Een bekende Belgische meubelketen komt in het nieuws, en niet voor een nieuwe collectie zetels. WEBA meldt dat cybercriminelen klantgegevens hebben buitgemaakt: namen, woonadressen en bestelinformatie. Volgens het bedrijf zouden wachtwoorden en betaalgegevens niet geraakt zijn, maar een deel van de gestolen data staat mogelijk al online.
Even stilstaan bij die zin. Niet de firewall of de server is hier het grote verhaal, wel het klantenbestand dat plots op straat ligt. Voor elke zaakvoerder met klantgegevens in een systeem is dat een ongemakkelijke spiegel. Want de vraag is niet of dit een groot bedrijf overkwam. De vraag is: wat zou jij doen als het jouw klantenlijst was?
WEBA werd getroffen door een cyberaanval waarbij klantgegevens zijn gestolen. Volgens de meubelketen gaat het om namen, adressen en informatie over bestellingen. Volgens Tweakers vond de aanval enkele dagen eerder plaats dan de publieke bevestiging, en werden systemen afgesloten, onderzocht en opnieuw opgestart.
Belangrijk voor de nuance: het exacte aantal getroffen klanten is niet publiek bevestigd. Ook de precieze oorzaak of manier van binnendringen is officieel niet bekend. Sommige media noemen mogelijke daders of een leksite, maar dat blijft onbevestigd, dus laten we dat hier links liggen.
Wat wel opvalt, is het tijdsverloop. Tussen de aanval en de publieke communicatie zaten enkele dagen. Dat is geen verwijt, wel een les. Een incident wordt zelden meteen zichtbaar, en toch verwachten klanten snel duidelijkheid over wat er met hun gegevens gebeurde. Die twee snelheden botsen. En net daar wint of verliest een bedrijf vertrouwen.
Dit is geen probleem van alleen grote ketens. Dat is de gevaarlijke aanname. Elk bedrijf dat namen, e-mailadressen, telefoonnummers of bestelhistoriek bewaart, heeft iets wat criminelen willen. En een kleinere kmo heeft vaak minder verdediging dan een keten met een IT-afdeling.
De cijfers spreken voor zich. Volgens VLAIO was in 2024 zo’n 45,8% van de Vlaamse ondernemingen slachtoffer van een cyberaanval. In ongeveer een op de tien gevallen leidde dat tot effectieve schade. Dat is geen randfenomeen meer, dat is een gewoon bedrijfsrisico, zoals brand of diefstal in je magazijn.
Wat dat concreet betekent: je hoeft geen webshop met een miljoen klanten te zijn om interessant te zijn. Een lokale zaak met een net bijgehouden klantenbestand is even bruikbaar voor phishing en oplichting. Aanvallers kijken niet naar je omzet, wel naar hoe makkelijk ze binnenraken. Denk aan een inbreker die niet de grootste villa kiest, maar het huis met het open raam.
De grootste kost van een datalek staat zelden op de factuur van de IT-hersteloperatie. Ze zit in de klant die twijfelt om nog eens iets te bestellen. Techniek herstel je in dagen, een geschonden vertrouwen niet.
Daar komt een wettelijke verplichting bij. Bij een datalek met persoonsgegevens moet je dit in principe binnen 72 uur melden bij de toezichthouder. De Gegevensbeschermingsautoriteit voorziet daar een concrete procedure voor. Die klok tikt snel, zeker als je pas dagen na de aanval merkt dat er iets mis is.
En dan is er de communicatie. Klanten willen geen vaag persbericht, maar een helder antwoord: welke gegevens zijn geraakt, welke niet, en wat moeten ze zelf doen. Net daarom is het sterk dat WEBA meldt dat wachtwoorden en betaalgegevens niet betrokken zouden zijn. Zo’n duidelijke afbakening beperkt de paniek. Wie op dat moment moet improviseren, verliest kostbare uren en geloofwaardigheid tegelijk. Een korte phishing-waarschuwing aan je klanten hoort daar trouwens ook bij.
Je hoeft dit niet vanaf nul uit te vinden. De vraag is simpel: als het morgen jouw klantenbestand is, sta je dan klaar? Loop deze punten even af.
Kan je niet op alles volmondig ja zeggen, dan is dat geen ramp, wel een startpunt. Dat soort paraatheid bekijken we soms samen met klanten, rustig en op maat van je zaak.
In principe meld je een lek met persoonsgegevens binnen 72 uur bij de toezichthouder. Of het effectief moet, hangt af van het risico voor de betrokken personen. Bij twijfel bekijk je dit best meteen samen met iemand die de regels kent, want die klok tikt snel.
Ja. Aanvallers kijken niet naar je omvang, maar naar hoe makkelijk ze binnenraken. Een kleiner bedrijf heeft vaak minder verdediging, wat het net aantrekkelijk maakt. Elk klantenbestand met namen en contactgegevens is bruikbaar voor oplichting.
Sluit de toegang af zodat de schade niet verder loopt, en breng in kaart welke gegevens mogelijk geraakt zijn. Daarna volgt de melding en de communicatie naar klanten. Een vooraf vastgelegd plan maakt die eerste uren veel rustiger.
Een back-up herstelt je systemen na een aanval, maar voorkomt niet dat gestolen data online komt. Het is een essentieel vangnet voor continuïteit, geen slot op de voordeur. Je hebt beide nodig: goede toegangsbescherming én geteste back-ups.
