Jims-datalek: 150.000 leden en een keten die het te klein inschatte
Hackers stalen tussen 13 en 20 juli klantgegevens van ongeveer 150.000 leden van 31 Jims-clubs; de gegevens circuleren inmiddels op het dark web.
- Omvang
- ca. 150.000 leden (Colruyt Group via VRT/Belga)
- Uitgelekt
- mogelijk naam adres geboortedatum e-mailadres lidmaatschapsgegevens in bepaalde gevallen rekeningnummer
- Stand
- Gegevensbeschermingsautoriteit ingelicht, aangifte bij de politie, gegevens circuleren op het dark web
Drie keer per week sporten, dat kost in België snel een maandabonnement en je rekeningnummer voor de incasso. Precies die combinatie staat nu te koop: hackers haalden in juli de gegevens van ongeveer 150.000 leden van Jims, de fitnessketen van Colruyt, binnen. Eind september liggen ze op het dark web.
Van “beperkte groep” naar 150.000 leden
Eind juli kregen Jims-klanten valse mails namens de keten. Jims waarschuwde toen voor de mails zelf: geen persoonlijke of bankgegevens doorgeven via een link. Wat klanten niet te horen kregen: die phishing kwam uit een datalek bij de keten zelf. Een lid dat er achteraan ging, kreeg pas weken later en na aandringen te horen dat zijn gegevens waren weggehaald.
En de omvang? Colruyt sprak lang van “een beperkte groep klanten”. Eind september bleek dat die groep zo’n 150.000 leden telt, verspreid over 31 van de 85 clubs. Mogelijk lekten naam, adres, geboortedatum, e-mailadres, lidmaatschapsgegevens en in sommige gevallen je rekeningnummer. Geen wachtwoorden en geen gezondheidsgegevens, dat is het enige goede nieuws.
Te lang te weinig gezegd
Het patroon kennen we van meer lekken dit jaar: de omvang komt pas op tafel als het niet anders kan. Iemand die in augustus een verdachte mail ontving, had het recht te weten dat er een datalek achter zat, zodat hij kon uitzoeken welke van zijn gegevens op straat lagen. Die informatie kwam te laat. Aan de opvolging ligt het minder: de Gegevensbeschermingsautoriteit is binnen de termijnen ingelicht, er is een formele klacht bij de politie, getroffen accounts zijn gereset en frauduleuze domeinnamen zijn geblokkeerd.
Waarom een rekeningnummer genoeg is
Een rekeningnummer is geen pincode, maar met je naam, adres en geboortedatum erbij is het bouwmateriaal voor een overtuigende sms: een incasso dat “faalt”, een lidmaatschap dat “opzegt”, een terugbetaling die “bevestigd” moet worden. Reageer op niets daarvan. Check acties in de Jims-app zelf.
Kreeg je een bericht met een link en twijfel je, plak het in de scam checker. Waar je zo’n bericht in België meldt, staat bij phishing melden.