Weet een oplichter straks wat jij elke week bij AH koopt? Waarom een expert je Bonuskaartprofiel 'waardevol voor criminelen' noemt
Samenleving
Je scant je Bonuskaart bij de kassa zonder erbij na te denken. Albert Heijn ziet dan niet alleen wat je koopt, maar ook wanneer en in welke winkel. Nu de supermarkt met een cyberincident kampt, wijst cybersecurityexpert Inge Bryan juist op die gegevens. Volgens haar is je Bonuskaartprofiel waardevol voor criminelen, zelfs als er niets gestolen blijkt te zijn.
Sinds zondagmiddag 11 oktober hebben Albert Heijn, Etos en Gall & Gall te maken met een cybersecurity-incident, meldt Albert Heijn zelf. Volgens NL Times lag de website van Albert Heijn woensdagochtend nog steeds plat. Moederbedrijf Ahold Delhaize zei dinsdag tegen de NOS dat er op dit moment geen aanwijzingen zijn dat klantgegevens zijn gestolen. Het onderzoek loopt nog.
Wat er in je profiel staat
Niet elke Bonuskaart is persoonlijk. Volgens het privacybeleid van Albert Heijn is een kaart die je in de winkel haalt en meteen gebruikt niet tot jou te herleiden. Dat verandert als je de kaart koppelt aan een Mijn Albert Heijn-account. Een digitale Bonuskaart die je bij het aanmaken van zo'n account krijgt, is ook persoonlijk.
Laat je de kaart scannen, dan verwerkt Albert Heijn de gegevens van je kassabon. Dat zijn onder meer het moment van aankoop, de winkel, de gekochte artikelen, de bedragen en de kortingen die je kreeg. Je persoonlijke bonus, de Bonus Box, Koopzegels en Air Miles draaien volgens De Dagelijkse Standaard allemaal op dezelfde systemen.
Waarom een expert die gegevens waardevol noemt
Bryan legde in Goedemorgen Nederland van WNL uit dat Albert Heijn waarschijnlijk volgens het boekje werkt. Systemen preventief offline houden noemde ze een normale aanpak bij bijvoorbeeld een ransomwareaanval. Op de vraag wat een hacker met Bonuskaartgegevens moet, was haar antwoord: veel.
In Nederland zijn inmiddels zoveel persoonsgegevens gehackt dat je als crimineel vrij makkelijk een profiel kunt maken van iemand.- Inge Bryan, cybersecurityexpert, bij WNL
Volgens Bryan kun je met kennis van iemands woonplaats, leefgewoonten en vaste aankopen inschatten wanneer iemand van huis is. Of je stelt er volgens haar vrij makkelijk een phishingmail mee samen.
Een oplichter met je aankoopdata hoeft niet te gokken. Hij weet al wat jou overtuigt.
Zo zou gerichte phishing eruit kunnen zien
Een gewone nepmail is vaak te herkennen aan een algemene aanhef en een korting op iets wat je nooit koopt. Met een aankoopprofiel valt dat weg. De voorbeelden hieronder zijn verzonnen ter illustratie en zijn niet in omloop gemeld:
- De 'herstelde' persoonlijke korting. Een mail of sms meldt dat je Bonus Box weer werkt, met korting op precies het merk koffie of de luiers die je elke week haalt. Je hoeft alleen even in te loggen via een link.
- Het telefoontje over je Koopzegels. Een 'medewerker' zegt dat je gespaarde tegoed door de storing verloren gaat, tenzij je je gegevens bevestigt. Albert Heijn liet volgens ANP juist weten dat het opgebouwde tegoed van Koopzegels behouden blijft.
- Het vaste boodschappenmoment. Wie weet dat jij elke zaterdagochtend boodschappen doet, weet ook wanneer je huis leeg staat. Dat is het scenario waar Bryan zelf op wijst.
Het verschil met gewone phishing is de geloofwaardigheid. Een bericht dat jouw producten noemt, voelt als echt contact met de supermarkt.
Wat Albert Heijn zelf zegt
Paniek is niet nodig. Albert Heijn schrijft in zijn update van dinsdag dat er op dit moment geen aanwijzingen zijn dat gegevens van klanten of collega's betrokken zijn bij het incident. Tegelijk waarschuwt de keten dat kwaadwillenden in zulke situaties vaker misbruik proberen te maken van de omstandigheden, bijvoorbeeld door zich voor te doen als medewerkers.
Die waarschuwing geldt dus ook als er niets is gestolen. Oplichters kunnen gewoon inspelen op de onrust. Volgens Kassa meldt Albert Heijn dat het updates plaatst op AH.nl en klanten informeert via de klantenservice in de winkels en via sociale media. Eerder schreven we al in 'AH, Etos en Gall & Gall gehackt: wat betekent dat voor jou?' over de gevolgen voor je boodschappen. De echte nummers om terug te bellen staan in 'Google, de Rijksrecherche en nu ook AH: deze terugbelnummers horen op een briefje naast je telefoon'.
Hoe persoonlijker een bericht klinkt, hoe meer reden om het te controleren.
Wat je nu kunt doen
- Klik niet op links in mails of sms'jes over herstelde kortingen, Bonus Box-acties of compensatie. Open zelf de AH-app of typ AH.nl in.
- Een bericht dat je echte aankopen noemt, is geen bewijs dat het van Albert Heijn komt.
- Hang op bij een telefoontje over je Koopzegels of Air Miles en geef nooit inloggegevens of bankgegevens door.
- Wil je minder sporen achterlaten, gebruik dan een losse Bonuskaart uit de winkel die niet aan een account gekoppeld is. Die is volgens Albert Heijn niet tot jou te herleiden.
- Volg de officiële updates van Albert Heijn: alleen daar hoor je of er toch gegevens betrokken blijken te zijn.
POPULAIR NIEUWS
Zondag gaat de klok een uur terug: deze apparaten moet je zelf nog verzetten
Valt je cv-ketel deze winter uit? Dan mag je nog gewoon een nieuwe ketel nemen, maar bij een ketel van 12 jaar of ouder is dat niet altijd slim
Kristallen glazen van je oma in de kast? Zoveel zijn ze nu waard
Nu al recordprijzen aan de pomp, en vanaf 2028 komt er per liter benzine ruim 27 cent bij: dit kost het jou per volle tank
Google, de Rijksrecherche en nu ook AH: deze terugbelnummers horen op een briefje naast je telefoon
Pak stroopwafels voor 38 cent, gesneden uien 300 procent duurder: zo werkt de supermarkttruc
Loading