Cybercriminelen bieden gestolen data van Flink te koop aan

Cybercriminelen bieden de data die ze van onlinesupermarkt Flink stalen te koop aan. De recent opgerichte ransomwarebende LPG zei eind september dat hij de data van ruim 10.000 werknemers en een miljoen klanten van Flink had gestolen.

De hackers wisten volgens Flink binnen te dringen door een account van een oud-medewerker over te nemen, zo zegt de onlinesupermarkt tegenover RTL Nieuws.

Bij de aanval werden namen, e-mailadressen, postcodes en telefoonnummers buitgemaakt. Ook stalen de hackers bestellingsinformatie en bezorggegevens, zoals de verdieping, de ingang en eventuele bezorginstructies. De cybercriminelen veilen die gegevens nu, zegt RTL. De hoogste bieder mag ze hebben.

De criminelen vroegen in eerste instantie de getroffen klanten om losgeld. Het gaat om 0,005 ether per persoon, wat neerkomt op ongeveer elf euro. Daarmee hoopten de hackers voor 2 oktober minstens 100 ether, of 239.000 euro, te ontvangen. Maar RTL Nieuws meldde vorige week dat nog geen enkele klant losgeld heeft betaald.

RTL Nieuws heeft de gestolen gegevens inmiddels kunnen inzien en verifiëren. Onder de getroffen klanten zijn zowel Nederlanders als Duitsers. Verschillende gedupeerde klanten zeggen tegen de nieuwssite dat zij niet door Flink op de hoogte zijn gesteld.

Bron: Sarayut Thaneerat via Getty Images

Reacties (51)

[FiXeR.nl]

Volgens mij is de waarde van data ook aardig aan inflatie onderhevig. Mijn gegevens zijn inmiddels al uit zoveel verschillende bronnen gehackt dat er weinig nieuws meer in staat.

[djoelzz]

Daar kun je tegen inbrengen dat juist door het combineren van data uit verschillende datalekken een completer profiel van iemand opgebouwd kan worden. En dat leidt uiteindelijk weer tot een hogere conversie bij een gerichte aanval.

[bazs2000]

Ik snap waar je vandaan komt met jouw reactie en zo zit ik er ook in maarrr....

De scambotcalls sinds de Odido-hack zijn gestoord. Meermaals per dag en er is niets dat ik eraan kan doen. Het blijft maar doorgaan.

En dat is de telefoon.

Email vertrouw ik per definitie niet meer. Echt, wat daar tegenwoordig op binnenkomt...

Zelfs legitieme zaken negeer ik nu. Ik weet gewoon niet meer wat echt is of niet. Leuk al die hacks en leuk maar ondertussen kunnen wij niets meer vertrouwen.

Vandaag ook. 5(!) Robocalls om mij op de hoogte te brengen dat mijn Rabobank-rekening is gekoppeld aan paypal. Druk op 1 om aan te geven dat je het niet zelf deed.

Ik heb op 1 gedrukt en de verbinding werd direct verbroken. Ik zal teruggebeld worden door 'support'.

Ik zal één dezer dagen door een scammer worden gebeld en dat spelletje ga ik helemaal uitspelen. Ik heb niet eens een Rabobankrekening.

Elke fcking dag weer, de hele dag door. En niemand kan er iets tegen doen. Hoe triest is dat?

[HenkEisDS]

Je kunt call screening voor onbekende nummers aanzetten op iphone. Moet je helaas wel je iphone lokalisatie settings naar US zetten en Nederlands is niet ondersteund. Hoop dat dit snel naar Nederland komt, want het heeft veel potentie.

Ik heb onbekende bellers gewoon helemaal op stil. Dan mis ik soms een gesprek van een bedrijf, maar die bel ik gewoon terug.

Wat ook helpt is hele landen blokkeren door een contact te maken met alleen +234, +91 en +86, Nigeria, India, China, en dat contact te blokkeren.

[HakanX]

De scambotcalls sinds de Odido-hack zijn gestoord. Meermaals per dag en er is niets dat ik eraan kan doen.

Op kosten jagen. In gesprek gaan en zo lang mogelijk aan de lijn houden, doen alsof je erin trapt. Eentje heb ik gezegd dat ik doorverbind met onze debiteuren afdeling om de factuur te betalen en muziekje opgezet (telefoon naast de speaker). Om de 10 minuten even "opgenomen" we komen zo bij u excuses. Langste heeft eentje 35 minuten gewacht. Die belt niet nog een keer 😁

[Skit3000]

Denk je dat je een echt persoon te spreken krijgt? Er zijn ondertussen genoeg manieren om AI een overtuigend telefoongesprek te laten voeren. Hoe grootschaliger ze het op kunnen pakken, hoe eerder ze opgeven bij individuele gevallen zoals jij die ze even 10 minuten in de wacht zet. Als ze (schijnbaar uit deze dataset) een miljoen mensen kunnen bellen en één procent hapt toe dan zijn ze vast al ruim uit de kosten.

[HakanX]

Ja je hebt gelijk dat AI gedeelte is nieuw nu. Maar bij betaling heb je iig wel een echt persoon. Dat vinden ze belangrijk genoeg. Laatste tijd iig geen robocalls meer hier. Ik ben ook wel benieuwd soms op welke manier ze iets proberen en dan waarschuw ik mijn directe omgeving.

[_Eend_]

Misschien geeft dit wat inspiratie voor als je weer een ai robocall krijgt: YouTube: how to destroy ai scam phone calls

[HakanX]

Ahaha ik lag helemaal in een deuk tot de AI rond 2:10 opeens stotterend in het Arabisch met Satan begon te vloeken indruisend tot alle opdrachten *shit gets real*

[HenkEisDS]

Ai is ook niet gratis. Zeker de streaming api van openai kost klauwen met geld. Als je die bot met low effort veel werk kan laten verzetten doe je echt wel iets dat ze niet leuk vinden.

[lameeuw]

Dit herken ik wel, ook in mijn spambox in de mail. Nu is het inmiddels wat aan het afnemen weer, ik kreeg meer dan 20 telefoontjes per dag waar het er normaal 2 zijn, namelijk mijn zoon en m'n beste vriendin en heel af en toe 3 als m'n werk een keer belde. Mails waren ineens idioot, van 5 spammails naar 300+ per dag.... Inmiddels neemt het weer af, nog 5 a 6 telefoontjes per dag en nog een mail of 30 a 40... maar irritant is het wel.

[iltis63]

Ze kunnen er wel wat aan doen maar dat kost geld en dus doen we het niet. Overigens is spam mail redelijk eenvoudig te herkennen van echte mail. Kijk alleen al naar de afzender en in 80% van de gevallen zie je het al. Een mail van een Nederlands instituut met PE (Peru)als land van verzending klopt gewoon niet.

[phoenix2149]

De scambotcalls sinds de Odido-hack zijn gestoord. Meermaals per dag en er is niets dat ik eraan kan doen. Het blijft maar doorgaan.

Interessant. Kun je dit toelichten, want mijn vrouw (zit bij Odido mobiel) en ik (Odido internet) krijgen 0 van deze scambot calls.

Email vertrouw ik per definitie niet meer. Echt, wat daar tegenwoordig op binnenkomt...

Wat ik frappant vind is dat in deze tijd banken en financiële instellingen nog steeds emails sturen met links er in. Als er IETS is wat ik nooit doe is op links klikken die van officiële instellingen lijkt te komen.

[Smash1231]

Je email adres kan je toch bij belangrijke diensten veranderen? Ik gebruik voor belangrijke dingen m'n eigen domein naam, maakt het makkelijker om aliassen aan te maken. Dus voor elke dienst kan je een alias aanmaken en als een van die bedrijven gehackt is dan weet je welke email adres dat is en dan burn je die adres.

[adje123]

Ik denk ook dat de prijzen flink gedaald zijn. Je moet wel echt flink zijn om deze gegevens te downloaden en te verwerken, vooral nu de FBI flink achter hackers aanzit.

[Jol65]

Volgens mij zit de FBI niet achter Flink aan

[adje123]

Dat zegt ook niemand.

[stftweaker]

Flinke jongen hoor

[The-Source]

FBI doet alleen binnenlandse zaken. Slachtoffers en of gebeurtenis is in de USA.

[adje123]

Ooooh, jij denkt dat overheden geen informatie met elkaar uitwisselen over opsporingsmothodes etc?

[BaZuKi]

Volgens mij zit het echte gevaar van datalekken niet eens alleen in de gegevens die worden gestolen. Het wordt vooral spannend als je verschillende hacks en datasets aan elkaar kunt koppelen (gelukkig is dat nu vaak nog verboden, maar dit gaat buiten de wet om). Medische gegevens, supermarkt­aankopen en financiële transacties lijken op zichzelf misschien niet zo bijzonder, maar samen kunnen ze ineens een heel duidelijk beeld van iemand geven. Met slimme analyses en algoritmes kun je daar vervolgens dingen uit afleiden die iemand nooit zelf heeft verteld, zoals gezondheid, leefstijl of financiële problemen. Wellicht leidt je er zelfs informatie uit die de persoon zelfs niet eens weet.... Dat kan natuurlijk nuttig zijn, maar het kan ook behoorlijk verkeerd worden gebruikt. Daarom is de vraag volgens mij niet alleen welke data er is gelekt en wat ermee gedaan wordt, maar vooral wat je met een combinatie van al die gegevens kunt ontdekken/ doen / misbruiken.

[DonChaot]

Is dat wel zo? Je moet het namelijk ook nog te gelde maken en ik zie eigenlijk niet veel wegen om dat te doen.

Deze hack moet blijkbaar 239.000 opbrengen om rendabel te kunnen zijn. Als je dit al met een aantal mede boefjes moet delen dan krijgt een ieder niet zoveel meer. Hoeveel tijd kan je dan nog besteden om een geslaagde hack te zetten (naast x pogingen die mislukken) en daarna je gegevens nog te vermarkten. Hierbij ook nog een risico bij in calculeren dat je gestraft kan worden. Als ik dit bedrag zo zie dan is een gewone, legale baan zo gek nog niet. Vooral ook omdat de opbrengst tot nu toe €0,-- is.

[bertus1968]

Ik schrok nog van Odido, maar bij Flink "Ach ja, die kan er ook nog wel bij ;-)"

[WargamingPlayer]

Dit dus. Er is inmiddels zo veel gelekt dat het gewoon niet meer uit maakt. Zelfs de telefoontjes en emails zijn opgehouden.

[phoenix2149]

Inderdaad. Je kunt beter alles op straat gooien en je accounts gewoon zo goed mogelijk beveiligen dan ervoor betalen. Hebben doen ze het toch.

Ik heb een consumenten email adres, een spam email adres en een aparte email adres voor mijn officiele zaken als bankzaken.

Alle zooi die ik elders ontvang dan mijn "financiele" email adres is duidelijk spam en wordt zonder pardon verwijderd.

[Reactie gewijzigd door phoenix2149 op 6 oktober 2026 09:28]

[prutser001]

Vond de EA hacks irritanter, binnen no time spam. Eigenlijk nog weinig gemerkt van de Odido hack. En veel mensen denken ook echt dat Odido b.v. alleen verantwoordelijk is voor de spam die ze nu ontvangen. Als ik dan laat zien 'haveibeenpwned' en vul hun mail adres in of wat dan ook komen er nog 5 hits naar voren welke veeeel eerder plaatsgevonden hebben.

Veel mensen hebben gewoon geen idee en denken dan ook echt dat er alleen dingen mis gaan als ze in NL te maken hebben met een datalek/hack.

Als ik bij mezelf kijk, 6 breaches op mijn oudste mail adres, 4 of 2de en 0 op laatste 5 mail adressen. Er zijn genoeg lekken geweest : https://haveibeenpwned.com/PwnedWebsites
Als je net gebruik maakt van die diensten mjah heb je pech.

[Reactie gewijzigd door prutser001 op 5 oktober 2026 20:28]

[joker1977]

Mijn email-adres bij Odido was t-mobile@domein en de hoeveelheid spam die op t-mobile@domein is gekomen sinds de Odido-hack is niet onaanzienlijk.

Omdat ik vrij religieus de email-registratie bij bedrijven op die manier heb aangemaakt kan ik met een aan zekerheid grenzende waarschijnlijkheid zeggen waar de spam vandaan komt.

[Tigitaal]

Zoiets zou ik ook erg graag willen. Hoe doe je dit? Ik heb al mijn eigen domein en ik zag dat proton deze service aanbood maar wel tegen betaling.

[D.nukem]

Zoals ik het doen: elke keer dat ik een mailadres moet achterlaten krijgt het bedrijf zijn eigen voorzetsel.
[e-mail]
[e-mail]
[e-mail]
Etc

Je kan, als dat mogelijk is, daarna filters aanmaken die de mail in een eigen map gooit.

[KappuhH]

Als je dit vaak doet dan weten ze dat ze voor DHL je moeten phishen op [e-mail] en voor FedEx op [e-mail]. Bij combineren van meerdere databases is die logica zo gemaakt. De vraag is natuurlijk of ze de moeite nemen om het zo te doen…

[D.nukem]

Klopt, u heeft een valide punt.

Maar het helpt wel als er een databank geplunderd wordt en ze kijken niet verder dan de ruwe data. Ik vermoed echter dat ik nog niet zo interessant ben dat ze een algoritme gaan opstellen om dit patroon te vinden.

En tot die tijd, als een mail op straat komt te liggen, verander ik de mail bij de dienst met een optellend nummer achter het voorzetsel. Net als bij nummerborden, hoe hoger het cijfer, hoe vaker het gelekt is.

[Tigitaal]

En welke mailserver gebruik je daarvoor?

[D.nukem]

Het loopt via mijndomein inclusief de domein registratie. Simpel maar effectief voor het doel.
Ps: ik meende dat Proton geen domeinregistratie aanbied, dat kan wel lastig zijn om de mail bij Proton te krijgen.

[Reactie gewijzigd door D.nukem op 5 oktober 2026 21:36]

[WargamingPlayer]

Je mail server moet het wel ondersteunen. Ik heb in mijn server (Grommunio) een regex map moeten maken in Postfix om het voor elkaar te krijgen. Maar het werkt als een tierelier. Helaas zijn er dus bedrijven die geen + in het e-mail adres toestaan. Helaas zitten op mijn mail server 5 personen, dus een catchall is helaas niet mogelijk. Dus ik moet het wel met <site>[e-mail] doen.

Ook omdat de . Gebruikt wordt voor reguliere adressen.

[blurryilluzion]

Bij Freedom internet werkt de mail ook zo met de +. Dat kan beperkend zijn, zoals je aangaf. Maar bij Freedom werkt dit ook: Stel je emailadres is [e-mail], dan komt mail gestuurd aan *@pietjepuk.eigendomein.nl allemaal binnen. Dus: [e-mail] komt binnen, en alle andere prefixes voor de @ ook. Als je dan een submapje odido in je Postvak IN hebt gemaakt, wordt de mail ook nog eens IN die map gedropt. Helemaal ideaal.

Ik ben inmiddels met al mijn domeinen over naar ze en ik zou niet meer terug willen.

[Red Boll]

Waarom niet meer random? In ieder geval Bitwarden ondersteunt dit voor een eigen domein.
Op url / inhoud van de mails zie je vanzelf waar je het mailadres voor hebt gebruikt.
Catch-all aanzetten en gaan.

[Tigitaal]

Krijg je met een catch-all juist niet een enorme hoeveelheid aan spam?

[Red Boll]

Dat valt wel mee, die komen in principe alleen binnen op generieke adressen die ik niet in gebruik heb zoals info@..., sales@... Die gaan op een enkeling na naar de spamfolder waar ze horen.

Het enige nadeel van een eigen domein is misschien dat ze het domein aan één persoon kunnen gaan koppelen naar verloop van tijd.
Misschien moet ik maar random accounts gaan aanmaken om de dataset wat te verspesten.

[TomR]

Ik heb in Fastmail (masked mail) icm Bitwarden dat iedere website een random nieuw email adres gemaakt krijgt, Bitwarden onthoud alles weer. Hoef je niet meer na te denken

[Nick v D]

Ik host mijn eigen mailserver (Docker Mailserver en een SMTP relay) en ik kan daardoor heel makkelijk een alias aanmaken die naar mijn “hoofd” e-mail gaat. Dat hoofd e-mailadres dat deel ik met niemand. Elke shop, site, hotel etc krijgt zijn eigen e-mail met 5 willekeurige cijfers erachter. Dus KPN wordt kpn12345@domein als voorbeeld.

Hier heb ik (met wat hulp van AI) een tooltje voor geschreven waarmee ik via een UI makkelijker deze alias adressen kan aanmaken.

Ik heb laatst ook nog over een tooltje gelezen gemaakt “Aliasvault”, maar omdat wat ik nu heb prima werkt, is het voor mij zo goed.

[Tigitaal]

Ik heb bij meerdere e-mail providers gekeken en het aantal aliassen zijn altijd beperkt. Je eigen mailserver hosten lijkt mij inderdaad de oplossing. Waar moet ik op letten qua veiligheid?

[Nick v D]

Goeie vraag.
En voordat ik begin, het algemene zinnetje die ik overal lees en hoor: Je eigen mailserver draaien is een ramp, vooral het verzenden van mail.
Logisch, want andere mailservers checken de reputatie van daar waar de mail van komt. Dit heb ik opgelost door SMTP2Go als Relay server te gebruiken waardoor mijn mail niet in spam beland van bijvoorbeeld gmail, outlook etc.

Ik heb een Homelab waar ik verschillende tools op draai en begin dit jaar huur ik een VPS.
Op de VPS draai ik mijn mailserver en Pangolin (voor reverse proxy).
Het voordeel is dat mijn thuis IP verborgen blijft en ook als ik met mijn homelab aan het stoeien ben dan hoef ik me niet zorgen te maken dat bijvoorbeeld mijn mail onderuit gaat.
Het nadeel is dat je mail dus wel bij de VPS op een server staat en je die dus moet vertrouwen. Persoonlijk vertrouw ik die meer dan gmail, outlook of andere mail providers (immers is mail hun brood), maar dat moet je dus voor jezelf bepalen.

Qua veiligheid (Disclaimer: Ik ben geen expert en puur hobbyist)|
- Docker Mailserver draait in Docker (ik wil je mijn compose geven als je hier behoefte aan hebt)
- Mijn Alias tooltje draait ook op Docker en schrijft rechtstreeks naar postfix-virtual.cf waarin je aliasses kunt aanmaken voor Docker Mailserver.

Stuur me anders een DM, en dan kan ik je mijn compose en settings delen.

[Tigitaal]

Ik heb je een dm gestuurd

[DiedX]

Idem. Nu ik [e-mail] heb geforward naar [e-mail] is mijn mailbox heerlijk rustig. Eat your own dogfood.

zit al een paar jaren bij KPN

[SuperSonicFreak]

Je hebt ergens zeker een punt, vooralsnog kan ik met zekerheid zeggen dat het dankzij de Odido hack feest is. Ik gebruik meerdere e-mailadressen, account hebben ook emailadressen waar ik al vooraf wist “dit gaat een spam zooitje worden”. Daarbij zag ik ook geregeld terug “breached accounts” via haveibeenpwned.

Het e-mailadres die ik bij Odido gebruikte had enkele tot nog geen tiental aan spamberichten, maar sinds die hack bij hun is het feest. Ik krijg er nu tientallen aan spamberichten per dag. Ze worden wel netjes weggefilterd.

Zojuist even gecheckt, gezien ik in het verleden 0 breaches zag, bij dit e-mailadres. Er staat nu en sinds de Odido hack: 1 breach: Odido.

[Pasteis]

De hackers wisten volgens Flink binnen te dringen door een account van een oud-medewerker over te nemen

Hier zet ik toch mijn vraagtekens bij. Hoe kan dit?
Was het account nog actief? Heeft de oud-medewerker iets mee te maken gehad? Waarom de-activeren ze accounts niet als ze uit dienst gaat?

Klinkt toch wel een beetje als een blunder.

[Aapmansz]

Ze weten waar ik van hou, dus kom maar door met die bestelling

[911GT2]

Ik gebruik gewoon overal de automatische verberg mijn e-mail adres functie van Apple en een fictieve naam. Mijn adres is natuurlijk niet te veranderen, maar dan is er in ieder geval minder eenvoudig een profiel op te bouwen.

[bram_001]

Bij ons bedrijf is het afvoeren van accounts van oud medewerkers net zo belangrijk als het aanmaken van een nieuw account. Je hebt al zeer snel dat je die oude accounts 'vergeet' terwijl je er nog steeds mee kan inloggen. En als ik het zo lees, heb je dus voor bedrijfsapplicaties blijkbaar alleen een username en wachtwoord nodig. Slecht geregeld moet ik zeggen.

[WargamingPlayer]

Bij ons is het een automatische process. Zelfs bij wisselen afdeling moeten de juiste vinkjes worden gezet. Zelfs mail en andere zaken nog actief na uitdiensttreding is compleet afgesloten. Heb je nog data die je wil hebben, dan kan dat met een proces waarbij er altijd een medewerker naast zit die gaat beoordelen of de data wel mee mag. En er zit sowieso een block op bepaalde data die zonder heel veel goedkeuringen er niet af gaat.

Wij zeggen dan ook, zet geen privé spul op je laptop. En zorg dat je foto’s op je iPhone in je iCloud zitten (en koppel je werk e-mail niet aan je iCloud).

[MalamuteOC]

Tja, ik zou zeggen dat is 'flink' vervelend voor het bedrijf maar nog vervelender voor de mogelijke slachtoffers.

Hacks zijn van aller tijden maar tegenwoordig met AI kun je je net zo goed nergens meer registeren, want een gemiddeld bedrijf wil nog net niet weten in welke boxershort je slaapt.
Dus zodra een bedrijf gehackt is, ligt je gehele leven voor de grijp.