Hackers hebben persoonlijke gegevens van 150.000 leden van fitnessketen Jims buitgemaakt. Dat bevestigt moederbedrijf Colruyt. Het datalek dateert al van deze zomer, maar nu pas is de ware omvang duidelijk. De keten probeert nu alle leden te waarschuwen voor mogelijke phishingberichten.
Datalek bij Colruyts fitnessketen Jims veel groter dan gedacht: gegevens van 150.000 leden gestolen
Stefan Grommen
Gepubliceerd:
In het kort:
Hackers hebben deze zomer persoonlijke gegevens van zowat 150.000 leden van fitnessketen Jims gestolen.
Het gaat mogelijk om naam, adres, geboortedatum, e-mailadres, lidmaatschapsgegevens en soms rekeningnummers.
De gegevens circuleren al op het dark web.
Colruyt waarschuwt leden voor phishingberichten via mail, sms of telefoon.
Eind juli kreeg Wim uit Brussel een verdachte mail in zijn inbox. Die was zogezegd afkomstig van fitnessketen Jims, waar hij klant is. Maar Wim rook onraad en trok aan de alarmbel bij Jims. Niet veel later stuurde de keten een waarschuwingsbericht naar alle klanten met de boodschap dat er "valse e-mails in omloop zijn" en dat "klanten geen persoonlijke of bankgegevens mogen doorgeven via een link in een e-mail".
Pas weken later en na wat aandringen, kreeg Wim meer uitleg van de fitnessketen: de phishingmails bleken het gevolg te zijn van een datalek bij Jims. Dat bevestigde ook Colruyt, het moederbedrijf van de fitnessketen. Een "kwaadwillige partij" zou tussen 13 en 20 juli klantengegevens van "een beperkte groep klanten" hebben kunnen downloaden.
De betrokken accounts zouden intussen ook gereset en extra beveiligd zijn, liet het bedrijf nog weten. Colruyt zou ook de frauduleuze e-mailadressen en domeinnamen hebben laten blokkeren die gebruikt werden bij de phishingaanvallen.
Groter dan gedacht
Intussen zijn we eind september en nu moeten ze bij Colruyt schoorvoetend toegeven dat ze de omvang van het datalek zelf hebben onderschat. Die "beperkte groep klanten" blijkt te bestaan uit zowat 150.000 leden van 31 van de 85 Jims-fitnessclubs in België.
We hebben meteen de nodige stappen genomen in onze systemen om de potentiële schade te beperken en een extra bescherming te kunnen garanderen
Hanne Poppe, woordvoerster bij Colruyt
Van hen zijn mogelijk naam, adres, geboortedatum, e-mailadres, lidmaatschapsgegevens en in bepaalde gevallen ook het rekeningnummer gestolen. Intussen worden de gestolen gegevens ook al aangeboden op het dark web . Er zijn geen wachtwoorden of gezondheidsgegevens gelekt. En ook gegevens van andere Colruyt-systemen zouden niet betrokken zijn.
"De Belgische Gegevensbeschermingsautoriteit werd binnen de toepasselijke termijnen geïnformeerd, in overeenstemming met de wettelijke verplichtingen", meldt Colruyt-woordvoerster Hanne Poppe. "We volgen ook nauwgezet op met alle betrokken partijen, waaronder de politiediensten bij wie we een formele klacht hebben ingediend."
Waarschuwingsmail
De Jims-leden zouden vandaag ook een e-mail moeten krijgen, die de mogelijke impact van het lek uit de doeken doet. Daarin waarschuwt Colruyt onder meer voor kwaadaardige mails of sms'en.
"Doordat de betrokken gegevens online werden aangeboden, bestaat het risico dat derden deze proberen te gebruiken voor frauduleuze doeleinden, zoals phishing via e-mail, sms of telefoon. Als actief lid van Jims raden we je aan extra alert te zijn voor berichten die verwijzen naar je lidmaatschap, betalingen, domiciliëringen, terugbetalingen of wijzigingen aan je account."
Tips van Colruyt en Jims om schade te beperken
Controleer steeds zorgvuldig de afzender en/of het webadres voordat je persoonsgegevens deelt, een betaling uitvoert of doorklikt op een link.
Deel nooit wachtwoorden, verificatiecodes of bankgegevens via e-mail, sms of telefoon.
Wees extra voorzichtig met berichten over betalingen, terugbetalingen of wijzigingen aan je lidmaatschap.
Controleer regelmatig je bankrekening op ongebruikelijke verrichtingen.
Neem bij twijfel rechtstreeks contact op met Jims.
Mailing of niet, Jims-klant Wim was deze zomer al misnoegd over de beperkte communicatie van de fitnessketen over de gestolen data. Hij wijst erop dat het bedrijf wettelijk verplicht is om zulke datalekken te melden. "Dat is relevant, omdat het om een combinatie gaat van gegevens die identiteitsfraude en financieel misbruik mogelijk maken."
Fout of niet?
Gingen Jims en Colruyt dan in de fout? Bij de GBA beamen ze dat een datalek sowieso bij hen gemeld moet worden en dat is hier wel degelijk gebeurd. Inhoudelijk mag woordvoerster Aurélie Waeterinckx zich niet over deze zaak uitspreken.
"Over het algemeen hangt de verplichting om ook de klanten op de hoogte te brengen wat af van de context", legt ze uit. "De regel is dat ze verwittigd moeten worden als er een 'ernstig risico is voor de betrokkenen'. Als bijvoorbeeld je wachtwoord gestolen is, moet je daar onmiddellijk van op de hoogte gebracht worden om het te kunnen aanpassen."
De regel is dat klanten verwittigd moeten worden als er een 'ernstig risico is voor de betrokkenen'
Aurélie Waeterinckx, woordvoerster van de Gegevensbeschermingsautoriteit (GBA)
En wat als een bedrijf zondigt tegen die regel? "Dan kunnen wij, bijvoorbeeld na een klacht, een onderzoek starten. De Geschillenkamer van de GBA moet daar dan over oordelen. Wordt de inbreuk daar bevestigd, dan kan er een sanctie worden opgelegd en zelfs een financiële boete."
"We betreuren de situatie ten zeerste", zegt Colruyt-woordvoerster Poppe nog. "We beseffen dat dit een impact kan hebben op de leden. We nemen de veiligheid van de gegevens van onze leden zeer ernstig. We hebben meteen de nodige stappen genomen in onze systemen om de potentiële schade te beperken en een extra bescherming te kunnen garanderen."
