Kartonnen pakketten op een lange transportband in een groot distributiecentrum bij nacht

Tijdlijn van dit dossier

Dit artikel groeit mee met de zaak. Wie het snel wil bijhouden, heeft aan deze regels genoeg; daaronder staat elke update voluit, nieuwste eerst.

7 augustus — eerste bericht: klanten van Bol, de Bijenkorf, ING en Ajax krijgen mail over een datalek bij logistiek dienstverlener CEVA.
8 augustus — de merken communiceren, CEVA zelf zwijgt.
12 augustus — het zijn geen vier bedrijven meer: ook Valve en Ace & Tate melden zich. De tijdlijn van de inbraak wordt bekend.
13 augustus — de webshop van de Bijenkorf draait ruim een week later nog steeds niet normaal.
15 augustus — twaalf meldingen bij de toezichthouder; About You (Zalando) blijkt ook geraakt.
16 augustus — About You bevestigt zelf dat er ook gegevens zijn buitgemaakt, niet alleen magazijnhinder.
18 augustus — het onderzoek sleept: er wordt gekeken of CEVA zijn beveiliging op orde had. En dit blijkt niet de eerste keer: in november 2025 werd CEVA ook al bestolen.
19 augustus — Pokémon Center is het negende merk: klanten in het Verenigd Koninkrijk en Duitsland krijgen bericht, bestellingen worden geannuleerd. En CEVA bewaart bezorggegevens tot 90 dagen na een bestelling.
19 augustus (avond) — bol komt terug op de omvang: meer klanten en meer bestellingen dan eerder gemeld. Er gaat een tweede mailronde uit.
20 augustus — het lek raakt niet alleen klanten: volgens BNR kregen ook ex-medewerkers bericht, met bsn, kopieën van hun identiteitsbewijs en salarisgegevens erin. CEVA bevestigt dat niet.
21 augustus — er gaat een checkregel rond die niet klopt: geen mail gehad is geen bewijs dat je erbuiten valt. En de onderwerpregel van de mail van bol is nu bekend.
24 augustus — de webshop van de Bijenkorf draait na ruim drie weken weer volledig; wat er precies gelekt is, weet het bedrijf nog steeds niet.
25 augustus — bol verkoopt weer vanuit het getroffen fulfilmentcenter in Waalwijk, stapsgewijs; het datalek zelf is nog steeds niet uitgezocht.
1 september — Ajax mailt zijn klanten wat er weg is: huisadressen en telefoonnummers, geen betaalgegevens of wachtwoorden. Het eerste merk in dit dossier dat de veldenlijst noemt.
2 september — bol, de Bijenkorf en Ace & Tate bezorgen weer normaal, blijkt uit een rondgang van de NOS. Bij ING Punten en Ajax loopt het nog niet rond; CEVA beantwoordt nog altijd geen vragen.
10 september — de Bijenkorf bevestigt dat onbevoegden klantgegevens daadwerkelijk hebben ingezien, en mailt getroffen klanten.

Update 10 september 2026: de Bijenkorf weet het nu zeker, er is meegekeken

Vijf weken lang stond in de mails van de meeste merken in dit dossier dezelfde voorzichtige formulering: gegevens zijn mogelijk ingezien. Voor de Bijenkorf is dat woord “mogelijk” nu weg. De warenhuisketen bevestigt dat onbevoegden bij het datalek van CEVA toegang hebben gehad tot persoonsgegevens van klanten, meldt RetailDetail. Uit onderzoek van CEVA blijkt dat het systeem met klantgegevens daadwerkelijk is ingezien. De Bijenkorf informeert getroffen klanten per e-mail.

Welke velden de Bijenkorf in die nieuwe mail noemt, staat niet in het openbare deel van het bericht. Eerder in dit dossier ging het bij de Bijenkorf, net als bij de andere merken, om naam, adres, telefoonnummer, mailadres en bestelgegevens; bol noemde later ook ordernummer en track-en-trace-informatie. Betaalgegevens en wachtwoorden zaten er volgens de bedrijven niet bij. Tot de Bijenkorf zelf een veldenlijst publiceert, gaan we daarvan uit.

Voor de phishingkant verandert er één ding. Er gaat nu een echte mail van de Bijenkorf rond over dit datalek, en dat is precies het moment waarop een nagemaakte versie het makkelijkst binnenkomt. Een echte datalekmelding vraagt je niet om in te loggen, je gegevens te bevestigen of een vergoeding aan te vragen. Twijfel je, typ dan zelf het adres van de winkel in en kijk in je account.

Update 3 september 2026: de pakketten lopen weer, het datalek nog niet

Bestellingen van de Bijenkorf, bol en brillenmerk Ace & Tate worden weer normaal afgehandeld en bezorgd. Dat blijkt uit een rondgang van de NOS langs klanten van CEVA Logistics, een maand na de cyberaanval op het distributiecentrum in Waalwijk. De Bijenkorf en Ace & Tate zeggen dat de logistieke situatie is hersteld.

Dat geldt niet voor alle klanten van CEVA. In de webwinkel ING Punten kunnen mensen geen producten meer bestellen die bezorgd moeten worden. Ajax meldt op zijn eigen site dat bestellen wel kan, maar dat bestellingen en terugzendingen langer kunnen duren dan normaal. CEVA Logistics wil nog steeds geen vragen over de aanval beantwoorden.

Let op wat hier wél en niet is opgelost, want dat wordt in de berichtgeving snel één ding. Wat werkt, is de logistiek: dozen gaan de deur weer uit. Wat níet is opgelost, is de vraag welke persoonsgegevens er precies zijn buitgemaakt. De NOS noemt dezelfde categorieën die in dit dossier sinds 7 augustus terugkomen: namen, adressen, e-mailadressen en telefoonnummers, en een aantal bedrijven onderzoekt nog of dat daadwerkelijk is gebeurd. Een hersteld bezorgproces is dus geen afronding van het datalek, en wie zijn adres en telefoonnummer in dit dossier kwijtraakte, is dat over vier weken nog steeds kwijt.

Waar eerdere updates in dit dossier steeds een merk erbij telden, staat er nu voor het eerst een merk minder in de problemen. Het volgende moment dat ertoe doet, is niet de volgende bezorgmelding maar het eerste bedrijf dat zegt wat er uit zijn eigen bestand is verdwenen, zoals Ajax op 1 september deed. Zolang alleen de bezorging het nieuws haalt, blijft de veldenlijst waar het echt om gaat onbesproken.

Update 1 september 2026: Ajax noemt als eerste wélke velden weg zijn

Vier weken lang stond in dit dossier bij elk merk dezelfde formulering: mogelijk ingezien of gekopieerd, onderzoek loopt. Ajax doorbreekt dat. De club mailt getroffen klanten van de Ajaxshop dat er onder meer huisadressen en telefoonnummers zijn buitgemaakt, en dat er geen betaalgegevens, bankrekeningnummers, creditcardgegevens, gebruikersnamen of wachtwoorden zijn gelekt, meldt Het Parool. Ajax adviseert extra alert te zijn op berichten die van de club lijken te komen: “Doordat persoonsgegevens betrokken zijn bij het incident, bestaat er een verhoogd risico op phishing.”

Waarom een korte veldenlijst hier goed nieuws én slecht nieuws is

Dat er geen wachtwoorden of betaalgegevens tussen zitten, scheelt: er valt met deze buit niets rechtstreeks te plunderen. Wat er wél in zit, is precies de set waarmee een oplichter geloofwaardig wordt. Naam, huisadres en telefoonnummer maken van een standaard-sms een bericht dat jouw straat kent. Bij een bezorgdienst is dat de gevaarlijkste combinatie die er is, want het verhaal ligt al klaar.

De timing verdient wel een kanttekening. Ajax meldde het lek begin augustus en wist toen nog niet of er persoonlijke data waren gelekt. Het heeft dus bijna vier weken geduurd om van “we weten het niet” naar een concrete veldenlijst te komen. Dat is lang, en tegelijk is Ajax het eerste merk in dit dossier dat die stap überhaupt zet. De andere partijen, inclusief de grootste, staan na dezelfde vier weken nog steeds op “mogelijk”. Wij vinden dat de lat: niet hoe snel je een lek meldt, maar hoe snel je erbij zet welke velden erin zaten.

De eerlijkheid gebiedt te zeggen dat Ajax het makkelijker heeft dan bol of de Bijenkorf. Een clubwebshop levert minder bestellingen aan minder klanten, met minder systemen ertussen. Een korte veldenlijst is bij zo’n omvang eerder rond. Dat maakt het geen prestatie van niks, maar het is geen bewijs dat de anderen niet willen.

Een beller die je adres kent, bewijst daarmee niets

Er is geen wachtwoord om te wijzigen, dus de enige zinnige actie zit in hoe je reageert op contact. Spreek met jezelf af dat je bij elk bericht over een bestelling, van welke winkel dan ook, alleen nog via de app of via een zelf ingetypt webadres kijkt. Een beller die je naam, adres en een recente bestelling correct noemt, bewijst daarmee vanaf nu niets.

Update 25 augustus 2026: de band draait weer, het onderzoek nog steeds

Het fulfilmentcenter aan de Veerweg in Waalwijk, dat CEVA Logistics voor bol runt, is gedeeltelijk weer in bedrijf. Artikelen die er opgeslagen liggen worden weer verkocht en verkooppartners kunnen er ook nieuw assortiment aanleveren, meldt RetailTrends. Bol benadrukt dat de locatie nog niet volledig operationeel is: “Deze hervatting gebeurt stapsgewijs. Zo kunnen we de operatie veilig en verantwoord opbouwen en de continuïteit voor partners zo goed mogelijk waarborgen.”

In hetzelfde bericht staat een datum die in dit dossier tot nu toe ontbrak. Bol werd op 1 augustus door CEVA geïnformeerd over de cyberaanval, waarbij twee systemen in het fulfilmentcenter zijn geraakt. Mogelijk zijn daarbij persoonsgegevens en ordergegevens van bol-klanten ingezien of gekopieerd. De eigen systemen van bol bleven buiten schot. De eerste mails aan klanten gingen op 5 augustus uit, de eerste berichtgeving volgde op 7 augustus: tussen de melding aan bol en het moment dat klanten het wisten, zaten dus vier dagen.

Herstel en opheldering lopen hier niet gelijk op

Twee weken lang was het patroon in dit dossier hetzelfde, en vandaag wordt het pijnlijk zichtbaar. De operationele schade is meetbaar, heeft een eigenaar en wordt gerepareerd: eerst de webshop van de Bijenkorf, nu het magazijn van bol. De gegevensvraag heeft geen van beide. Bijna vier weken na de inbraak staat er nog steeds “mogelijk ingezien of gekopieerd” en is er geen aantal, geen veldenlijst en geen einddatum van het onderzoek.

Dat verschil is geen toeval en het is ook niet per se onwil. Een magazijn dat stilligt kost per dag geld en dwingt zichzelf af; een openstaande vraag over persoonsgegevens kost pas iets als een toezichthouder of een rechter hem stelt. Precies daarom hoort de teller die je als klant bijhoudt niet op de winkel te staan maar op de mededeling.

Wat een draaiend magazijn voor jouw mailbox betekent

Er gaat de komende dagen een golf verwerkte bestellingen en bezorgberichten uit over dezelfde adressen die in het lek zaten, en dat is voor een oplichter het beste moment van het hele dossier. De regel blijft ongewijzigd: klik niet op knoppen in bezorgmails, maar open je bestelling in de app of typ het adres van de winkel zelf in. Een bericht dat jouw ordernummer en de status van je zending correct noemt, bewijst niets meer.

Update 24 augustus 2026: de winkel is terug, het antwoord nog niet

Er is voor het eerst in dit dossier goed nieuws, en het is kleiner dan het lijkt. De webshop van de Bijenkorf is weer volledig in gebruik: klanten kunnen het hele assortiment weer bestellen en laten bezorgen, meldt RetailDetail op basis van een persbericht van de keten. Sinds begin augustus konden alleen producten worden besteld die in de winkels op voorraad lagen. Eerder geplaatste bestellingen worden nu stapsgewijs verwerkt, te beginnen bij de klanten die het langst wachten. Daarmee vervalt de regel uit de tijdlijn van 13 augustus hierboven: de webshop draait weer normaal.

De Bijenkorf schrijft dat de logistieke partner “de afgelopen weken uitgebreid onderzoek uitgevoerd” heeft en aanvullend onderzoek liet doen door een onafhankelijke partij, en dat er naar aanleiding daarvan maatregelen zijn genomen om de veiligheid en betrouwbaarheid van de systemen te waarborgen.

Waarom dit voor jou nog niets afsluit

Let op de zin die er meteen achteraan komt. Het onderzoek naar de gegevens die bij het incident betrokken waren, loopt nog. “Wij kunnen dus nog niet met zekerheid zeggen of er persoonsgegevens van onze klanten waren betrokken”, aldus de Bijenkorf. Zodra daar meer over bekend is, worden klanten geïnformeerd.

Dat is dus een herstelde winkel, niet een afgerond datalek. Drie weken na de eerste mails weet de keten nog altijd niet welke gegevens van welke klanten in het bestand stonden. Dat is precies de situatie waar dit dossier steeds op uitkwam: de operationele schade is zichtbaar en wordt snel gerepareerd, de gegevensvraag is onzichtbaar en blijft open. Wie hier een streep onder zet omdat hij weer kan bestellen, zet die streep onder het verkeerde deel.

Voor de praktijk verandert er daarom niets aan de waarschuwing. Een werkende webshop is voor een oplichter juist een handig moment: er gaat nu een golf verwerkte bestellingen en bezorgberichten uit over precies dezelfde adressen die in het lek zaten. Klik ook deze week niet op knoppen in bezorgmails, maar open je bestelling in de app of typ het adres van de winkel zelf in.

Update 21 augustus 2026: “geen mail gehad” is geen vrijbrief

Er circuleert sinds gisteren een geruststelling die het onderzoek niet aankan. In een uitlegstuk over dit lek schrijft iPhoned: “Heb jij geen mail ontvangen? Dan zijn je gegevens voor nu veilig.” Dat is precies de zin waar wij deze week voor waarschuwden, en hij klopt niet.

Kijk naar de update van 19 augustus hieronder. Bol kwam woensdagavond zelf terug op de omvang: er blijken meer klanten en meer bestellingen betrokken dan eerder bekend. Klanten die op 5 augustus buiten schot leken, kregen alsnog bericht. Dat is dus letterlijk een groep die twee weken lang “geen mail” had en toch in het bestand stond. Het onderzoek loopt nog en bol noemt nog steeds geen aantal, dus die groep kan opnieuw groeien.

De juiste lezing is een andere. Een mail is een bevestiging dat je erin staat. Het uitblijven van een mail is een momentopname van wat de partij die het overkwam op dit moment weet. Dat is niet hetzelfde, en het verschil valt precies in jouw nadeel uit.

De onderwerpregel om te onthouden, en waarom juist die riskant is

Uit hetzelfde stuk komt wel een bruikbaar detail. De mail van bol aan getroffen klanten heeft als onderwerp: “Belangrijke informatie over een beveiligingsincident bij een logistieke partner van bol”. Zoek daarop in je mailbox, ook in de spammap.

En dan meteen de andere kant ervan, want een bekende onderwerpregel is een geschenk voor een oplichter. Vanaf nu weet iedereen hoe de echte mail heet, inclusief de mensen die er nepversies van maken. Verwacht dus berichten met exact deze onderwerpregel die wél een knop bevatten. De echte mail vraagt je nergens om in te loggen, om gegevens te bevestigen of om een terugbetaling aan te vragen. Twijfel je: open je bestellingen in de app of typ het adres van de winkel zelf in.

Nieuw in de opsomming van gelekte velden is verder dat het naast naam, adres, e-mailadres en telefoonnummer ook om het ordernummer en de track-en-trace-informatie gaat. Dat is geen detail. Een bericht dat jouw ordernummer en de status van je zending correct noemt, is niet meer te onderscheiden van een echte bezorgmail op basis van de inhoud alleen. De enige controle die dan nog werkt, is de route: niet klikken, maar zelf naar de winkel gaan.

Update 20 augustus 2026: ook personeelsdossiers, en dat is een ander soort lek

Twee weken lang ging dit dossier over klantgegevens. Daar komt nu een tweede spoor bij. Bij de aanval op CEVA zijn mogelijk ook gegevens van ex-medewerkers buitgemaakt, meldt Security.NL op basis van berichtgeving van BNR. Die baseert zich op een mail die een oud-werknemer ontving.

De opsomming in die mail is van een andere orde dan wat klanten kregen: burgerservicenummer, kopieën van het identiteitsbewijs, salarisgegevens, gegevens van partner en kinderen, naam, geboortedatum, adresgegevens, e-mailadres, prestatiebeoordelingen en schoenmaat. CEVA heeft dit datalek niet bevestigd. Hoeveel mensen het betreft en hoe de toegang kon ontstaan, is onbekend. De Autoriteit Persoonsgegevens laat aan BNR weten dat er een melding van een datalek bij CEVA ligt, maar niet om welk lek het gaat.

Dat laatste woord in de opsomming is trouwens het meest onthullende. Schoenmaat staat in een personeelsdossier vanwege werkkleding en veiligheidsschoenen. Zulke velden zitten niet in een los exportbestand, die staan in het HR-systeem zelf. Samen met beoordelingen en gegevens van partner en kinderen wijst dat op een compleet dossier, niet op een lijstje dat toevallig ergens rondslingerde.

Waarom dit erger is dan het klantlek

Bij klantgegevens is het risico phishing: iemand weet je naam, adres en wat je besteld hebt, en stuurt daar een kloppend bericht overheen. Vervelend, maar je kunt leren die berichten te herkennen.

Een bsn met een kopie van je identiteitsbewijs erbij is andere koek. Dat is de grondstof voor identiteitsfraude: een lening, een abonnement of een bedrijfsinschrijving op jouw naam. En je kunt er niets aan veranderen. Een wachtwoord vervang je in dertig seconden, een e-mailadres desnoods ook. Je bsn en je geboortedatum houd je je leven lang, en de kopie van je paspoort blijft geldig tot je document verloopt.

Wat je doet als je zo’n mail kreeg

Bewaar de mail, met datum en afzender. Dat is later je bewijs dat je op de hoogte bent gesteld en wanneer.
Vraag schriftelijk om inzage: welke velden van jou zijn precies geraakt? Daar heb je onder de AVG recht op, en het antwoord bepaalt wat je verder moet doen.
Let de komende maanden op post over zaken die je niet hebt aangevraagd: een lening, een telefoonabonnement, een aanmaning van een webshop waar je nooit besteld hebt.
Gaat het mis, doe dan aangifte en meld het bij het Centraal Meldpunt Identiteitsfraude en -fouten van RvIG. Dat meldpunt helpt met het herstellen van gegevens in registraties, en dat is het deel waar je zelf niet bij kunt.

Kijk ook naar de timing: klanten van bol, de Bijenkorf en Ajax kregen begin augustus bericht. De mail naar oud-medewerkers duikt pas halverwege de derde week op, en het bedrijf zelf bevestigt niets. Dat is dezelfde volgorde als bij het klantlek — eerst hoor je het van iemand anders, dan pas van de partij die het overkwam.

Update 19 augustus 2026 (avond): bol komt terug op de omvang, en dat was te voorspellen

Twee weken lang was de lijn van bol dat het om “recente bestellingen” ging die in het getroffen systeem van CEVA stonden. Woensdagavond blijkt dat te krap. Uit aanvullend onderzoek volgt dat er meer klanten én meer bestellingen bij het incident betrokken zijn dan eerder bekend was, meldt Tweakers. Klanten die op 5 augustus buiten schot leken te blijven, kregen woensdag alsnog een mail. Wie eerder al bericht kreeg, kan een tweede mail krijgen omdat er meer van zijn bestellingen in het bestand zitten.

Hoeveel klanten het zijn, zegt bol niet. Het onderzoek loopt nog, dus het kunnen er later opnieuw meer worden. De gegevenssoorten veranderen niet: naam, adresgegevens, e-mailadres, telefoonnummer en bestelinformatie, en welke velden precies per klant verschilt. Hoe de aanvallers binnenkwamen en wie het zijn, is nog altijd onbekend.

Wat ons betreft is dit geen verrassing maar een bevestiging. In de update van eerder vandaag rekenden we de bewaartermijn van CEVA door: bezorggegevens blijven tot 90 dagen na een bestelling staan. Een systeem dat drie maanden aan bezorgingen vasthoudt, bevat per definitie meer dan “recente bestellingen”. De correctie die bol nu maakt, zat al in dat getal. Voor de lezer betekent het maar één ding: de vraag is niet meer óf je erin staat, maar of je het al gehoord hebt.

En let op de timing. Dit is de tweede mailronde over hetzelfde lek, verstuurd naar een groep die dacht dat het aan hem voorbij was gegaan. Precies dat is het moment waarop een nepmail het minst opvalt: hij komt in dezelfde week, met dezelfde afzendernaam, over hetzelfde onderwerp. Klik daarom ook nu niet op de knop in de mail. Zoek de melding op de site van bol zelf op, of open je bestellingen in de app. Zie ook onze uitleg over waarom phishing na een datalek zoveel persoonlijker wordt.

Update 19 augustus 2026: Pokémon Center is het negende merk, en 90 dagen is het getal om te onthouden

Er komt een merk bij, en het staat verder van de Nederlandse keten af dan de vorige acht. Pokémon Center, de eigen webwinkel van Pokémon, licht klanten in het Verenigd Koninkrijk en Duitsland in over hetzelfde lek bij CEVA. Polygon citeert de meldingsmails die BleepingComputer ontving: naast de melding over het incident worden bestellingen geannuleerd, met als reden “an unforeseen fulfillment issue”.

De gegevens zijn dezelfde set als bij Bol, de Bijenkorf, ING, Ajax, Valve, Ace & Tate, About You en Zalando: naam, adres, telefoonnummer, mailadres en wat je besteld hebt. Betaalgegevens heeft CEVA niet. De aanval liep tussen 29 juli en 1 augustus, precies het venster dat Valve eerder al noemde.

Nieuw en belangrijker dan het negende logo is dit detail uit de melding van Valve: CEVA bewaart bezorggegevens tot 90 dagen na een bestelling. Of dat ook voor de Pokémon Center-gegevens geldt, is niet bevestigd.

Reken die 90 dagen even door. Het gaat dus niet alleen om mensen die eind juli iets bestelden. Het gaat om iedereen die in de drie maanden dáárvoor via CEVA een pakket liet bezorgen, ongeveer van begin mei tot 1 augustus. Als je in juni iets kocht en het pakket allang binnen is, zit je waarschijnlijk nog steeds in dat bestand. Dat is de reden dat “ik heb daar al maanden niets besteld” geen geruststelling is.

En let op wat het annuleren van bestellingen oplevert voor een oplichter. Vanaf vandaag zijn er klanten die een echte annuleringsmail hebben gekregen en die op een terugbetaling wachten. Een nepmail met “uw bestelling is geannuleerd, vul hier uw gegevens in voor de terugbetaling” is dan geen vreemd bericht meer, maar precies het bericht dat ze verwachten. Krijg je zo’n mail: ga naar de winkel waar je besteld hebt en kijk in je eigen bestelling. Een webshop regelt een terugbetaling nooit via een formulier in een mail.

Ter grootte-orde, uit de reconstructie van TechCrunch: CEVA is onderdeel van CMA CGM, heeft duizend magazijnen en verwerkte vorig jaar 15 miljoen zendingen. Acht Europese magazijnen lagen eruit. Negen merken die zich melden is dus geen eindstand, het is wat er tot nu toe boven water komt.

Update 18 augustus 2026: dit was niet de eerste keer bij CEVA

Vandaag komt het detail waarmee dit dossier van incident naar patroon schuift. Computable meldt dat CEVA begin november 2025 ook al een aanval te verwerken kreeg waarbij gegevens in verkeerde handen belandden. Hackers beweerden toen over de complete database van CEVA te beschikken. Dat is negen maanden voor de inbraak van eind juli, bij dezelfde partij, met dezelfde soort buit.

Verder blijkt uit hetzelfde bericht dat het onderzoek naar de oorzaak opvallend lang duurt, en dat daarbij ook wordt gekeken of CEVA zijn beveiliging op orde had. Dat is een andere vraag dan “wat is er weg”. Ruim twee weken na de inbraak heeft CEVA nog steeds niets publiek gezegd over omvang of oorzaak.

Bol nam op 1 augustus de stap die je van een verwerkersrelatie mag verwachten: de gegevensuitwisseling met CEVA is direct stopgezet en wordt pas hervat als vaststaat dat dat veilig kan. Er is ook melding gedaan bij de Autoriteit Persoonsgegevens. Bij About You is inmiddels werk uit het getroffen distributiecentrum verplaatst naar andere locaties.

Voor jou verandert de praktische kant niet, maar de inschatting wel. Een eenmalig incident bij een leverancier is pech. Twee keer in negen maanden bij dezelfde leverancier betekent dat je gegevens daar mogelijk in meerdere datasets zitten, uit verschillende inbraken, bij verschillende kopers. Dat maakt de kans groter dat een bericht over “uw bestelling” over een half jaar nog steeds klopt met wat de afzender van je weet.

Update 16 augustus 2026: About You bevestigt zelf dat er ook bij gegevens is gekomen

De melding van gisteren ging over hinder in een magazijn. Vandaag is het een stap erger. About You bevestigt tegenover vakmedium Warehouse Totaal niet alleen dat een door CEVA beheerd distributiecentrum is geraakt, maar ook dat er mogelijk onbevoegde toegang is geweest tot systemen en gegevens binnen de omgeving van CEVA. Het onderzoek loopt nog; welke gegevens het zijn en om hoeveel mensen het gaat, zegt het bedrijf niet.

Wat About You wel meldt: de autoriteiten zijn ingelicht, mogelijk getroffen klanten zijn per bericht geïnformeerd en de logistiek is verplaatst naar andere locaties in het eigen netwerk. Uit dezelfde berichtgeving komt ook het cijfer dat de omvang van deze aanval het beste laat zien: acht Europese CEVA-magazijnen zijn operationeel geraakt.

Voor jou verandert er één ding, en dat is niet niks. Tot gisteren kon je bij About You denken: vertraagde bestelling, vervelend, maar mijn gegevens zitten er niet in. Die aanname is nu weg. Kreeg je een mail van About You over dit incident, ga er dan van uit dat je naam, adres, telefoonnummer en bestelgegevens erin kunnen zitten — dezelfde set als bij Bol, de Bijenkorf en Valve. Dat is precies genoeg voor een bericht over “uw bestelling” dat klopt.

En CEVA zelf? Ruim twee weken na de inbraak nog steeds geen publieke verklaring. Elk merk in de keten legt het aan zijn eigen klanten uit; de partij die weet wat er weg is, zwijgt.

Update 15 augustus 2026: twaalf meldingen bij de toezichthouder

Het lek dijt verder uit. Op 14 augustus bevestigde de Duitse webshop About You, sinds vorig jaar in handen van Zalando, dat ook zij is geraakt. Een distributiecentrum dat door CEVA wordt beheerd, werd gehinderd; de werkzaamheden gaan tijdelijk naar andere locaties. Mogelijk gedupeerde klanten zijn geïnformeerd en de autoriteiten zijn op de hoogte, aldus een ANP-bericht na berichtgeving van vakmedium Logistiek.nl.

Daarmee klopt het aantal van zes bedrijven hieronder niet meer. Op 12 augustus meldde Accountant.nl op basis van ANP en het AD dat inmiddels twaalf bedrijven bij de Autoriteit Persoonsgegevens melding hebben gedaan van mogelijk gelekte klantgegevens. De AP bevestigt dat aantal, maar wil niet zeggen om welke bedrijven het gaat. Of alle getroffen partijen zich al hebben gemeld, is onbekend.

Dat is het cijfer om vast te houden: niet het aantal namen dat de pers weet te achterhalen, maar het aantal meldingen bij de toezichthouder. Twaalf verwerkers die allemaal dezelfde logistieke partner deelden, en één incident dat ze allemaal tegelijk raakt.

Ondertussen zwijgt CEVA zelf nog steeds. Ruim twee weken na de eerste waarschuwingen van Bol en de Bijenkorf is er geen verklaring en communiceert geen van de partners een aantal gedupeerde klanten. Voor jou als klant verandert het advies daardoor niet: ga ervan uit dat je naam, mailadres en telefoonnummer in verkeerde handen kunnen zijn, en behandel elk bericht over een bestelling of bezorging als mogelijk nep — ook als het klopt dat je iets besteld hebt.

Update 13 augustus: de Bijenkorf-webshop draait nog steeds niet normaal

Ruim een week na het datalek bij CEVA Logistics is de webwinkel van de Bijenkorf nog altijd niet hersteld. Sinds begin deze week kun je online vrijwel alleen nog artikelen bestellen die in de fysieke winkels op voorraad liggen; bij de rest verschijnt de melding dat het product uitverkocht is. Een woordvoerster laat aan het ANP weten dat het technische team “hard aan het werk” is en dat er alternatieve logistieke processen worden opgezet. Wanneer alles weer werkt, kan ze niet zeggen. Zie het bericht bij Welingelichte Kringen.

Dat is precies waarom dit lek voor klanten langer doorwerkt dan de meeste. Een datalek verdwijnt uit het nieuws zodra de gegevens weg zijn; hier hangt de hele bestel- en bezorgketen er nog aan. En zolang levertijden onduidelijk zijn en bestellingen blijven hangen, is elk bericht over “uw pakket” of “uw bestelling kon niet worden verwerkt” geloofwaardiger dan normaal. Verwacht dus meer nepmails over vertraagde leveringen, en controleer de status altijd in je eigen account op de site die je zelf intypt.

Update 12 augustus: het zijn er geen vier meer, en de tijdlijn is nu bekend

Twee dingen uit dit artikel zijn achterhaald. Onderaan schreven we “vier bedrijven”; dat klopt niet meer. Inmiddels hebben ook Valve (bekend van Steam) en brillenketen Ace & Tate hun klanten ingelicht, naast Bol, de Bijenkorf, ING en Ajax. Dat brengt de teller op zes bekende merken, en het is niet gezegd dat dat het eind is.

Bij Valve gaat het om mensen die hardware bestelden, zoals controllers, een Steam Deck of een Steam Link. Wat mogelijk is buitgemaakt: naam, adresgegevens, telefoonnummer, e-mailadres en bestelgegevens. Hetzelfde patroon als bij de andere merken.

Nieuw is dat er nu een tijdlijn ligt. Valve meldt dat de aanval op CEVA plaatsvond tussen 29 juli en 1 augustus, en dat het bedrijf pas op 7 augustus door zijn logistieke partner werd ingelicht. Dat is een week tussen inbraak en melding aan de opdrachtgever, en daarna nog eens drie dagen voordat de klanten het hoorden.

Reken dat even door vanuit de kant van de crimineel. Wie op 1 augustus een bestand met namen, adressen en bestelgegevens in handen heeft, kan tien dagen lang berichten sturen naar mensen die nog van niets weten en die daadwerkelijk een pakket verwachten. De waarschuwing komt dus niet vóór de eerste phishinggolf, maar erna. Dat is geen verwijt aan Valve, die zelf ook pas op 7 augustus iets wist. Het laat wel zien waarom “wij hebben onze klanten geïnformeerd” iets anders is dan “onze klanten zijn op tijd gewaarschuwd”.

Over de aanval zelf is nog altijd niets bekendgemaakt: niet om wat voor type aanval het ging, niet hoe die mogelijk was en niet hoeveel mensen zijn getroffen. Dat is elf dagen na de inbraak.

Wat er ondertussen wél zichtbaar is: bestellingen bij de Bijenkorf liepen als gevolg van de hack wekenlang vertraging op. Precies zoals we hieronder schreven, is dat de aanleiding die bezorgphishing nu zo geloofwaardig maakt. Verwacht je een pakket dat te laat is, kijk dan in je bestelling in de app of op de site van de winkel. Niet via een link in een bericht.

Bron van deze update: Security.NL.

Update 8 augustus: de bron zwijgt, en dat is het probleem niet

Een dag na publicatie is het beeld op één punt scherper geworden. De getroffen merken communiceren allemaal — Bol, de Bijenkorf, ING en Ajax stuurden klantmails — maar CEVA zelf zegt naar buiten toe niets over de omvang. Transport Online beschrijft hoe dat werkt: de partij die weet wat er precies weg is, laat de partijen die dat niet weten het uitleggen.

Belangrijker is wat experts deze week benadrukken, onder meer bij Accountant.nl: de schade van dit lek zit niet in dit lek. Ze zit in de optelsom. Criminelen koppelen datasets uit verschillende inbraken aan elkaar, en elk nieuw bestand maakt de vorige bestanden waardevoller.

Een voorbeeld van hoe dat concreet uitpakt. Uit dit lek komt: je naam, adres, telefoonnummer en het feit dat je bij een bepaalde winkel besteld hebt. Uit een ouder lek elders komt: je geboortedatum en je e-mailadres. Uit een derde: bij welke bank je zit. Los is elk van die drie onschuldig. Samen levert het een beller op die je naam, je laatste bestelling, je geboortedatum én je bank correct noemt — en dat is precies het gesprek waarin mensen hun verzet opgeven.

Daar komt bij dat zo’n gesprek niet meer per se door een mens gevoerd hoeft te worden. Met de huidige stemsoftware kan een script honderden mensen tegelijk bellen, met een natuurlijk klinkende stem en de juiste gegevens in het script. Het schaalvoordeel dat vroeger alleen bij mailphishing zat, geldt nu ook aan de telefoon.

De praktische conclusie verandert daardoor niet, maar de reden wordt sterker: kloppende gegevens zeggen niets over wie er belt. Hang op, bel zelf terug via een nummer dat je zelf opzoekt. Hoe die route werkt, staat in de terugbelroute bij bankhelpdeskfraude.

Hieronder staat het oorspronkelijke bericht van 7 augustus. De aantallen daarin zijn achterhaald: waar toen vier merken bekend waren, staan er inmiddels negen met naam en toenaam (Bol, de Bijenkorf, ING, Ajax, Valve, Ace & Tate, About You, Zalando zelf en Pokémon Center) en telt de Autoriteit Persoonsgegevens twaalf meldingen. Ook is inmiddels bekend dat CEVA in november 2025 al eens werd bestolen. De actuele stand staat in de updates hierboven.

Op 1 augustus meldde logistiek dienstverlener CEVA Logistics aan zijn klanten dat er was ingebroken op zijn systemen. Een week later groeide de lijst van bedrijven die daardoor gegevens kwijt zijn nog steeds: Bol, de Bijenkorf, ING en Ajax stonden er op dat moment op. Volgens berichtgeving raakt het incident minstens acht Europese vestigingen van CEVA.

Als je deze week een mail kreeg van een webshop waar je maanden geleden iets bestelde, komt dat hiervandaan. Hieronder wat er precies gelekt is, wat de tegenstrijdige berichten over het darkweb betekenen, en welke phishing je nu kunt verwachten.

Adres en telefoonnummer wel, betaalgegevens niet

Dit gaat over de klantgegevens; voor de personeelsdossiers uit de update van 20 augustus geldt een andere opsomming en een ander risico. De getroffen bedrijven melden allemaal ongeveer hetzelfde. Het gaat om naam, adres, postcode, telefoonnummer en andere gegevens die bij een bestelling horen. Betaalgegevens, bankrekeningnummers, creditcardnummers, gebruikersnamen en wachtwoorden zitten er volgens hen niet bij. Bol benadrukt dat de eigen systemen niet geraakt zijn en dat het om de orderafhandeling vanuit één distributiecentrum gaat. Bijgewerkt 19 augustus: dat “één distributiecentrum” klopt nog, maar de eerdere afbakening tot recente bestellingen niet meer — bol meldt inmiddels dat er meer klanten en meer bestellingen bij betrokken zijn dan gedacht. Waar hieronder “recente bestellingen” staat, lees: alles wat in dat systeem stond. Ajax heeft melding gedaan bij de Autoriteit Persoonsgegevens en waarschuwt supporters expliciet voor phishing; wie in de fanshop bestelde kan bovendien vertraging krijgen, omdat CEVA daar de bezorging en retouren doet.

“Geen betaalgegevens” klinkt geruststellender dan het is. Voor phishing zijn juist de andere velden waardevol. Naam, adres, telefoonnummer en het feit dát je iets besteld hebt bij een specifieke winkel — dat is precies genoeg om een bericht te sturen dat klopt. Een oplichter heeft je bankrekeningnummer niet nodig als hij je zover krijgt dat je het zelf intikt.

Het darkweb-verhaal, en waarom het zo verwarrend is

Vrijdagochtend meldden meerdere media, onder wie Omroep Brabant, dat de buitgemaakte database te koop wordt aangeboden op het darkweb, onder verwijzing naar RTL Nieuws. Vrijdagmiddag klonk het weer anders: “op dit moment geen klantgegevens op het dark web.”

Die twee uitspraken spreken elkaar minder tegen dan het lijkt, en dat is precies het probleem. “Wij zien op dit moment geen klantgegevens” is een waarneming, geen conclusie. Wie zoekt, zoekt in wat hij kan vinden — een gesloten forum, een privéveiling of een dataset die pas over een maand wordt gedumpt valt daarbuiten. De NOS meldde bovendien dat CEVA zelf niet kan bevestigen dat er géén persoonsgegevens zijn buitgemaakt.

De les hier is simpel: behandel “geen aanwijzingen dat” nooit als “het is niet gebeurd”. Bij een datalek van deze omvang is dat het verschil tussen een geruststelling en een tijdstempel.

De vertraging is echt, het bezorgbericht niet

Bij een lek met adres- en bestelgegevens loopt de vervolgfraude bijna altijd langs dezelfde drie routes:

Bezorgberichten. Een sms of WhatsApp over een pakket dat niet bezorgd kon worden, met een link en een klein bedrag voor “extra verzendkosten”. Dat werkt nu extra goed, want er ís vertraging bij bestellingen die via CEVA lopen. De aanleiding is echt, alleen het bericht niet.
Terugbetaalmails. “Vanwege het datalek storten wij uw laatste bestelling terug” — met een formulier waarin je je rekeningnummer en een verificatiecode invult. Geen enkel bedrijf regelt een terugbetaling zo.
Telefoontjes. Iemand die belt namens de bank of de winkel, je naam en adres correct opnoemt en daarmee vertrouwen koopt. Kloppende gegevens aan de telefoon zijn geen bewijs van wie er belt — dat is nu juist het punt van dit lek.

Open je bestelling in de app, nooit via de link

Verwacht je een pakket? Kijk in je bestelling in de app of op de site van de winkel zelf. Nooit via een link uit een bericht.
Krijg je een mail over het datalek: open die niet via de link, maar zoek de melding op de site van het bedrijf op. De echte meldingen staan er gewoon.
Belt er iemand? Hang op en bel zelf terug via het nummer op je pas of op de officiële site. Zie onze uitleg over de terugbelroute bij bankhelpdeskfraude.
Zie je een phishingbericht dat op dit lek inhaakt: meld het. In waar phishing melden staat welke route bij welk type bericht hoort.

Als klant hoef je je wachtwoord niet te veranderen — die zijn volgens de betrokken bedrijven niet gelekt. Ben je (ex-)medewerker van CEVA, dan gelden andere maatregelen: die staan in de update van 20 augustus hierboven. Wat wel helpt: weten dat je gegevens rondgaan, zodat een kloppend bericht je niet meteen overtuigt. We schreven eerder waarom phishing na een datalek persoonlijker wordt; dit is daar een tekstboekvoorbeeld van.

Negen merken, twaalf meldingen, nul gehackte bedrijven

Negen merken met naam en toenaam — Bol, de Bijenkorf, ING, Ajax, Valve, Ace & Tate, About You, Zalando zelf en Pokémon Center — tegenover twaalf meldingen bij de Nederlandse toezichthouder: evenzoveel losse mails, evenzoveel keer dezelfde boodschap in andere woorden. Geen van die bedrijven is gehackt. De inbraak zat bij een partij waar de meeste klanten nog nooit van gehoord hadden en waar ze zelf niets mee hebben afgesproken.

Dat is het patroon dat je steeds vaker ziet: de zwakste schakel zit niet bij het merk op de doos, maar bij de logistieke, betaal- of mailpartij erachter. Voor klanten is dat lastig, want je kunt niet kiezen wie de webshop inhuurt. Voor de bedrijven zelf is het minder ingewikkeld dan ze het laten klinken: een leverancier die je persoonsgegevens verwerkt, is onderdeel van je eigen beveiliging. Niet van die van iemand anders.

Bronnen: NOS, RTL Nieuws en de klantmeldingen van Bol, de Bijenkorf, ING en Ajax.