Klanten van boodschappenbezorgdienst Flink worden geconfronteerd met afpersingsmails na een recent datalek. Een groep die zich de LPG Group noemt, eist van individuele klanten een betaling van ongeveer 10 euro in de cryptomunt ether, een betaalmethode die als omslachtig wordt beschouwd. De groep dreigt ermee klantgegevens op het darkweb te verkopen als aan de eis niet wordt voldaan.

Onbevoegden verkregen toegang tot een intern systeem met klantgegevens door middel van gestolen inloggegevens. Dergelijke incidenten worden vaak veroorzaakt door nalatigheid van een bedrijf, waaronder gebrekkige technische beveiliging, onbekende kwetsbaarheden, het uitblijven van updates of onvoldoende getrainde medewerkers.

De buitgemaakte gegevens omvatten namen, e-mailadressen, postadressen en telefoonnummers. Bij een deel van de klanten zijn mogelijk ook bezorginformatie, zoals de verdieping, de naam op de deurbel en bezorginstructies, meegenomen. Flink benadrukt dat wachtwoorden niet zijn getroffen.

De hackers eisen van Flink een betaling van 100 ether, wat neerkomt op circa 238.000 euro, om de gegevens te laten verwijderen. Volgens de daders deden zij eerder een poging Flink te laten betalen, maar hier ging het bedrijf niet op in. De groep moedigt klanten aan om Flink onder druk te zetten tot betaling. Het rechtstreeks benaderen van individuele klanten met een laag bedrag wordt gezien als een tactiek om hen tot betaling te bewegen. Ethisch hacker Wouter van Dongen geeft aan de groep LPG Group niet te kennen en beschouwt het als ongebruikelijk dat criminelen na een datalek individuele klanten direct benaderen. De ernst van dit incident wordt echter gerelativeerd, aangezien er van vrijwel iedereen veel informatie online beschikbaar is.

Flink verwacht gevolgen zoals reputatieschade, boetes in het kader van de AVG en kosten voor onderzoek en de implementatie van nieuwe maatregelen. Klanten die een afpersingsmail hebben ontvangen, wordt geadviseerd deze te bewaren als bewijsmateriaal en geen gehoor te geven aan de betaaleis.