Filtración de datos de clientes en Bol y De Bijenkorf

La filtración de Bol y De Bijenkorf ha expuesto datos personales de clientes en los Países Bajos, después de que una brecha en un proveedor externo permitiera que la información llegara a la Dark Web. Según informó RTL, información obtenida durante el ataque habría aparecido a la venta en la dark web.

La incidencia afecta a las dos empresas, pero no se originó directamente en sus sistemas internos. El fallo se produjo en un socio externo (CEVA) que les presta servicios relacionados con el software de marketing y logística.

Qué datos han quedado expuestos

La información filtrada incluye, según los datos confirmados hasta ahora:

• Nombres completos
• Direcciones postales
• Direcciones de correo electrónico
• Números de teléfono

Bol y De Bijenkorf aseguran que las contraseñas y los datos de pago no forman parte de la filtración. Los números de tarjeta y las cuentas bancarias se gestionan en entornos separados y cifrados, según la información facilitada por las empresas.

Todavía no existe una cifra oficial cerrada sobre el número de personas afectadas. La investigación apunta a cientos de miles de registros, pero las compañías siguen auditando el volumen exacto de datos comprometidos.

Advertencia por posibles estafas

Un portavoz de Bol explicó a RTL Nieuws que el principal riesgo en este momento es el phishing dirigido. Con nombres, direcciones y números de teléfono, los delincuentes pueden intentar enviar mensajes muy creíbles por WhatsApp o SMS para hacerse pasar por una empresa o una persona conocida.

Por eso, los clientes deben prestar especial atención a los mensajes inesperados que soliciten datos, pagos o que les pidan abrir un enlace. La presencia de información personal en la filtración no significa que se hayan obtenido las contraseñas o los datos bancarios, que no están afectados según las empresas.

Notificación a la autoridad de protección de datos

Tanto Bol como De Bijenkorf comunicaron que han informado del incidente a la Autoridad de Datos Personales (Autoriteit Persoonsgegevens, AP). Esta notificación forma parte de las obligaciones previstas por el Reglamento General de Protección de Datos (RGPD) cuando una empresa descubre una brecha de seguridad.

En los Países Bajos, las compañías deben comunicar una filtración a la AP en un plazo de 72 horas desde que tienen conocimiento de ella, siempre que el incidente pueda suponer un riesgo para los derechos y libertades de las personas.