Flink

In het kort. In september 2026 kwamen criminelen binnen bij bezorgbedrijf Flink, volgens Flink met de inloggegevens van een oud-medewerker, en kopieerden ze gegevens van klanten en medewerkers.¹² Flink weigerde te betalen, dus mailden de criminelen duizenden klanten zelf en eisten ze zo'n tien euro per persoon, maar niemand betaalde.²³ Nu bieden ze de gegevens te koop aan.⁴

Aanvalspad deels bekend: ✅ 5 bevestigd · 🔎 2 gemeld · 🧠 0 afgeleid · ❓ 2 onbekend

1. In één oogopslag

2. Wat er gebeurde

Het bedrijf. Flink brengt boodschappen aan huis, vaak binnen een halfuur. Het bedrijf zit in Berlijn en werkt in Duitsland en Nederland.¹⁵ Flink zegt zelf 1,5 miljoen klanten in Nederland te hebben.⁷ De bestellingen gaan vanuit kleine magazijnen in steden. Flink noemt die Order Hubs.²

Eerste toegang (datum niet bekend). De aanvallers komen binnen in een intern systeem van Flink. Volgens Flink gebruiken ze daarvoor de inloggegevens van een oud-medewerker.¹⁸ Het gaat om een bestelsysteem dat de Order Hubs gebruiken. Flink zegt dat één hub is aangevallen.² Hoe de aanvallers aan de inloggegevens kwamen, is niet gemeld. Wanneer ze binnenkwamen ook niet.⁶ Ze kopiëren gegevens van klanten en medewerkers.²

Dinsdagavond 22 september. De aanvallers sturen Flink een bericht via een formulier op de website. Ze eisen geld in Ether, een cryptomunt, en beloven dan de gegevens te wissen.¹²⁶ Flink reageert niet. Het bedrijf zegt dat het nooit met criminelen onderhandelt.²

Vrijdag 25 september. Klanten en medewerkers krijgen een mail van de aanvallers. De mail noemt hun naam en de afzender lijkt op Flink.²¹ De aanvallers eisen 0,005 Ether per persoon. Dat is zo'n 10 tot 12 euro.⁷⁵ De mail dreigt dat de gegevens worden verkocht op het dark web, een verborgen deel van internet waar criminelen handelen, als iemand niet betaalt.³ Flink zelf moet 100 Ether betalen, ongeveer 235.000 tot 238.000 euro. Dan zouden alle gegevens worden gewist.¹⁷ De aanvallers vragen klanten ook om de mail naar Flink door te sturen, zodat Flink onder druk komt.⁷ Een expert van beveiligingsbedrijf Responders sluit niet uit dat de criminelen juist onrust bij Flink willen.⁷ Flink mailt zijn klanten zelf, volgens t-online bijna vijf uur na de eerste afpersingsmails.¹² Flink zegt dat minstens 10.000 klanten in Nederland zo'n mail kregen.² Dezelfde dag melden NOS en andere media het nieuws.⁷⁵

Het weekend. Flink zegt dat de stroom mails kleiner werd nadat het het bedrijf had gewaarschuwd dat de mailservice van de afzender levert. Tot zaterdag kreeg de klantenservice ongeveer 150 meldingen van klanten.² Flink meldt het incident bij de toezichthouder en doet aangifte bij de politie in Duitsland en Nederland.⁵² Externe experts onderzoeken wat er is gebeurd.¹³

30 september tot 2 oktober. Het nieuwsmedium RTL Nieuws krijgt de afpersingsmail van 32 Nederlandse klanten. In alle mails staat hetzelfde betaaladres voor cryptomunten. Betalingen in cryptomunten zijn openbaar te zien en er is nog niets betaald.³¹⁴¹⁵ De deadline van 2 oktober verstrijkt zonder betalingen.¹⁰¹¹ Een cybersecurityexpert verwacht dat deze methode weinig oplevert, omdat mensen zich weinig aantrekken van gelekte gegevens.¹⁰

Maandag 5 oktober. RTL Nieuws meldt dat de criminelen de gegevens nu te koop aanbieden aan de hoogste bieder. RTL zegt de gegevens te hebben gezien en gecontroleerd. Getroffen klanten bevestigden hun adres, telefoonnummer, e-mailadres en het bedrag van hun laatste bestelling.⁴ De bestelgegevens lopen van maart tot en met september 2026. Ook Duitse klanten staan erin.¹⁴ De criminelen verwachten volgens RTL minstens 235.000 euro.⁴ Een aantal getroffen klanten, ook uit Duitsland, zegt nog geen bericht van Flink te hebben gekregen.¹⁴

Wat Flink zelf deed. Flink blokkeerde de toegang, nam extra maatregelen en schakelde externe experts in.⁸¹³ Het bedrijf waarschuwde klanten voor nepberichten, riep op niet te betalen en zei nooit om geld of cryptomunten te vragen.⁸

Stand op 10 oktober 2026. Het onderzoek loopt nog. Flink heeft niet bevestigd hoeveel mensen zijn getroffen.⁵ Er is geen openbaar onderzoeksrapport. In de gelezen bronnen staat niets over arrestaties of een uitspraak van een toezichthouder.

3. Het aanvalspad

De volgorde in het schema is logisch, maar niet overal bewezen in de tijd. Van de eerste stappen is de datum niet bekend. Bij elke stap staat hoe zeker we zijn. De bronnen noemen niet voor elke stap een techniek. Daar staat dan "Techniek niet gemeld".

Zekerheid: ✅ bevestigd door de organisatie, een overheid, de rechter of een onafhankelijk onderzoek · 🔎 gemeld door betrouwbare media of onderzoekers · 🧠 afgeleid, met de redenering in de noot · ❓ onbekend

4. Waarom het lukte

Er is geen openbaar onderzoeksrapport. Dit zijn de oorzaken die uit de verklaringen van Flink en uit de berichten volgen. Over de beveiliging bij Flink zelf is weinig openbaar.

1. Een account van een oud-medewerker werkte nog. Flink zegt dat de aanvallers binnenkwamen met de inloggegevens van iemand die niet meer voor het bedrijf werkte.¹ Daaruit volgt dat het account op dat moment nog bruikbaar was (🧠 afgeleid).¹⁷ Waarom dat zo was, is niet bekend. Sommige media schrijven dat het account is overgenomen.⁴¹⁴ Het verschil met "inloggegevens gebruiken" is niet uitgelegd.
2. Een gestolen wachtwoord is genoeg als er geen tweede controle is. Een tweede inlogstap, zoals een code op je telefoon, maakt dat een gestolen wachtwoord alleen niet werkt.¹⁸¹⁹ Of Flink die tweede stap gebruikte, is niet gemeld (❓ onbekend).
3. Veel persoonsgegevens op één plek. Het gaat om een bestelsysteem waarin namen, adressen en telefoonnummers van klanten en medewerkers staan.² Eén ingang gaf daardoor toegang tot veel gegevens. Hoeveel precies, weet niemand: de aantallen komen van de daders.⁵
4. Flink gaf geen geld, dus zochten de criminelen een ander drukmiddel. Flink onderhandelt volgens eigen zeggen nooit met criminelen en reageerde niet.² Daarom mailden de aanvallers klanten. Echte namen en adressen maakten die mails geloofwaardig.¹⁴ Volgens een expert gebruiken criminelen alle drukmiddelen die helpen, zoals media-aandacht en schade aan de naam van een bedrijf.¹⁰

5. Wat het had kunnen stoppen

Dit zijn voorstellen op basis van de bronnen. Ze zijn niet getest bij Flink. Het is niet bekend welke maatregelen Flink al had.

6. Lessen

Voor bestuur en management - ☐ Wie zorgt ervoor dat het account van iemand die vertrekt dezelfde dag uitgaat, ook bij flexkrachten en inhuurkrachten?²⁰ - ☐ Welke systemen met klantgegevens zijn van buiten bereikbaar, en hoe goed is het inloggen daar beveiligd?¹⁹ - ☐ Hoeveel klantgegevens kan één medewerkersaccount inzien, en is dat nodig voor het werk?¹⁸ - ☐ Is vooraf besloten wat u doet als criminelen uw klanten zelf mailen? Flink koos voor: niet betalen, niet reageren en klanten zelf informeren.⁸² - ☐ Weet u wie een datalek meldt bij de toezichthouder, en binnen welke tijd?²³

Voor IT en security - ☐ Vergelijk de personeelsadministratie met de lijst van accounts, en zet accounts uit die 45 dagen niet zijn gebruikt.²¹ - ☐ Eis voor elk systeem dat van buiten bereikbaar is een tweede inlogstap of een passkey.²⁰¹⁹ - ☐ Maak alarmen voor inlogs van vertrokken personen en voor het opvragen van veel klantgegevens tegelijk.²² - ☐ Zorg dat bedreigingen via contactformulieren, social media en de klantenservice bij het securityteam uitkomen. Bij Flink kwam het eerste bekende signaal via het formulier op de website.¹ - ☐ Controleer of inloggegevens van uw collega's op internet te vinden zijn.²² - ☐ Meld misbruik van uw naam bij het bedrijf dat de mailservice van de afzender levert. Flink deed dat.²

Voor iedere medewerker - ☐ Gaat u weg bij uw werk? Lever dan al uw toegang in, ook apps op uw eigen telefoon.¹⁸ - ☐ Gebruik voor werk een wachtwoord dat u nergens anders gebruikt. Zet een tweede inlogstap aan als dat kan.²⁴ - ☐ Krijgt u een afpersingsmail van een bedrijf waar u klant of medewerker bent? Betaal niet, antwoord niet, bewaar de mail en doe aangifte.⁸ Een antwoord laat de afzender weten dat uw adres echt is.² - ☐ Wees alert op nepberichten die gelekte gegevens gebruiken, zoals mails, sms'jes en telefoontjes.²⁴

7. Voor securityprofessionals

Technieken (MITRE ATT&CK)

Gebruikte versie: ATT&CK Enterprise v19.2 (augustus 2026).²⁵ In v19 is Defense Evasion opgesplitst in Stealth (TA0005) en Defense Impairment (TA0112), en is T1562 vervangen door T1685. In de gelezen bronnen staat geen aanwijzing voor Defense Impairment. T1656 (Impersonation) is in v19.2 ingetrokken en vervangen door T1684.001.²⁶ Alle hieronder genoemde ID's zijn in dat gegevensbestand aanwezig en niet ingetrokken.²⁶

Er is geen onderzoeksrapport van Flink of een overheid openbaar. De technieken komen uit de verklaringen van Flink en uit mediaberichten. Voor Collection en Exfiltration is alleen de tactiek bekend.

Software en malware. Er is geen malware, ransomware of hulpprogramma genoemd, en geen versleuteling gemeld.¹⁰ NL Times wijst op een bestandsnaam "lpg.dll" in oudere aanvallen met Conti-ransomware. Het artikel zelf zegt dat een verband met Flink niet is vastgesteld.⁵ Ik heb dat niet kunnen controleren en gebruik het niet als bewijs.

Kwetsbaarheden

Geen CVE bekend. De bronnen noemen geen kwetsbaarheid in software; de toegang liep via inloggegevens.¹⁸

Sporen van de aanvallers

Er zijn geen IP-adressen, domeinen, bestandshashes of mailadressen openbaar gedeeld in de gelezen bronnen. Wat wel openbaar is, is niet technisch:

• Naam van de groep: LPG Group. Zo noemt de groep zich in de mails.³
• Bedragen en deadline: 0,005 ETH per persoon, 100 ETH voor Flink, uiterlijk 2 oktober 2026.⁷³
• Eén cryptoadres in alle mails. Het adres staat niet in de gelezen bronnen en is hier niet overgenomen.¹⁴¹⁵
• Kenmerken van de mail: persoonlijke aanspreking, een afzender die op Flink lijkt, uitleg over het kopen van Ether en de oproep om de mail door te sturen naar Flink. De groep noemt de eis "een klein bedrag voor je gemoedsrust".²⁷
• Een account op X (voorheen Twitter), onderaan de mail genoemd. Het is in september 2026 aangemaakt en heeft weinig volgers. De naam is hier niet overgenomen.¹

Detectie en respons

Detectie. Dit zijn voorstellen, geen bevindingen van Flink. - Vergelijk accounts met de personeelsadministratie en geef een alarm bij elke succesvolle inlog van een account dat uit had moeten staan.²⁰²¹ - Let op inlogs met een nieuw apparaat, een nieuwe plek of een ongebruikelijk tijdstip, vooral op systemen die buiten het netwerk bereikbaar zijn.²² - Meet hoeveel klantrecords een account opvraagt of exporteert, en geef een alarm bij uitschieters. Bekijk ook uitgaand verkeer vanaf het bestelsysteem.²² - Laat berichten via contactformulieren en de klantenservice die op een eis lijken meteen bij security uitkomen.¹ - Zoek naar nagemaakte afzenders en naar klachten van klanten, bijvoorbeeld op sociale media. Bij Flink meldden klanten de mails ook op Reddit.⁸

Respons. - Wat Flink zelf deed: toegang geblokkeerd, extra maatregelen en meer toezicht, externe forensische experts, toezichthouder en politie ingelicht, klanten gewaarschuwd en een melding bij de mailprovider van de afzender.⁸¹³² - Voorstellen: wijzig alle gegevens die het account kon gebruiken, zoek naar andere inlogs vanaf dezelfde bron, bewaar de logs, en controleer andere accounts van vertrekkers.²² - Beoordeel direct of een melding binnen 72 uur nodig is, en of klanten geïnformeerd moeten worden.²³ - Klanten die gelekte gegevens hebben: let op phishing, gebruik unieke wachtwoorden en zet een tweede inlogstap aan.²⁴

8. Wat we niet weten

• Hoe kwamen de aanvallers aan de inloggegevens? Dit is niet gemeld. Een forensisch rapport van Flink of een politieonderzoek zou het antwoord kunnen geven.¹⁸
• Waarom werkte het account van een oud-medewerker nog, of is het overgenomen? Flink spreekt over inloggegevens van een oud-medewerker. Sommige media schrijven over een overgenomen account. Een verklaring van Flink kan dit uitleggen.¹⁴¹⁴
• Was er een tweede inlogstap? Dit is niet gemeld.
• Hoe lang waren de aanvallers binnen, en wanneer is de data gekopieerd? Uiterlijk 22 september. Daarvoor is niets bekend.⁶
• Hoe past "één Order Hub" bij de claim van ruim een miljoen klanten? Flink zegt dat één hub is aangevallen.² De daders zeggen dat ze gegevens van ruim een miljoen klanten hebben, en RTL zag een grote dataset.⁴ Hoe dat samenhangt, is niet uitgelegd. Een toelichting van Flink zou dit kunnen oplossen.
• Hoeveel mensen zijn echt getroffen? Flink heeft de aantallen niet bevestigd.⁵ Het aantal medewerkers wisselt in de berichten: 13.000 op 25 september, meer dan 10.000 op 30 september.⁷³
• Welke gegevens zijn precies gestolen? Flink zei eerst dat er geen aanwijzingen waren voor bestelgegevens.⁸ RTL zag later het bedrag van de laatste bestelling en bestelgegevens van maart tot september.⁴¹⁴
• Zijn alle getroffen klanten ingelicht? Flink zegt dat het alle klanten op vrijdag heeft geïnformeerd.² Sommige klanten zeggen dat ze niets kregen.¹⁴
• Wie is LPG Group? Een nieuwe groep, volgens RTL recent opgericht en volgens Cybernews pas sinds september 2026 actief.³⁹ NL Times schrijft dat Flink misschien het eerste echte slachtoffer is.⁵ Politie, onderzoek naar de cryptoadressen of beveiligingsbedrijven kunnen meer weten.
• Zijn de gegevens verkocht of gepubliceerd? Op 5 oktober worden ze te koop aangeboden. Wat daarna gebeurde, is niet gemeld.⁴
• Welke toezichthouder heeft het incident gekregen, en wat is de uitkomst? Flink noemt tegenover heise de toezichthouder in Berlijn.² Nederlandse media noemen de Autoriteit Persoonsgegevens.¹⁴¹¹ Een uitspraak is niet bekend.

9. Begrippen

Account: je persoonlijke toegang tot een systeem, met een gebruikersnaam en een wachtwoord.

Afpersing: iemand dwingt je met een dreigement om te betalen. Hier: "betaal, anders maken we je gegevens openbaar".

Blockchain: een openbaar overzicht van alle betalingen in een cryptomunt. Iedereen kan zien of er geld is binnengekomen op een adres.

Cryptomunt (Ether, ETH): digitaal geld op internet. De criminelen vroegen om betaling in Ether.

Dark web: een deel van internet dat je niet met gewone zoekmachines vindt. Criminelen verhandelen daar vaak gestolen gegevens.

Datalek: gegevens komen bij mensen die ze niet mogen hebben.

Forensisch onderzoek: onderzoek naar wat er precies is gebeurd, aan de hand van sporen op computers.

Geldig account (Valid Accounts): de aanvaller gebruikt een echt account in plaats van een kwetsbaarheid. Dat valt minder snel op.

Inloggegevens: de gebruikersnaam en het wachtwoord waarmee je op een systeem inlogt.

MFA (tweede inlogstap): inloggen met meer dan alleen een wachtwoord, bijvoorbeeld ook met een code op je telefoon.

MITRE ATT&CK: een overzicht van technieken die aanvallers gebruiken. Het helpt om aanvallen op dezelfde manier te beschrijven.

Order Hub: een klein magazijn van Flink in een stad, waar bestellingen worden klaargezet en bezorgd.²

Passkey: een inlogmiddel zonder wachtwoord dat aan je eigen apparaat is gekoppeld. Het NCSC raadt het aan.¹⁹

Phishing: nepberichten om gegevens of geld los te krijgen.

Ransomware: een schadelijk programma dat bestanden onbruikbaar maakt tot er wordt betaald. Hier is dat niet gemeld.¹⁰

Toezichthouder: een overheidsdienst die let op de regels voor persoonsgegevens. In Nederland is dat de Autoriteit Persoonsgegevens.²³

Uitdiensttreding (offboarding): alles wat een bedrijf regelt als iemand weggaat, zoals het uitzetten van accounts.¹⁸

Versies

• v1 (2026-10-10): eerste versie.

Bijlage: bronnen en noten