Datalek Flink: inloggegevens van een oud-medewerker (05-10-2026)

Gepubliceerd op 12 oktober 2026 · 7 min lezen · CyberNovaLabs.io

Met de inloggegevens van een oud-medewerker kwamen aanvallers op 25 september 2026 binnen bij Flink. Eerst vroegen ze elke betrokkene ongeveer 10 euro, daarna 235.000 euro aan het bedrijf; niemand betaalde, dus ging het bestand op 5 oktober te koop. Drie lessen voor elk mkb-bedrijf in Nederland, België, Frankrijk en Luxemburg.

Kort

Op 25 september 2026 ontdekte boodschappenbezorger Flink indringers in zijn systemen: volgens het bedrijf zelf logden de aanvallers in met gecompromitteerde inloggegevens van een oud-medewerker^[1]. Daarna eisten de criminelen 0,005 ETH, ongeveer 10 euro, van elke betrokkene, en 100 ETH, ongeveer 235.000 euro, van Flink om de buit te wissen^[2]. Niemand betaalde: op 5 oktober 2026 werd de data te koop aangeboden aan de hoogste bieder^[3].

Leidt u een mkb-bedrijf in Nederland, België, Frankrijk of Luxemburg? Onthoud dan de opeenvolging, niet de bedrijfsnaam. Dit datalek begint bij een vergeten account en eindigt bij een klantenbestand dat te koop staat — met daartussen twee plichten die veel bedrijven nog op één hoop gooien.

Wat er gebeurde, in drie stappen

Stap één, de ingang. Flink wijst zelf naar gecompromitteerde inloggegevens van een oud-medewerker; het account is direct na de ontdekking geblokkeerd^[1][2]. Stap twee, de afpersing. In plaats van alleen het bedrijf te bedreigen, mailden de criminelen de betrokkenen rechtstreeks: ongeveer 10 euro in Ethereum om hun gegevens van het dark web te houden, en 235.000 euro van Flink om alles te verwijderen^[2]. Stap drie, de doorverkoop. Het ultimatum verliep zonder één betaling, waarna de aanvallers de buit te koop zetten^[3].

Wees voorzichtig met het aantal: de aanvallers claimen gegevens van een miljoen klanten en 13.000 medewerkers, een cijfer dat Flink niet heeft bevestigd^[2]. Over de soorten gegevens was het bedrijf wel precies: namen, e-mailadressen, postcodes en telefoonnummers, en bij een deel van de orders ook bezorggegevens — verdieping, ingang, naam op de bel, instructies voor de bezorger. Geen wachtwoorden en geen betaalgegevens^[2].

Bij dat laatste is het even stilstaan waard. "Geen bankgegevens" klinkt financieel geruststellend, maar een bestand dat vertelt waar u woont, op welke verdieping en welke naam op de bel staat, is geen onschuldig bestand.

De ingang: een account dat dicht had moeten zijn

Dit deel is zonder moeite over te zetten naar elk mkb-bedrijf. Iemand vertrekt, het contract loopt af, de pas komt terug — en de toegang tot het CRM, de gedeelde mailbox, de VPN of het logistieke pakket blijft actief, omdat niemand de volledige lijst heeft van wat eraf moet. Hetzelfde mechanisme, gestolen inloggegevens en geen tweede factor, beschreven we in onze analyse van het ANSSI-rapport over de aanval op de DGFiP: zo'n inbraak vraagt geen technische exploit, alleen een account dat nog leeft.

De oplossing is geen project, het is een lijst. Schrijf hem één keer en hij werkt bij elk vertrek.

Afsluiten op de dag van vertrek	Wie doet het
Hoofdaccount: directory, Microsoft 365 of Google Workspace, openstaande sessies	ICT
Toegang op afstand: VPN, extern bureaublad, beheertools	ICT
Vakapplicaties buiten de directory: CRM, facturatie, logistiek, tools van leveranciers	Eigenaar van de tool
Gedeelde accounts waarvan de persoon het wachtwoord kende	Eigenaar van de tool
API-sleutels, tokens en technische toegang die de persoon aanmaakte	ICT
Mailbox: doorsturen naar een collega, daarna sluiten	Directie

Twee extra waarborgen horen erbij. Ten eerste een tweede factor op alle toegang op afstand: dat beschermt niet tegen een vergeten account, maar het maakt een elders buitgemaakt wachtwoord waardeloos. Ten tweede een kwartaalcontrole van de actieve accounts tegen de lijst van mensen die daadwerkelijk in dienst zijn — dat is de enige controle die vergeten accounts alsnog vindt. Onze pagina cyberbeveiliging voor het mkb beschrijft de aanpak.

Datalek melden: twee verschillende plichten, de toezichthouder en de mensen

De AVG scheidt twee plichten strikt, en juist daar gaat het mis. Artikel 33 verplicht u het datalek binnen 72 uur na kennisname bij de toezichthouder te melden, tenzij het waarschijnlijk geen risico oplevert. Artikel 34 verplicht u daarnaast de betrokkenen zelf zonder onnodige vertraging te informeren wanneer het lek waarschijnlijk een hoog risico voor hun rechten en vrijheden meebrengt^[8]. De eerste plicht is administratief; de tweede is degene die uw klanten merken.

In de zaak Flink lieten verschillende mensen van wie de gegevens rondgingen aan de Nederlandse pers weten dat zij geen persoonlijk bericht van het bedrijf hadden gekregen^[3]. De Autoriteit Persoonsgegevens adviseerde mensen om ervan uit te gaan dat hun gegevens waren gelekt en daarnaar te handelen^[2] — een advies dat een toezichthouder alleen geeft als het bericht niet van het bedrijf kwam.

Waar u moet melden, per land:

Land	Toezichthouder
Nederland	Autoriteit Persoonsgegevens (AP)^[4]
België	Gegevensbeschermingsautoriteit (GBA / APD)^[6]
Frankrijk	CNIL^[5]
Luxemburg	Commission nationale pour la protection des données (CNPD)^[7]

Haal deze route niet door elkaar met die van NIS2, die eigen termijnen en een eigen toezichthouder kent zodra uw bedrijf eronder valt: in Nederland liggen die verplichtingen bij de Cyberbeveiligingswet en de bevoegde toezichthouder, niet bij de AP. Op onze pagina NIS2 in Nederland staat wie er precies onder valt. Eén incident kan dus twee aparte meldingen vragen.

Voor de praktijk van het melden — wat erin moet staan, en de valkuil van een termijn die begint te lopen zodra u "kennis" heeft — zie onze artikelen over het datalek bij Jims en de meldplicht en over de 72-uurstermijn als het lek bij een leverancier zit.

"Niemand heeft betaald" sluit het incident niet af

Dat niemand betaalde is goed nieuws, en Flink hield de lijn vast: geen contact, niet onderhandelen, aangifte doen^[2]. Maar wat daarna komt, moet onomwonden gezegd worden: die weigering heeft de gegevens niet vernietigd, alleen de koper veranderd. Een paar dagen later stond de buit te koop^[3].

Wat dat voor u betekent: na een lek neemt het risico niet af, het verplaatst zich. Doorverkochte bestanden voeden gerichte phishing — een valse mail die uw laatste order, het bedrag en uw adres noemt, overtuigt veel beter dan een algemene mail. Waarschuw uw klanten dus ook voor wat er nog komt, niet alleen voor wat er gebeurd is: niemand van uw bedrijf vraagt hun ooit om een betaling in cryptovaluta, en betalen aan een afperser is nooit een optie.

Waarschuw ook uw eigen mensen. De 13.000 medewerkers die in deze buit worden geclaimd, herinneren eraan dat een gelekt personeelsbestand uw eigen team raakt, dat dezelfde berichten zal krijgen.

Deze week te doen

Exporteer de lijst actieve accounts uit uw directory en leg die naast de lijst van mensen die nu in dienst zijn. Elk account zonder persoon erachter gaat vandaag dicht.
Doe dezelfde ronde bij tools buiten de directory: CRM, facturatie, logistiek, gedeelde mailboxen, toegang die voor een leverancier is opengezet.
Schrijf de vertreklijst uit, met per regel een verantwoordelijke, en bewaar hem bij uw uitdiensttredingsstukken.
Zet een tweede factor aan op alle toegang op afstand en op alle beheeraccounts.
Zorg dat u zonder opzoeken weet welke toezichthouder u moet melden en binnen welke termijn: AP, GBA, CNIL of CNPD, afhankelijk van uw land.
Schrijf het bericht aan betrokkenen nu al in concept, als er niets aan de hand is. Op de dag van het incident heeft u daar de tijd niet voor.

Chez CyberNovaLabs.io

CyberNovaLabs.io werkt met mkb-bedrijven in Nederland, België, Frankrijk en Luxemburg aan precies deze twee punten: toegang netjes afsluiten als iemand vertrekt, en weten wat u moet melden, bij wie en binnen welke termijn. We beginnen bij uw echte tools in plaats van bij een algemeen model, en u houdt de vertreklijst en het conceptbericht zelf in handen. Het is een inspanningsverplichting, geen garantie op resultaat. Laten we uw situatie in twintig minuten doornemen.

Bronnen

CyberNovaLabs.io

Gekwalificeerde afspraken, zonder looptijd.

Criteria vooraf op papier, betalen per afspraak of per maand, stoppen met een simpele e-mail.

→ Afspraken laten inplannen

Lees ook

22 oktober 2026 · 7 min lezen

Kritieke PHP-lekken: uw website is geraakt (21-10-2026)

Twee kritieke kwetsbaarheden in PHP, de motor onder de meeste mkb-websites, maken het uitvoeren van code op afstand zonder authenticatie mogelijk. De fixes kwamen op 21 oktober 2026 uit. Wat u deze week controleert, en wat nooit meer wordt gerepareerd.

Lees het artikel →22 oktober 2026 · 9 min lezen

NIS2 Nederland: valt uw softwarebedrijf onder de Cbw?

Software uitgeven staat niet in de Cyberbeveiligingswet. Het ICT-landschap van een klant beheren, hosten of monitoren wel. Zo beslist u in tien minuten over uw eigen situatie: de Nederlandse data, de juiste toezichthouder en de hoofdvestigingsregel die bepaalt wie u inspecteert.

Lees het artikel →13 oktober 2026 · 8 min lezen

B2B-afspraken laten maken: 10 clausules in het contract

Een contract voor afspraken maken beoordeelt u op tien clausules, niet op een tarief. Frankrijk verbiedt sinds 11 augustus 2026 koude telefonische acquisitie bij consumenten zonder voorafgaande toestemming en Bloctel bestaat niet meer; de transparantieplichten uit de Europese AI-verordening gelden sinds 2 augustus 2026. Hier staan de tien clausules, en het belregime van de vier landen.

Lees het artikel →13 oktober 2026 · 7 min lezen