Flink-afpersers krijgen via onderzocht adres niets

Afpersers van boodschappenbezorger Flink kregen tot vandaag via het onderzochte Ethereum-adres €0, nadat zij per klant circa €10 eisten; de betaling van 0,005 ether moest vóór 2 oktober binnen zijn om verkoop van gestolen persoonsgegevens op het darkweb te voorkomen.

Nieuwssite RTL Nieuws ontving afpersingsmails van 32 Nederlandse Flink-klanten. In alle berichten stond hetzelfde Ethereum-adres. Op de openbare blockchain waren daar vandaag nul inkomende transacties te zien. Voor die 32 mails is daarmee controleerbaar dat via dat adres niets werd betaald.

Andere adressen, tussenpersonen en betaalroutes vallen buiten deze controle, terwijl de afpersers volgens technologiesite Tweakers stelden dat zij al met Flink hadden onderhandeld. Flink zei daartegenover tegen technologiesite Heise dat het uit principe contact met criminelen uitsluit en in deze zaak stilbleef.

Doel lag op 100 ether

De mails noemden een doel van 100 ether. RTL beschreef dit als bedrag dat Flink moest bereiken, terwijl Heise het als gezamenlijk doel van klantbetalingen weergaf. Zodra het doel was bereikt, zouden de afpersers alle gestolen gebruikersgegevens verwijderen. Media waardeerden dat bedrag destijds op €235.000 tot €239.000. De stand op het onderzochte adres bleef eenvoudiger: nul.

De afzenders dreigden de gegevens na de deadline te verkopen. De huidige status van de buitgemaakte gegevens is onbekend.

Volgens Flink werden in Nederland minstens 10.000 afpersingsmails aan klanten verstuurd. Het aantal mensen van wie gegevens zijn gekopieerd en het aantal rechtstreeks benaderde medewerkers is onbekend.

Inloggegevens gaven toegang

De aanvallers kregen met gestolen inloggegevens toegang tot één intern bestelsysteem van één distributiepunt. Flink zegt het betrokken punt te hebben gevonden en de toegang te hebben geblokkeerd; namen, e-mailadressen, post- of bezorgadressen en telefoonnummers van klanten en medewerkers zijn volgens het bedrijf buitgemaakt. Bij een deel van de klanten lekten ook details als verdieping, ingang, naam op de deurbel en bezorginstructies.

Wachtwoorden, betaalgegevens, creditcardinformatie en bankgegevens vielen volgens Flink buiten het lek. Het bedrijf deed aangifte, meldde het incident bij de Autoriteit Persoonsgegevens, schakelde een cybersecuritybedrijf in en nam aanvullende beveiligingsmaatregelen.

De mails zijn ondertekend met LPG Group. RTL beschrijft dat als een recent opgericht collectief waarvan de sociale kanalen in september werden geactiveerd. De identiteit achter de naam is onbekend.