Beveiligingsincident op de systemen van onze webshop

Op 4 september 2026 hebben onbevoegden toegang gekregen tot een database met klantgegevens van onze webshop op een externe server. Nadat wij dit hebben ontdekt, hebben we meteen maatregelen genomen en de toegang tot deze gegevens geblokkeerd.

Samen met een team van externe experts hebben wij forensisch onderzoek gedaan en aanvullende technische maatregelen doorgevoerd om onze systemen nog beter te beschermen. Het beveiligingsincident is door ons gemeld bij de Autoriteit Persoonsgegevens. Personen van wie gegevens op de getroffen database stonden, informeren wij rechtstreeks.

Wij begrijpen dat dit bericht vragen of zorgen kan oproepen. We vinden dit erg vervelend en nemen de situatie serieus.

Uit voorzorg hebben wij betrokkenen gewezen op de eventuele risico's van cyberincidenten. Criminelen kunnen persoonsgegevens gebruiken om gerichter te werk te gaan door middel van bijvoorbeeld nep e-mails (phishing). Wees extra alert op verdachte situaties. Ga nooit in op e-mails of telefoongesprekken waarin je wordt gevraagd gegevens (zoals wachtwoorden) in te voeren of te benoemen. Een officiële instantie of bedrijf zal dit nooit vragen.

Meer informatie over frauderisico en het beperken hiervan is ook beschikbaar via de door de overheid gefaciliteerde website fraudehelpdesk.nl en op de website van de Autoriteit Persoonsgegevens.

Vragen en antwoorden

Wat is er gebeurd? 

Op 4 september 2026 hebben onbevoegden via een zero-day kwetsbaarheid toegang gekregen tot een database met klantgegevens van onze webshop. Na deze ontdekking hebben we meteen maatregelen genomen en de toegang tot deze gegevens geblokkeerd. Samen met een team van externe experts hebben wij forensisch onderzoek gedaan en aanvullende technische maatregelen doorgevoerd om onze systemen nog beter te beschermen. Het beveiligingsincident is door ons gemeld bij de Autoriteit Persoonsgegevens.

Welke gegevens zijn mogelijk ingezien?

Het gaat om persoonsgegevens die gedeeld zijn bij het plaatsen van een bestelling.

• E-mailadres
• Voor- en achternaam
• Adres
• Telefoonnummer
• Geboortedatum
• IP-adres

Naast persoonsgegevens staat in de database ook informatie over eerdere bestellingen. Bijvoorbeeld informatie over producten en de door jou gekozen betaalmethode. De betaalgegevens of rekeningnummers zelf staan er niet in.

Gaat het ook om mijn gegevens?

Wanneer jouw gegevens mogelijk betrokken zijn geweest bij dit beveiligingsincident heb je daarover een e-mail van ons gehad. Heb je geen e-mail ontvangen? Dan horen jouw gegevens hier niet bij.

Zijn er bankrekeningnummers, betalingsgegevens of wachtwoorden gelekt?

Nee, in de database stonden geen bankrekeningnummers, betalingsgegevens of wachtwoorden.

Welke maatregelen hebben jullie genomen?

Na de ontdekking van het beveiligingsincident hebben we meteen maatregelen genomen en de toegang tot de gegevens geblokkeerd. Samen met een team van externe experts hebben wij forensisch onderzoek gedaan en aanvullende technische maatregelen doorgevoerd om onze systemen nog beter te beschermen. Het beveiligingsincident is door ons gemeld bij de Autoriteit Persoonsgegevens.

Zijn er gegevens gestolen?

Op dit moment hebben wij geen aanwijzingen dat gegevens daadwerkelijk zijn misbruikt of openbaar zijn gemaakt. Wel weten we dat onbevoegden toegang hebben gehad tot de gegevens. Als er nieuwe informatie is die voor jou belangrijk is, laten we je dat weten.

Zijn gegevens vanuit mijn DA-winkel betrokken?

Nee, het incident heeft uitsluitend betrekking op gegevens van klanten van webshop DA.nl. Gegevens van lokale DA-winkels zijn niet betrokken bij dit incident.

Wat moet ik doen?

Let extra goed op e-mails, sms-berichten, WhatsApp-berichten en telefoontjes die onverwacht komen of verdacht zijn. Klik niet direct op onbekende of verdachte links en deel nooit zomaar gegevens zoals wachtwoorden, betaalgegevens of verificatiecodes.

Kan ik nog veilig bestellen bij de webshop?

Ja, na ontdekking van het beveiligingsincident hebben we meteen maatregelen genomen en de toegang tot deze gegevens geblokkeerd. Klanten kunnen veilig bestellen bij de webshop.

Wat kan er met mijn gegevens gebeuren?

Persoonsgegevens en gegevens over eerdere bestellingen kunnen worden gebruikt om valse berichten op te stellen. Je krijgt dan bijvoorbeeld een bericht over een bestelling, levering, betaling of terugbetaling met daarin jouw gegevens. Daardoor lijkt het bericht betrouwbaar, terwijl dat niet zo is. Ze proberen je te verleiden om op een schadelijke link te klikken. Na het klikken word je doorgestuurd naar een neppagina waar je jouw gegevens en wachtwoord (bijvoorbeeld voor internetbankieren) moet invullen. Je kunt ook gebeld worden door iemand die zich voordoet als medewerker van een betrouwbare organisatie.

Wees hier extra alert op. Reageer nooit op berichten of telefoontjes waarbij om gevoelige informatie, zoals wachtwoorden of betaalgegevens, wordt gevraagd. En deel nooit je persoonlijke wachtwoorden, betaalgegevens of verificatiecodes.

Wat moet ik doen als ik phishing vermoed?

Als je denkt dat een bericht vals is, klik dan niet op de links en deel geen persoonlijke informatie. Sluit het bericht of verbreek de verbinding. Neem daarna zelf rechtstreeks contact op met de organisatie via de officiële kanalen.

Lijkt het bericht van ons afkomstig? Of heeft het op een andere manier een link met dit incident? Meld dit dan bij ons via privacy@da.nl.

Wanneer hebben jullie hierover gecommuniceerd?

Na de eerste maatregelen is er forensisch onderzoek gedaan door externe experts. Met deze informatie hebben wij melding gedaan bij de Autoriteit Persoonsgegevens. Daarna hebben we verder onderzoek gedaan om onze klanten zo specifiek mogelijk te kunnen informeren. Betrokken klanten zijn vervolgens op de hoogte gesteld.

Hebben jullie melding gedaan bij de Autoriteit Persoonsgegevens?

Ja, wij hebben melding gedaan bij de Autoriteit Persoonsgegevens.

Worden betrokkenen verder geïnformeerd?

Als er nieuwe informatie is die voor de betrokkenen belangrijk is, dan informeren wij hen.

Hoe kon dit beveiligingsincident gebeuren?

Het incident is ontstaan door een kwetsbaarheid in Magento, software van een externe leverancier. Het ging om een zogenoemde 'zero-day kwetsbaarheid'. Dit is een beveiligingsprobleem waarvoor op het moment van dit beveiligingsincident nog geen patch beschikbaar was. Kwaadwillenden hebben van deze kwetsbaarheid gebruikgemaakt.

Deze kwetsbaarheid heeft wereldwijd tot beveiligingsincidenten geleid. Niet alleen onze website is hierdoor getroffen.

Ik heb een phishingbericht ontvangen. Komt dit door het beveiligingsincident?

Nee, dat hoeft niet zo te zijn. Criminelen volgen het nieuws en gebruiken actuele gebeurtenissen, zoals een beveiligingsincident, als aanleiding voor een phishingcampagne. Daarbij maken zij vaak gebruik van persoonsgegevens uit bestaande databases die zij al in hun bezit hebben. Een phishingbericht hoeft dus niet te betekenen dat jouw gegevens uit dit beveiligingsincident afkomstig zijn.

Wees wel extra alert op onverwachte of verdachte e-mails, sms- of WhatsApp-berichten en telefoontjes. Klik niet zomaar op links en deel nooit wachtwoorden, betaalgegevens of verificatiecodes.