Bol.com verstuurt "phishing-mail"
Mediawinkel Bol.com lanceerde onlangs haar vernieuwde website en verstuurde daarnaast een e-mail naar 5 miljoen klanten waarin het vroeg om de gegevens te controleren. Het bericht deed bij sommige mensen een phishing-alarm afgaan. Niet alleen waarschuwde een e-mailclient als Thunderbird dat het mogelijk om een "scam" ging, de link om de gegevens te controleren verwees naar bol.e-fulfilment.nl. Om klanten niet ongerust te maken stond onderin het bericht dat "bol.com zal u nooit zomaar via een e-mail om afgifte van uw gegevens vragen."
Toch was een aantal Security.NL lezers verbaasd over deze actie van de mediawinkel. "is dit een phishingmail? Zo niet, dan wel erg dom!" aldus een van de reacties. We namen contact op met Bol.com om te vragen waarom ze juist voor deze e-mail hebben gekozen, terwijl allerlei instanties juist waarschuwen om nooit gehoor te geven aan e-mails die vragen om gegevens te controleren.
"Ik kan de bezorgdheid begrijpen," aldus CRM-manager Patrick Flerackers. Toch had de winkel geen andere keus zegt hij. De klant is namelijk de enige die zijn gegevens kan controleren en wijzigen. Het eigen personeel kan dit niet doen. Vanwege de overgang naar de vernieuwde site wilde men zeker weten dat alles goed was gegaan en dat zouden alleen de klanten kunnen bevestigen. "Er zijn weinig andere manieren om dit te communiceren." Wat betreft de fulfilment link was dit een bewuste keuze van Bol. Het bedrijf verstuurd alle berichten voor de mediawinkel. De link is daarnaast persoonlijk, zodat Bol kon zien dat veel mensen er geen problemen mee hadden. Flerackers laat weten dat van de ongeveer vijf miljoen accounts die een e-mail kregen, er slechts een handjevol dachten dat het om een phishing-mail ging. De CRM-manager voegt eraan toe dat hij al die mensen persoonlijk te woord staat.
Wat ik niet helemaal begrijp is dat ze niet gewoon via de website doen.
Als je dan de volgende keer aan kom een melding dat je je gegevens misschien nog een keer kan controleren. Voor de personen die een order uit hebben staan kan een reminder via een orderupdate verstuurt worden met de vraag de gegevens te controleren.
Er hoeft ook geen link meegestuurd te worden. Gewoon de opmerking om in te loggen bij Bol.com moet voldoende zijn.
Waaruit je tevens kunt opmaken dat de security awareness reclames tot op heden weinig nut hebben gehad.
> Ik ontving een e-mail van "bol.com" <service.info@bol.com> met onderwerp
> "Welkom op de vernieuwde website van bol.com" en ondertekend door
> "Daniel Ropers Directeur bol.com". In deze e-mail wordt mij gevraagd op
> een website mijn klantgegevens te controleren en eventueel aan te
> passen. De website die ik hiervoor moet bezoeken is bol.e-fulfilment.nl
> en niet bol.com. Dit was voor mij reden om aan te nemen dat het hier om
> fishing gaat.
> Het e-mailadres waaraan deze fishing-mail gericht was, is
> <xxxxxxxxx@sneakemail.com>. Dit is een zogeheten "disposable"
> e-mailadres dat ik UITSLUITEND aan bol.com bekend heb gemaakt. Niemand
> anders dan bol.com is op de hoogte van dit e-mailadres. Degene die dit
> adres gebruikt, moet het dus van bol.com ontvangen hebben.
> Hieruit concludeer ik dat uw database met persoonsgegevens (deels) is
> gestolen of op een of andere wijze in verkeerde handen is gevallen.
> Ik wil u dringend verzoeken om actie te ondernemen om de gevolgen van
> deze fishing tegen te gaan: ik zal vast niet de enige zijn die deze
> e-mail heeft ontvangen, maar niet iedereen ziet direct dat dit een scam
> betreft: de e-mail is in goed Nederlands opgesteld.
> Verder bevat de e-mail URLs (onder andere afbeeldingen) met daarin een
> per ontvanger unieke identificatie, zodat de fisher precies kan nagaan
> welke e-mailadressen geldig zijn en welke niet.
Er zat nog een link bij naar bol.com, maar als je eroverheen ging in Thunderbird kreeg je e-fulfilment. Met de melding erbij dat je altijd moet checken of bol.com in je URL balk staat.
Zal me niets verbazen als ze een marketting bedrijf hebben ingehuurt waardoor dit soort mailtjes dagelijks opgesteld worden. Ik had iets van, ik wis dit mailtje maar voor de zekerheid en ga mijn gegevens wel checken de volgende keer dat ik wat bestel bij ze.
Wel ben ik vanmiddag naar bol.com gegaan en heb via de website een mailtje aan de klantenservice gestuurd met de vraag of het mailtje wel echt van bol.com afkomstig was. Op een automatisch gegenereerd bevesitgingsmailtje na, heb ik nog niets gehoord. Ik wacht maar af. Voorlopig bestel ik maar even niets bij bol.com...
van de rest heeft een deel:
-de mail niet gelezen;
-de mail niet ontvangen (spamfilter)
-de mail wel ontvangen maar hanteerde de tactiek dat de beste beveiliging tegen spam is deze te negeren.
Lol, daar was het zo ook om te doen :D
Ik heb ook het volgende gemailed naar bol.com:
Beste Bol.com,
Ik kreeg vandaag onderstaande mail toegezonden.
Hierin staat dat ik mijn gegevens moet controleren op een pagina op
een compleet ander domein dan bol.com
Om het geloofwaardig te maken, staat eronder ook nog dat bol.com nooit
zal vragen om gegevens af te staan en het "te herkennen websiteadres"
staat in tekst wel "www.bol.com", maar wijst naar een compleet andere
site (e-fulfilment.nl, ook nog eens foutief gespeld). Tevens staat er
geen https voor, maar gewoon http.
Kortom dit heeft er alle schijn van een phishing-mail te zijn.
(weliswaar een zeer goed opgezette)
Er domme actie van bol.com
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (Operationele Techniek)
bij HHNK
Heb jij een passie voor informatiebeveiliging en wil je jouw expertise inzetten in een organisatie met impact? Solliciteer nu! Bij HHNK hechten we veel waarde aan de veiligheid van onze informatie en systemen. Met een breed scala aan operationele techniek (OT) voor onze taken, is het essentieel om deze veilig te houden.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.