Heineken meldt datalek bij leverancier Cloudbear
Bij een datalek bij IT-leverancier Cloudbear zijn persoonsgegevens gelekt van bezoekers van de evenementen De Vrienden van Amstel LIVE en Amstel LIVE in de Kroeg. Cloudbear is een toeleverancier van Abbi Insights, het onderzoeksbureau dat in opdracht van bierbrouwer Heineken het bezoekersonderzoek na afloop van deze evenementen uitvoert. Uit auditlogs blijkt dat onbevoegden op vrijdagavond 6 november vanaf 18.36 uur toegang hadden tot de ICT-omgeving van Cloudbear. Opvallend is dat de gegevens eigenlijk niet meer op de servers van de leverancier hadden mogen staan, aangezien Abbi Insights eerder had bevestigd dat de data volgens de contractuele afspraken kort na het onderzoek was verwijderd.
Bij de bezoekers van De Vrienden van Amstel LIVE gaat het om namen, e-mailadressen, telefoonnummers, geslacht, geboortedata en postcodes. Voor deelnemers aan het onderzoek rond Amstel LIVE in de Kroeg betreft het uitsluitend de voornaam en het e-mailadres. Er zijn volgens de betrokken partijen geen wachtwoorden of betaal- en bankgegevens buitgemaakt. Hoewel er nog geen bewijs is dat de data daadwerkelijk is ingezien of misbruikt, waarschuwt Amstel betrokkenen om extra alert te zijn op gerichte phishingberichten per e-mail, sms, WhatsApp of telefoon, waarbij criminelen de gelekte gegevens kunnen gebruiken om betrouwbaar over te komen.
Uit de reconstructie van de gebeurtenissen blijkt dat Cloudbear het incident nog op de avond van de inbraak ontdekte en direct ingreep door wachtwoorden, tokens en certificaten te vernieuwen, verdachte accounts en IP-adressen te blokkeren, firewalls aan te scherpen en getroffen systemen te isoleren.
Op zaterdag 7 november werden zowel Abbi Insights als Heineken op de hoogte gesteld van een mogelijk lek, waarna op maandagavond 9 november werd bevestigd dat het inderdaad om de bezoekersdata ging. Heineken Nederland heeft het incident op dinsdag 10 november gemeld bij de Autoriteit Persoonsgegevens en is op woensdagavond 11 november gestart met het informeren van de gedupeerden.
De brouwer geeft aan het incident te betreuren en onderzoekt momenteel samen met Abbi Insights hoe de persoonsgegevens bij subleverancier Cloudbear bewaard zijn gebleven ondanks de gemaakte afspraken over bewaartermijnen. Het incident onderstreept opnieuw de kwetsbaarheid van de dataketen wanneer organisaties gegevens delen met onderzoeksbureaus en hun onderaannemers. Bezoekers die hun gegevens willen inzien of laten verwijderen, kunnen hiervoor een privacyverzoek indienen via het dataportaal van Heineken.
Meer over data
Over Witold Kepinski
