Datalek bij Bol-partner legt nieuw risico bloot: pakketfraude wordt makkelijker

woensdag, 05 augustus 2026 om 19:56

Bol heeft op woensdag 5 augustus 2026 bevestigd dat cybercriminelen mogelijk persoonsgegevens en bestelgegevens van klanten hebben bekeken of gekopieerd bij logistiek partner CEVA Logistics. Betaalgegevens en wachtwoorden lijken niet te zijn geraakt, maar de combinatie van namen, adressen en concrete productinformatie kan in het tijdperk van generatieve AI bijzonder overtuigende fraude mogelijk maken.

De cyberaanval trof twee systemen van CEVA Logistics die worden gebruikt voor bestellingen vanuit één distributiecentrum van bol. De website, app en interne systemen van bol zijn volgens het bedrijf niet gehackt.

Bol werd op 1 augustus door CEVA geïnformeerd en meldde het incident op 3 augustus bij de Autoriteit Persoonsgegevens. Het bedrijf heeft de gegevensuitwisseling met de logistieke partner uit voorzorg stopgezet. Het aantal mogelijk getroffen klanten en de gebruikte aanvalsmethode zijn nog niet bekend.

Welke gegevens zijn mogelijk buitgemaakt?

De aanvallers hadden mogelijk toegang tot gegevens die nodig zijn om bestellingen te verwerken en te bezorgen. Het kan volgens bol gaan om:

naam, adres, postcode en woonplaats;
telefoonnummer en e-mailadres;
ordernummer en track-and-tracegegevens;
bestelde artikelen en bijbehorende EAN-codes;
een persoonlijke boodschap bij een cadeaubon.

Een EAN-code is het unieke barcodenummer waarmee een specifiek product kan worden geïdentificeerd. De code geeft geen toegang tot een account, maar kan wel onthullen welk artikel iemand heeft gekocht.

Bol schrijft dat alleen gegevens uit het getroffen systeem van CEVA betrokken kunnen zijn. Het gaat dus niet om de volledige bestelgeschiedenis van klanten. Ontvangers van een waarschuwingsmail kunnen onderaan het bericht zien om welke bestelling of artikelen het mogelijk gaat.

Er zijn op dit moment geen aanwijzingen dat wachtwoorden, inloggegevens, bankrekeningnummers, creditcardgegevens of andere betaalinformatie zijn ingezien. Het lopende onderzoek moet uitwijzen of aanvullende gegevens zijn geraakt.

Waarom maakt AI dit datalek gevaarlijker?

Generatieve AI verlaagt de drempel om gestolen informatie op grote schaal om te zetten in geloofwaardige phishingberichten. Een crimineel hoeft niet langer zelf honderden persoonlijke e-mails te schrijven. Een taalmodel kan automatisch voor iedere getroffen klant een andere tekst maken op basis van de beschikbare bestelgegevens.

Een aanvaller kan bijvoorbeeld een bericht genereren waarin de echte naam van de klant, het juiste product en een bestaand ordernummer staan. De ontvanger krijgt vervolgens te horen dat het pakket niet kan worden bezorgd totdat een klein bedrag is betaald.

Zo’n bericht kan er als volgt uitzien:

“Uw bestelling van [product] met ordernummer [nummer] kon niet worden afgeleverd. Controleer uw adres en betaal €1,95 aan nieuwe bezorgkosten.”

De meeste onderdelen van dat bericht kunnen feitelijk kloppen. Alleen de betaallink en het verzoek zijn vals.

AI kan daarnaast taalgebruik aanpassen aan de vermoedelijke leeftijd, regio of communicatiestijl van een slachtoffer. Modellen kunnen foutloos Nederlands schrijven, varianten van bestaande klantenserviceberichten nabootsen en dezelfde campagne via e-mail, sms, WhatsApp en sociale media verspreiden.

AI maakt ook telefonische fraude schaalbaarder

Het risico blijft niet beperkt tot geschreven phishing. Criminelen kunnen de gelekte gegevens combineren met AI-systemen voor spraakgeneratie en geautomatiseerde telefoongesprekken.

Een frauduleuze beller kan zich voordoen als medewerker van bol, CEVA of een pakketbezorger en verwijzen naar een echte bestelling. De beller kan zeggen dat een terugbetaling klaarstaat, dat het bezorgadres moet worden bevestigd of dat een geannuleerde bestelling opnieuw moet worden betaald.

Moderne AI-stemmen maken het mogelijk om zulke gesprekken geautomatiseerd en op grote schaal te voeren. Een systeem kan direct reageren op antwoorden van slachtoffers en het gesprek aanpassen wanneer iemand twijfelt.

Daarmee verandert de betekenis van een relatief beperkt datalek. De criminelen hebben mogelijk geen wachtwoorden of betaalgegevens, maar wel voldoende context om vertrouwen op te bouwen. Juist die context vormt vaak de eerste stap naar het alsnog verkrijgen van gevoelige informatie.

Correcte persoonsgegevens bewijzen niets

Een bericht met een echte naam, bestelling of track-and-tracecode is niet automatisch betrouwbaar. Criminelen gebruiken gelekte gegevens juist om een vals bericht authentiek te laten lijken.

De veiligste controle vindt daarom altijd plaats buiten het ontvangen bericht. Klanten kunnen een bestelling rechtstreeks openen in de officiële bol-app of zelf bol.com invoeren in de browser. Links uit onverwachte mails, sms-berichten of chatgesprekken kunnen beter worden vermeden.

Bol adviseert getroffen klanten alert te zijn op phishing en andere vormen van fraude. Het bedrijf zegt op dit moment geen aanwijzingen te hebben dat de mogelijk ingeziene gegevens al worden misbruikt.

Wat moeten getroffen klanten nu doen?

Klanten hoeven vanwege dit incident niet automatisch hun bankpas te blokkeren. Ook een wachtwoordwijziging is niet direct noodzakelijk wanneer het bol-wachtwoord nergens anders is ingevoerd of gedeeld.

Wel zijn enkele voorzorgsmaatregelen verstandig:

controleer onderaan de waarschuwingsmail welke bestelling mogelijk betrokken is;
open bestellingen alleen via de officiële app of website;
betaal geen onverwachte bezorg-, administratie- of retourkosten via een toegestuurde link;
deel nooit wachtwoorden, betaalgegevens of sms-codes via telefoon, mail of chat;
houd kostbare of nog niet geleverde bestellingen extra goed in de gaten;
bewaar de melding van bol voor het geval later misbruik wordt vastgesteld.

Wie al via een verdacht bericht heeft ingelogd, moet het gebruikte wachtwoord direct wijzigen. Wanneer geld is overgemaakt of betaalgegevens zijn ingevoerd, is snel contact met de bank noodzakelijk.

Leveranciers worden een steeds belangrijker aanvalsdoel

Het incident laat ook zien dat de beveiliging van een groot digitaal platform niet stopt bij de eigen website en servers. Webwinkels delen gegevens met magazijnen, vervoerders, betaalbedrijven, softwareleveranciers en klantenservices.

Aanvallers kunnen daarom kiezen voor een externe partner die toegang heeft tot waardevolle operationele gegevens. Dit wordt een supplychainaanval genoemd: een crimineel bereikt het uiteindelijke doelwit via een organisatie in de toeleveringsketen.

CEVA en bol verlengden hun samenwerking in juni 2025 tot ten minste 2029. CEVA verwerkt vanuit meerdere magazijnen bestellingen voor het platform.

De aanval betekent niet automatisch dat CEVA onvoldoende beveiligingsmaatregelen heeft genomen. De oorzaak wordt nog onderzocht. Het incident onderstreept wel dat bedrijven kritisch moeten kijken welke persoonsgegevens partners ontvangen, hoelang die gegevens worden bewaard en of alle informatie daadwerkelijk nodig is.

Beperkt datalek, maar langdurig frauderisico

De directe schade lijkt voorlopig beperkt doordat betaalgegevens en accountwachtwoorden niet zijn geraakt. Het belangrijkste gevaar ontstaat wanneer criminelen de gelekte informatie gebruiken als bouwstenen voor gepersonaliseerde manipulatie.

Generatieve AI maakt dat proces sneller, goedkoper en overtuigender. Eén gestolen database kan worden omgezet in duizenden unieke berichten, telefoongesprekken en neppagina’s die aansluiten op echte bestellingen.

Getroffen klanten moeten daarom vooral de komende weken en maanden rekening houden met pakketfraude, valse terugbetalingen en telefoontjes over bezorgproblemen. De kernregel blijft eenvoudig: controleer ieder verzoek via het officiële account en vertrouw een afzender nooit uitsluitend omdat die correcte persoonsgegevens kent.

Robin HeesterOprichter

Robin Heester is mede-oprichter van AI Wereld en heeft door de jaren heen meerdere websites, nieuwsbrieven en magazines opgericht. Hij schrijft over technologie, innovatie en de maatschappelijke impact van nieuwe digitale ontwikkelingen.