Kennisbank · 10 augustus 2026

CEVA-lek: phishers kennen nu je ordernummer en trackingcode

Door Sander Vermeer

Update 2 september 2026: de bezorging draait weer, het lek is er nog

Een maand na de cyberaanval bij CEVA Logistics worden bestellingen van Bol, de Bijenkorf en brillenmerk Ace & Tate weer normaal afgehandeld en bezorgd. Dat blijkt uit een rondgang van de NOS langs klanten van het logistieke bedrijf. Niet bij iedereen: in de webwinkel ING Punten kunnen geen producten meer worden besteld die bezorgd moeten worden, en Ajax meldt op zijn site dat bestellingen en retourzendingen meer tijd kosten dan normaal.

Voor het scenario hieronder verandert dat weinig, en dat is precies het punt. Omdat CEVA de bestellingen afhandelt, zijn de gegevens die daarvoor nodig zijn mogelijk in handen gekomen van de aanvallers: namen, adressen, e-mailadressen en telefoonnummers. Een aantal bedrijven onderzoekt nog of dat werkelijk is gebeurd. CEVA zelf wil geen vragen over de aanval beantwoorden.

Voor je oefenprogramma is dit het lastigste moment, niet het makkelijkste. Zolang de bezorging vastliep, was vertraging het gespreksonderwerp en waren mensen alert. Nu alles weer draait, verdwijnt de aanleiding uit het zicht terwijl de gelekte velden gewoon bruikbaar blijven. Plan je volgende simulatie dus niet tijdens de storing maar erna, als niemand er meer aan denkt.

Bij het datalek via logistiek dienstverlener CEVA zijn niet alleen namen en adressen weggelekt. Bol somt in zijn eigen melding ook e-mailadressen, telefoonnummers, ordernummers, EAN-codes en track-and-tracegegevens op. Dat laatste rijtje is het punt waarop je awarenessprogramma deze maand vastloopt.

Want de meeste trainingen leren mensen nog steeds vooral hérkennen. En de kenmerken waarop ze leren herkennen, verdwijnen precies bij dit soort lekken.

Wat een aanvaller met deze velden kan bouwen

Zet de gelekte velden naast de standaard-tells uit een gemiddelde phishingtraining en je ziet ze een voor een sneuvelen.

• “Let op een algemene aanhef.” Naam en e-mailadres zitten in het lek. De aanhef klopt gewoon.
• “Een echte melding noemt je bestelling.” Ordernummer én EAN-code zitten in het lek. Het bericht kan benoemen wát je hebt gekocht.
• “Controleer het bij de vervoerder.” De track-and-tracegegevens zitten in het lek. Een nepbericht kan een geldig ogend nummer meesturen dat bij jouw zending hoort.
• “Je verwacht geen pakket.” Je verwacht er wél een. Bij de Bijenkorf liepen de levertijden op tot begin september; inmiddels is dat hersteld (zie het update-blok bovenaan), maar bij andere klanten van CEVA duurt bestellen en retourneren nog steeds langer. Wie wacht, vindt een statusupdate niet raar.

Wat overblijft is de link en het betaalverzoek. Dat is een smalle basis om een medewerker op te laten oordelen, zeker op een telefoon in de rij bij de koffieautomaat.

Herkennen is niet het doel — melden is het doel

Hier zit onze duidelijke mening, en dit is precies zo’n incident dat ‘m bewijst. Een training die scoort op “hoeveel mensen prikten er doorheen” meet het verkeerde. Bij een goed gemaakt bericht met je échte ordernummer prikt bijna niemand er doorheen, en dat is geen falen van je mensen. Het enige dat dan nog werkt is dat iemand het bericht binnen een paar minuten dóórstuurt naar de securitydesk, zodat de rest van de organisatie gewaarschuwd is voordat de tweede golf binnenkomt.

Dat is meetbaar. Niet met een klikpercentage maar met een meldratio: hoeveel procent van de ontvangers meldt, en hoe snel de eerste melding binnenkomt. Bij een echte campagne is die tweede waarde belangrijker dan de eerste.

Het scenario dat je nu in je simulatie zet

Een bruikbare simulatie leunt op wat er echt speelt. Bouw deze drie varianten, in deze volgorde van oplopende moeilijkheid.

• Variant 1 — de klassieke. Een sms over een niet-bezorgd pakket met kleine bijbetaling. Dit is de oude bekende; wie hier nog in trapt, heeft basisuitleg nodig. Zie sms phishing herkennen en melden.
• Variant 2 — met context. Zelfde bericht, maar met een bestaand ordernummer erin en een verwijzing naar de vertraging bij de webshop. Hier daalt de herkenning hard, en dat is de bedoeling.
• Variant 3 — de omgekeerde. Een mail die zegt dat er een datalek was en vraagt of je “je gegevens wilt controleren”. Dit is de variant die na echte incidenten het beste werkt, omdat mensen dan zelf al ongerust zijn.

Draai variant 3 niet in dezelfde week als variant 1. Mensen die net gewaarschuwd zijn, scoren tijdelijk beter en dan meet je niets. Twee tot drie weken ertussen geeft een eerlijker beeld. Losse voorbeeldteksten per functie haal je uit de phishing voorbeeldgenerator.

Eén ding dat je vandaag al kunt doen

Stuur je collega’s geen waarschuwing die alleen zegt “let op phishing”. Stuur ze één handeling: open nooit de link uit een bezorgbericht, maar zoek de bestelling op in je eigen account bij de webshop. Dat is de enige regel die overeind blijft, ook als het bericht je ordernummer kent.

En kijk of de meldknop in je mailclient ook op mobiel zichtbaar is. Dat klinkt klein, maar de meeste bezorgberichten komen binnen op een telefoon, en op een telefoon is die knop vaak twee menu’s diep weggestopt. Dat is een van de vaste blinde vlekken die we ook bij geautomatiseerde securitytraining tegenkomen.

Bronnen

• Cyberaanval op Ceva raakt ook bol, database toch niet op darkweb — Warehouse Totaal, 7 augustus 2026
• Problemen bij webshops na datalek: klanten wachten weken langer op pakket — Hart van Nederland/ANP, 10 augustus 2026