Eurocamp- en Roan-datalek: je vakantiegegevens als lokaas op WhatsApp
Bij een technische dienstverlener van Eurocamp en Roan lekten namen, telefoonnummers, e-mailadressen en boekingsgegevens; criminelen benaderen klanten nu via WhatsApp met betaallinks.
- Omvang
- duizenden Nederlanders (exact aantal onbekend) (Eurocamp en Roan tegenover De Telegraaf)
- Uitgelekt
- voornaam en achternaam e-mailadres telefoonnummer bestemming of park aankomst- en vertrekdatums boekingswaarde
- Stand
- Gemeld bij toezichthouders (waaronder de ICO en de CNIL); WhatsApp-fraude loopt
Je vakantie is geboekt, de koffers staan half ingepakt, en dan staat er in WhatsApp een bericht van “Eurocamp”: je kampeerplek vervalt als je niet vandaag betaalt. Je naam klopt, je bestemming klopt, je verblijfsdatums kloppen. Alleen de betaallink is van oplichters, en die weten al die dingen omdat Eurocamp en Roan ze lekten.
Naam, telefoon en boeking, geen bankgegevens
Het lek zit bij een technische dienstverlener van de twee campingaanbieders, waarvan de naam en de oorzaak ongenoemd blijven. Volgens Eurocamp was op 17 maart een incident vastgesteld; op 25 maart volgde de bevestiging dat het groter was. Toegankelijk waren je voor- en achternaam, je e-mailadres en telefoonnummer, en je boekingsgegevens: bestemming, aankomst- en vertrekdatum en de boekingswaarde. Creditcardgegevens, bankinformatie, wachtwoorden en huisadressen zijn niet meegekomen, en Roan benadrukt dat er geen bewijs is dat het risico op je woning vergroot.
Hoeveel mensen het raakt, zeggen de bedrijven niet. “Duizenden Nederlanders”, laten ze tegenover De Telegraaf weten. Alle getroffen klanten kregen een mail.
Duidelijk in de communicatie, blind op de leverancier
Aan de communicatie valt weinig te zeuren: slachtoffers zijn persoonlijk ingelicht, er staat een duidelijke beveiligingsupdate online, en het incident is gemeld bij toezichthouders waaronder de ICO en de CNIL. Ook de uitleg waarom er geen compensatie komt is eerlijk: er lekte geen financiële informatie en de waarschuwing kwam snel. Het zwakke punt zit ergens anders: je vakantiegegevens stonden bij een partij waarvan je de naam nooit te horen krijgt. Wie jouw boeking en telefoonnummer vastlegt, bepaalt ook hoe goed die bewaakt wordt. Daar wil je als klant meer over weten dan “een technische provider”.
De betaallink is het hele plan
Met bestemming, datums en je naam is een WhatsApp-bericht bijna niet van echt te onderscheiden. Maar de regel van Eurocamp zelf geldt altijd: het bedrijf zet nooit een directe betaallink in een sms of WhatsApp-bericht en vraagt nooit via WhatsApp om betalingsgegevens. Betalen doe je in Mijn Eurocamp of via de officiële site.
Krijg je zo’n appje, lees dan bij WhatsApp-fraude hoe deze trucs precies lopen en meld het bericht bij de Fraudehelpdesk. Twijfel je over een link, stop hem eerst in de link checker.