Bol.com verstuurt "phishing-mail"
Mediawinkel Bol.com lanceerde onlangs haar vernieuwde website en verstuurde daarnaast een e-mail naar 5 miljoen klanten waarin het vroeg om de gegevens te controleren. Het bericht deed bij sommige mensen een phishing-alarm afgaan. Niet alleen waarschuwde een e-mailclient als Thunderbird dat het mogelijk om een "scam" ging, de link om de gegevens te controleren verwees naar bol.e-fulfilment.nl. Om klanten niet ongerust te maken stond onderin het bericht dat "bol.com zal u nooit zomaar via een e-mail om afgifte van uw gegevens vragen."
Toch was een aantal Security.NL lezers verbaasd over deze actie van de mediawinkel. "is dit een phishingmail? Zo niet, dan wel erg dom!" aldus een van de reacties. We namen contact op met Bol.com om te vragen waarom ze juist voor deze e-mail hebben gekozen, terwijl allerlei instanties juist waarschuwen om nooit gehoor te geven aan e-mails die vragen om gegevens te controleren.
"Ik kan de bezorgdheid begrijpen," aldus CRM-manager Patrick Flerackers. Toch had de winkel geen andere keus zegt hij. De klant is namelijk de enige die zijn gegevens kan controleren en wijzigen. Het eigen personeel kan dit niet doen. Vanwege de overgang naar de vernieuwde site wilde men zeker weten dat alles goed was gegaan en dat zouden alleen de klanten kunnen bevestigen. "Er zijn weinig andere manieren om dit te communiceren." Wat betreft de fulfilment link was dit een bewuste keuze van Bol. Het bedrijf verstuurd alle berichten voor de mediawinkel. De link is daarnaast persoonlijk, zodat Bol kon zien dat veel mensen er geen problemen mee hadden. Flerackers laat weten dat van de ongeveer vijf miljoen accounts die een e-mail kregen, er slechts een handjevol dachten dat het om een phishing-mail ging. De CRM-manager voegt eraan toe dat hij al die mensen persoonlijk te woord staat.
Wat ik niet helemaal begrijp is dat ze niet gewoon via de website doen.
Als je dan de volgende keer aan kom een melding dat je je gegevens misschien nog een keer kan controleren. Voor de personen die een order uit hebben staan kan een reminder via een orderupdate verstuurt worden met de vraag de gegevens te controleren.
Er hoeft ook geen link meegestuurd te worden. Gewoon de opmerking om in te loggen bij Bol.com moet voldoende zijn.
Waaruit je tevens kunt opmaken dat de security awareness reclames tot op heden weinig nut hebben gehad.
> Ik ontving een e-mail van "bol.com" <service.info@bol.com> met onderwerp
> "Welkom op de vernieuwde website van bol.com" en ondertekend door
> "Daniel Ropers Directeur bol.com". In deze e-mail wordt mij gevraagd op
> een website mijn klantgegevens te controleren en eventueel aan te
> passen. De website die ik hiervoor moet bezoeken is bol.e-fulfilment.nl
> en niet bol.com. Dit was voor mij reden om aan te nemen dat het hier om
> fishing gaat.
> Het e-mailadres waaraan deze fishing-mail gericht was, is
> <xxxxxxxxx@sneakemail.com>. Dit is een zogeheten "disposable"
> e-mailadres dat ik UITSLUITEND aan bol.com bekend heb gemaakt. Niemand
> anders dan bol.com is op de hoogte van dit e-mailadres. Degene die dit
> adres gebruikt, moet het dus van bol.com ontvangen hebben.
> Hieruit concludeer ik dat uw database met persoonsgegevens (deels) is
> gestolen of op een of andere wijze in verkeerde handen is gevallen.
> Ik wil u dringend verzoeken om actie te ondernemen om de gevolgen van
> deze fishing tegen te gaan: ik zal vast niet de enige zijn die deze
> e-mail heeft ontvangen, maar niet iedereen ziet direct dat dit een scam
> betreft: de e-mail is in goed Nederlands opgesteld.
> Verder bevat de e-mail URLs (onder andere afbeeldingen) met daarin een
> per ontvanger unieke identificatie, zodat de fisher precies kan nagaan
> welke e-mailadressen geldig zijn en welke niet.
Er zat nog een link bij naar bol.com, maar als je eroverheen ging in Thunderbird kreeg je e-fulfilment. Met de melding erbij dat je altijd moet checken of bol.com in je URL balk staat.
Zal me niets verbazen als ze een marketting bedrijf hebben ingehuurt waardoor dit soort mailtjes dagelijks opgesteld worden. Ik had iets van, ik wis dit mailtje maar voor de zekerheid en ga mijn gegevens wel checken de volgende keer dat ik wat bestel bij ze.
Wel ben ik vanmiddag naar bol.com gegaan en heb via de website een mailtje aan de klantenservice gestuurd met de vraag of het mailtje wel echt van bol.com afkomstig was. Op een automatisch gegenereerd bevesitgingsmailtje na, heb ik nog niets gehoord. Ik wacht maar af. Voorlopig bestel ik maar even niets bij bol.com...
van de rest heeft een deel:
-de mail niet gelezen;
-de mail niet ontvangen (spamfilter)
-de mail wel ontvangen maar hanteerde de tactiek dat de beste beveiliging tegen spam is deze te negeren.
Lol, daar was het zo ook om te doen :D
Ik heb ook het volgende gemailed naar bol.com:
Beste Bol.com,
Ik kreeg vandaag onderstaande mail toegezonden.
Hierin staat dat ik mijn gegevens moet controleren op een pagina op
een compleet ander domein dan bol.com
Om het geloofwaardig te maken, staat eronder ook nog dat bol.com nooit
zal vragen om gegevens af te staan en het "te herkennen websiteadres"
staat in tekst wel "www.bol.com", maar wijst naar een compleet andere
site (e-fulfilment.nl, ook nog eens foutief gespeld). Tevens staat er
geen https voor, maar gewoon http.
Kortom dit heeft er alle schijn van een phishing-mail te zijn.
(weliswaar een zeer goed opgezette)
Er domme actie van bol.com
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.