gebeurt is. Ik en andere collega’s toen kregen de inloggegevens van de enige HR medewerker in NL om te helpen met hun backlog aan klachten. (Want ja extra licenties ho maar). En jaar na mijn uit dienst treden heb ik voor eigen belang gekeken als ik nog kon inloggen om iets in mijn eigen dossier te kijken en ja hoor😅

Natuurlijk, tijdens en na mijn werk relatie met Flink heb ik verschillende meldingen gemaakt bij allerlei instanties, maar kreeg amper vervolg.
En jaar na mijn uit dienst treden heb ik voor eigen belang gekeken als ik nog kon inloggen om iets in mijn eigen dossier te kijken en ja hoor😅
Ook al is dit misschien vanuit je eigen perspectief geen probleem wat je hier online deelt is strafbaar. Ik kan je adviseren om dit niet te delen 😅Hopelijk ziet je ex-werkgever dit niet of iemand die hier een zaak van wilt maken.

Niet alles moet je online delen.
Ik denk dat het genuanceerder zit. Ook heb ik de destijds directeur en HR afdeling gemaild, ze waren niet blij mee, maar hadden meer te verliezen door mij naar de rechter te slepen.
Inderdaad, het kost meer tijd en geld om dat te doen. En als je dit zelf netjes hebt aangegeven dan speelt dat ook een rol. Voor die werkgever is het dan niet zinvol om een rechtszaak te starten voor zoiets. Maar het beste is om dit soort dingen toch niet online te delen. Er zijn altijd mensen die een zaak maken van niks om iemand te praten. Beter voorkomen dan genezen.
Wat een onzin, dit is helemaal niet strafbaar.
Je breekt in digitaal, dat heet computervredebreuk.

Je bent onbevoegd na einde dienstverband, dat de werkgever is vergeten het account te blokkeren/verwijderen betekent niet dat de ex-werknemer toestemming heeft om in te loggen. Je kan de wet zelf opzoeken. Zoek zelf maar op als je mij niet geloofd.

En trouwens, dat er in de praktijk mensen niet worden aangeklaagd wilt niet zeggen dat iets strafbaar is, vaak is het lastig te bewijzen (werkgever houdt geen of slecht logs bij) of te veel moeite maar als iemand online gaat zeggen dat ie het heeft gedaan is het wel makkelijker aan te pakken, vandaar mijn advies.

[Reactie gewijzigd door Remzi1993 op 2 oktober 2026 07:28]

Onzin, niet strafbaar. Je hebt login gegevens gedeeld gekregen en je controleert of ze correct uitgeschakeld zijn of gewijzigd na de samenwerking. Hij heeft het naar eigen zeggen correct gemeld.

Laat die wet maar zien, bewijslast ligt bij jou.

[Reactie gewijzigd door jackyallstar op 3 oktober 2026 08:36]

Onzin, niet strafbaar. Je hebt login gegevens gedeeld gekregen en je controleert of ze correct uitgeschakeld zijn of gewijzigd na de samenwerking. Hij heeft het naar eigen zeggen correct gemeld.
Klopt, het volgende valt daaronder:
En jaar na mijn uit dienst treden heb ik voor eigen belang gekeken als ik nog kon inloggen
Maar het volgende valt daar niet onder:
om iets in mijn eigen dossier te kijken en ja hoor😅
Die stap is dus strafbaar. Je bent na einde dienstverband onbevoegd. Je kan dan dus niet allerlei dingen bekijken of inloggen en ding en opzoeken. Dat gaat dus veel verder dan even kijken of je nog kon inloggen en melden.
Onzin, dat mag je wel. Je kan daarmee namelijk bepalen of je bijvoorbeeld daadwerkelijk ingelogd bent door een actuele waarde als bewijs aan te leveren.

Heb nog steeds geen bewijs gezien van je? Kan je je volgende poging tot overtuiging a.u.b onderbouwen voordat je me tijd verdoet? Ben namelijk niet zo onder de indruk van je verhaaltjes.
Ik ga niet alles voor je opzoeken. Best een nutteloze discussie dit om nog meer tijd erin te steken.
Zeker, want je staat compleet uit je nek te zwetsen man.

Gewoon weer zo'n wijsneus die heel graag van alles roept om interessant gevonden te worden.

[Reactie gewijzigd door jackyallstar op 9 oktober 2026 21:11]

Gast, zoek op computervredebreuk, ga niet zo nutteloos reageren. Heb meerdere malen aangegeven dat het gewoon tegen de wet ingaat als je bij je ex-werkegever gaat inloggen en dat het computervredebreuk is, dat jij die juridische definitie niet wilt opzoeken met de bronnen die je op Google krijg is echt jou probleem. Ga jou niet valideren met onnodig opzoekwerk

Ga jij doen waar je zelf zin in hebt, jij mag geloven dat je dit kan doen. Het is een vrije wereld.

[Reactie gewijzigd door Remzi1993 op 10 oktober 2026 20:12]

Bewijslast ligt bij de claimer, niet bij de oppositie.

Cope harder maat
Oké, hier dan:
Zodra je uit dienst treedt bij een werkgever, vervalt je toestemming om de bedrijfssystemen te betreden. Hoewel je technisch gezien de juiste gebruikersnaam en het juiste wachtwoord invoert, doe je dit op dat moment wederrechtelijk (zonder recht of toestemming).
Voorbeelden uit de praktijk

In strafzaken rond accountmisbruik komen onder meer voor: de boekhouder die maandelijks digitaal in personeelsbestanden kijkt, de oud-werknemer die met behoud van inloggegevens klantgegevens kopieert naar een nieuwe werkgever, de IT-leverancier die admin-toegang inzet om gegevens van klanten in te zien, en de partner of ex-partner die met een onthouden wachtwoord een privéaccount overneemt. In al deze gevallen geldt dat de vraag of er “wederrechtelijk” is binnengedrongen vaak het centrale juridische geschilpunt is. Een vroeger gegeven toestemming, een bedrijfsbeleid dat niet expliciet was gedeeld of een onduidelijke afbakening van bevoegdheden kan het oordeel beïnvloeden.
Nog meer bronnen: https://louwersadvocaten.nl/strafrechtelijke-veroordeling-bedrijfsgeheimen/ en https://www.cybercrimeadvocaten.nl/cybercrime/hacken-computervredebreuk
De Nederlandse rechtspraak:Extra risico's en strafverzwaring

Als je na het inloggen ook nog bestanden bekijkt, downloadt, kopieert of e-mails doorstuurt (bijvoorbeeld om te gebruiken in een arbeidsconflict of mee te nemen naar een nieuwe werkgever), wordt het delict direct een stuk ernstiger. De maximale straf verschuift dan van een basisdelict naar een zware variant waar maximaal 4 jaar gevangenisstraf op staat. Daarnaast kan de werkgever een civielrechtelijke schadevergoeding eisen wegens het schenden van bedrijfsgeheimen.
Ga jij maar computervredebreuk plegen als jij denk dat het niet strafbaar is. Dan is het eigen schuld dikke bult als iemand er werk van maakt. Meestal maakt men er geen werk van omdat het niet loont, totdat je echt iemand tegenkomt die er een zaak van wilt maken.

[Reactie gewijzigd door Remzi1993 op 11 oktober 2026 21:53]

Ik zie geen enkele wetgeving. Alleen maar citaten van wat zaken en conclusies, waarvan de scenario's compleet afwijken van onze oorspronkelijke scenario.

Maar leuk voor het proberen maat.

[Reactie gewijzigd door jackyallstar op 11 oktober 2026 22:16]

Gast, stop met deze nutteloze discussie dan als je altijd denkt dat je gelijk hebt en je niks kan weerleggen met argumenten en bewijs. Echt tijdverspilling. Ik ga nu niet meer reageren.

[Reactie gewijzigd door Remzi1993 op 12 oktober 2026 12:59]

Goed hoor pik. Zou ik ook zeggen. Je hield jezelf al vrij lang nog bezig vond ik.

Volgende keer nie meer doen hé?

[Reactie gewijzigd door jackyallstar op 12 oktober 2026 17:03]

Je wilt blijkbaar altijd het laatste woord hebben, grappig.
Je zou toch niet meer reageren? Jammer, heb je toch nog een extra keer verloren en blijkt je woord wéér niks waard. En dat alleen maar omdat je niet het laatste woord hebt kunnen krijgen.

Goed gedaan pik.
Ik vind het leuk om mensen zoals jij op te reageren die altijd het laatste woord willen hebben. Het is grappig en triest tegelijkertijd.
Je weet dat je een narcist bent en dat ik daar ontzettend misbruik van maak hé? Enige wat ik hoef te doen is je wat te triggeren en ik kan je voor eeuwig pesten.

[Reactie gewijzigd door jackyallstar op 16 oktober 2026 07:12]

Wow, wat een projectie. Of je pest jezelf 😂🤣

Maar het is grappig dat je die bronnen die ik aanhaalde waarbij er wordt evrwezen naar gerechtelijk uitspraken wegschijft. Rechters gebruiken de wet jurisprudentie om over dingen te oordelen. Zeg meer iets over jou dan mij. Maar het is gewoon grappig dit. Vandaar dat ik blijft reageren.

[Reactie gewijzigd door Remzi1993 op 16 oktober 2026 10:26]

Wauw je had het echt niet door hé pik?

Blijf het maar goed praten voor jezelf, tot morgen! XD
Misschien was het handiger als ex collega om even langs het bedrijf te gaan. Maar ja als je bent opgestapt omdat de arbeidsverhouding is verstoord is dat wellicht wat lastig.
Bart ® Moderator Spielerij/AI 30 september 2026 20:16
Tja, van wie liggen die gegevens nog niet op straat? Beetje zonde om dan hiervoor te betalen.
Ik had hetzelfde idee, ik ben een van de getroffen klanten en heb de e-mail ook gehad.
Ik ben in de afgelopen 15 jaar slachtoffer geweest van 16 datalekken bij diverse partijen.

Welke gegevens liggen van mij nog niet op straat was mijn eerste gedachte…
Ik ga echt geen 11 euro betalen voor die paar kleine gegevens.
En dan nog… als het beoogde bedrag niet gehaald wordt omdat niet genoeg anderen betalen, wordt ook jouw adres alsnog op straat gegooid 8)7 Garantie tot aan de deur dus.

[Reactie gewijzigd door beeldbuijs op 30 september 2026 21:31]

Geen garantie zodra je je gegevens aan enig bedrijf geeft. En dat heeft iedereen in de wereld wel gedaan.
Ik dacht dat de belofte was om de gegevens per betalend individu te wissen. Dus niet betalen van anderen is geen probleem van de betaler.

Dat gezegd, niet betalen is het slimste. Het zijn criminelen. Niet te vertrouwen en vooral niet aanmoedigen door te betalen.
Je uitgelekte voorliefde voor pizza’s met ananas als topping kan je kansen op de Italiaanse arbeidsmarkt ernstig schaden
Maar in Hawaii zien ze je graag komen.
Ik betwijfel of ze er in hawai ooit van gehoord hebben. Ik denk dat naam en product een lokaal verzinsel zijn :)
Straks komt nog iemand je die pizza's aan de deur brengen, wellicht wat je zelfs wilt na je lange dag werken! :+
Zou "leuk" zijn om die hacker dan een onion linkje te sturen naar een repo waar je gegevens reeds te vinden zijn
15? dat zijn rookie numbers :+

ik zit op 40 |:( 8)7
Misschien kunnen we beter weer al onze gegevens zetten in een telefoonboek ;). Dan is er ook geen noodzaak tot hacken voor deze gegevens en kunnen we elkaar weer gemakkelijk contacteren.
Al die boeken waren wel lastig maar op een gegeven moment had je z’n cd waar voor een programma beschikbaar was die ze allemaal naar wens kon op lepelen.
Dat er een KANS is dat ieders gegevens gelekt zijn is het nogal naïef om ervan uit te gaan dat het al bij iedereen van toepassing is èn er laconiek erover te doen.
Inmiddels zijn er al zoveel datalekken geweest van verschillende organisaties/websites dat het voor veel mensen slechts een update is voor de criminelen database.

Ben je zelf voorzichtig een ander lekt het wel.

[Reactie gewijzigd door mr_evil08 op 30 september 2026 22:18]

Tweakers staat al dagelijks "vol" met datalekken publicaties. De mens kan zich er niet meer druk om maken .....
Het aantal bekende accounts dat is uitgelekt is al twee keer de hele wereld bevolking, je kan beter de vraag stellen wie nog nooit zonder account bekend is.
En wat is er zo spannend aan data van een online supermarkt? Àls zoiets door een lek online zou verschijnen zou ik me daar echt totaal niet druk om maken. Kan iedereen zien wat ik drink, snack, voor groenten eet, voor kruiden gebruik, etc. Nou poeh poeh :+
Misschien zijn patronen in koopgedrag zichtbaar? Wordt er veel alcohol gekocht, veel chips of energydrankjes. Kan me zoiets voorstellen dat niet iedereen wil dat dat aan de grote klok wordt gehangen.
Het gaat om namen, e-mailadressen, postcodes en telefoonnummers.
Staat in het artikel, dus vrij weinig en zoals hier aan gezegd is. Er zijn maar weinig email adressen of telefoonnummers die niet al elders gelekt zijn
De data wordt meer verkocht als onderzoeks statistieken, dan dat iemand specifiek uit is op je data. Zolang bedrijven betalen voor klantgegevens zijn grote databases geld waard, wat er ook in staat.
Ik bestel altijd voor een vriend dat zegt dus niet echt heel veel. Maar als je zelf bij Ah komt dan weten ze wel dat jij het bent.
Ja en wat is de afperswaarde? Dat je teveel chips besteld hebt bij Flink? Of je moet al condooms besteld hebben (geen idee of ze die verkopen) terwijl je partner op vakantie was.
De hoeveelheid hacks lijken (blijken) dus ook anti reclame voor deze criminelen. Mooie bijvangst, denk ik. De hoeveelheid berichten over gestolen gegevens is zo hoog. Ik wordt ook wel beetje onverschillig over mijn gegevens. De hoeveelheid shit die ik heb na de Odido hack is al vreselijk. Erger zal het wel niet worden….
Van alles wordt gehacked tegenwoordig. Dan nog ergens voor betalen en dan weet je nog niet zeker dat het niet ergens gebruikt wordt. Betalen voor enige ransomware is wel het "stomste" wat je kan doen. Je geeft dan ook toe aan dat hun omkopingsprincipe werkt, dat wil je niet als samenleving.
Sowieso niemand die ooit bij odido zat.

Laat odido maar betalen namens mij
Instructies of niet. Hoeveel van de getroffenen zijn zo capabel om crypto eerst zelf te vergaren en dan naar een andere wallet over te schrijven.
Maar hoeveel Flink klanten kennen deze site, vertrouwen het èn doen het ook nog?
Niemand dus. Of dat is omdat ze de site niet kennen of niet vertrouwen, kan ik je niet zeggen....
Ik ken BTCDirect verder wel maar is het dan ook kopen naar een externe wallet? Voorheen moest je dan eerst je eigen account hebben, euro's in je wallet stoppen, euro's omzetten naar crypto, crypto overschrijven naar een andere wallet.

Niet niks hoor.
wie die 11 euro wil betalen is een externe wallet niet echt interessant.
Heel "gewoon" is het tegenwoordig, met identificatie plicht, toch niet meer?
"gewoon" in vergelijking met zelf minen...
Heb ik gelijk een (legale) use case gevonden voor de volgende cybercrimineel in spé; een platform waarmee je met DigiD direct "legale" crypto aan kunt schaffen en kunt converteren naar dat wat de crimineel het liefst ontvangt én direct over kunt maken naar een bepaald adres.
Dat bestaat al, bitonic en decentrale swapping services.
Ga ik weer spam mailtjes sturen waarmee ik doe alsof ik jouw bedrijf ben.
Ja precies ik zou ook totaal niet weten hoe ik ether zou moeten verkrijgen.
Op zich achter de klanten zelf aan gaan is zo gek nog niet, maar vraag dan geen coins waarvan vele toch niet zullen snappen hoe ze er aan moeten komen(Ook al zal het met instructie zijn eventueel).
Heb van Flink wel die e-mail gehad over die hack. Nou ja, hoe kun je het een hack noemen als inloggegevens van een voormalig werknemer zijn gebruikt... (hoe de f**k zijn die inloggegevens niet meteen gedeactiveerd na vertrek van die werknemer??)

Ik heb vervolgens in ieder geval geen afpersmailtje van die hackers gehad.
Andere prangende vraag is hoe een medewerker toegang kan hebben tot zoveel productiegegevens zonder dat er ergens iets van monitoring afgaat.
We hebben natuurlijk bij Odido gezien hoe dat werkt, een vinkje vergeten te zetten zodat zoiets niet mogelijk is.
In het verleden was dat overal heel normaal, accounts van jaren waren nog actief. Soms zelfs door de beveiliging van het instelling. Zo kreeg ik gewoon de gegevens van domain admin omdat in het verleden een screening erg lang duurde.
Ik kijk er niet eens gek van op dat veel klanten die deze afpersingsmail kregen, dat ze dachten dat het weer zo'n scam scaremail was.
Idd! Ook zonder enkele hack kun je dit soort afpersingsmails natuurlijk maken en sturen. Beste .......we hebben een helehoop persoonlijke gebruikersdata van u buitgemaakt, als u niet binnen zoveel dagen .... crypto overmaakt delen we deze data.
Als je gegevens toch al op straat liggen dankzij andere hacks waarom zou je, je dan nog druk maken hierom? Ik denk dat de criminelen op zoek moeten naar een andere baan want de gegevens van iedereen ligt toch al zo'n beetje op straat dankzij Odido
Niet alleen Odido. Als ik mijn e-mail in haveibeenpwned gooi kom ik nu uit op 22 datalekken dus alles wat een online supermarkt aan gegevens heeft lag toch al op straat. In mijn lijst staat inderdaad Odido, maar ook linkedin (twee keer zelfs), Last.fm, Disqus, Gravatar, OpenSubtitles, Canadian tire (ja echt), Twitter, etc.

Het allemooiste is dat er ook diensten tussen zaten waar mijn account al jaren niet meer actief was en deze volgens de GDPR dus verwijderd had moeten worden. Ik ben nog steeds verbaasd als een bedrijf me wel mailt dat ze mijn account gaan verwijderen vanwege gebrek aan activiteit, dat is nog veel te zeldzaam.
Ik zou ook niet betalen. Ik ga er vanuit dat mijn gegevens bij diverse hacks al meer dan tien keer op straat liggen, die ene keer kan er ook nog wel bij.

Die hackers/criminelen kunnen het heen en weer krijgen.
Inderdaad ja. En zo gaat de lol voor die hackers er ook wel af. Laten we anders gewoon het telefoonboek weer introduceren, met IBAN en bsn. Dan zijn de hackers gelijk werkloos.
Nou, die klanten hebben zich dus allemaal flink gehouden.

*buiging*
Ja.....of.....bedrijven betalen wel, omdat niemand daar met eigen geld inzit zeg maar. Een klant moet wel met keiharde eigen munt betalen. Zou dat dan de waterscheiding zijn..
Alsof de gemiddelde mens weet hoe hij 0,005 ether moet overmaken
Dat dacht ik ook als eerste.

Heb zelf ooit één keer iets besteld (bier en borrelnootjes, dus ik ben niet meer te chanteren nu want iedereen weet het) maar ze kwamen te laat en ik kon ook zelf naar de supermarkt lopen natuurlijk.

Verder ook geen mail gehad dus misschien ruimen zij hun klantgegevens wel op als ze al 2 jaar niet meer besteld hebben.
Het is ook absoluut niet realistisch om te denken dat als je gegevens eenmaal gelekt zijn (gehackt of wat dan ook), op magische wijze weer ont-lekt worden.
Je naam staat in een dataset ergens op het darkweb. De set wordt echt niet gewist of jouw naam er uit gehaald..
If the cats out of the bag, it is our of the bag..
verkeerde reactie.

[Reactie gewijzigd door pizzafried op 30 september 2026 20:29]


Om te kunnen reageren moet je ingelogd zijn