Cybercriminelen bieden de gestolen gegevens van klanten van boodschappendienst Flink te koop aan. De hackersgroep LPG Group zegt gegevens van een miljoen klanten en ruim 10.000 medewerkers in handen te hebben. Eerder probeerde de groep klanten één voor één af te persen, maar dat leverde niets op.
Dat meldt RTL Nieuws, dat de gestolen gegevens heeft ingezien en gecontroleerd. Het gaat om woonadressen, telefoonnummers en e-mailadressen, plus informatie over bestellingen. De data zou uit de periode tussen maart en september van dit jaar komen. Meerdere gedupeerden bevestigden tegenover RTL dat hun adres, telefoonnummer en het bedrag van hun laatste bestelling kloppen.
Niet alleen Nederlanders zijn getroffen. Ook Duitse klanten van Flink staan in de dataset. Verschillende klanten van wie gegevens zijn gestolen, hebben van Flink zelf nog helemaal geen bericht gekregen. Dat zeggen verschillende gedupeerden tegen RTL Nieuws.
Afpersing per klant mislukt
De verkoop volgt op een eerdere poging om geld binnen te halen. Eind september vroeg de groep slachtoffers om losgeld. Voor 10 euro per persoon zouden hun gegevens niet op het dark web verschijnen. Samen moest dat minimaal 235.000 euro opbrengen.
Dat plan liep op niets uit. RTL kreeg de afpersingsmail doorgestuurd van 32 Nederlandse klanten, steeds met hetzelfde crypto-adres. Omdat de blockchain openbaar is, kun je nagaan hoeveel betalingen daar zijn binnengekomen. Dat zijn er nul.
Daarnaast zette de groep het bedrijf zelf onder druk. Volgens Cybernews eiste LPG Group 100 ETH van Flink. De site noemt de aanpak ’triple extortion’. Dat betekent dat het hackerscollectief tegelijkertijd het bedrijf, de klanten en de medewerkers afgeperst.
Binnen via account van oud-medewerker
Volgens Flink wisten ze het account van een voormalige medewerker over te nemen. Wachtwoorden en financiële gegevens, zoals IBAN-nummers, zijn volgens het bedrijf niet buitgemaakt. Flink zegt sinds het incident extra beveiligingsmaatregelen te hebben genomen en cybersecurity-experts te hebben ingeschakeld. Ook heeft het bedrijf aangifte gedaan en de hack gemeld bij de autoriteiten voor gegevensbescherming.
LPG Group is een nieuwe naam. De socialmediakanalen van de groep werden vorige maand actief en supermarktketen Flink is het eerste bekende slachtoffer. RTL Nieuws vroeg de groep om een reactie, maar heeft vooralsnog geen antwoord gekregen.