Rituals meldt datalek: mailadressen, geboortedata en telefoonnummers gestolen

In de praktijk is dit dus weer zo’n “alleen mail en geboortedatum” verhaal, en een maand later hangt je telefoon vol met nep-PostNL en nep-bank sms’jes. Vooral die geboortedatum is goud voor oplichters, dan klink je meteen “echt”. Rituals mag van mij ff uitleggen waarom ze dat überhaupt moesten bewaren en niet gewoon meteen alles resetten met 2FA.

Even serieus, iedereen focust op die geboortedatum maar het echte goud is die combo naam+mail+tel: daarmee kun je SIM-swap/WhatsApp-kaping en “account recovery” bij allerlei shops/banken proberen, en Rituals gaat nu 100% een phishinggolf krijgen met nep “punten vervallen/reset je wachtwoord” links. Als ze een beetje ballen hebben zetten ze meteen forced logout + wachtwoordreset + stop met die marketingkoppelingen, anders blijft de risicopremie voor klanten gewoon skyhigh.

Wederom zo’n “lidmaatschap” dat meer lijkt op een mini-BRP: naam, geboortedatum én telefoon, waarvoor precies… korting op douchegel van €2,50? En let maar op, straks komt er een mailtje met “we nemen privacy serieus” en een tegoedbon van €5, terwijl ze onder de AVG zo €10-€20 per klant aan ellende mogen aftikken als de AP zin heeft. Maar ja, dat budget gaat dan weer naar juristen en PR, niet naar fatsoenlijke beveiliging.

simpel: iedereen roept “phishing”, maar de echte ellende is dat dit soort shops je account vaak “verifiëren” met geboortedatum/telefoon en dan is je identity proof ineens publiek. Rituals moet nu niet alleen mailen maar ook hard killen: alle recovery-flows die op PII leunen eruit, tokens/sessions rotaten, en stop met data eeuwig bewaren “voor personalisatie” — dat is gewoon een liability database met een geurkaars eromheen.

en dan mag de klant het weer zelf uitzoeken hè: bij ons op het spreekuur zitten mensen die ineens “schulden” hebben omdat ze op een nepbericht reageerden of omdat er een nieuw abonnement op hun naam is gezet, en die krijgen daarna van bedrijven/instanties vooral: bewijs maar dat jij het niet was… succes. Rituals kan wel zeggen “alleen gegevens”, maar geef dan ook meteen een fatsoenlijke hulplijn en vergoed die ellende als het misgaat, niet alleen een sorry-mailtje om 23:59.

dat iedereen nu “wachtwoord resetten” roept maar als je mailadres+tel al op straat ligt is je inbox/nummer juist het zwakste recovery-kanaal, dan reset je dus vooral naar de hacker toe… zet bij dit soort shops gewoon passkeys/app-2FA als default en gooi die geboortedatum eruit, anders blijf je als klant elk lek handmatig zitten patchen alsof je de onbetaalde SRE bent van Rituals lol

Iedereen heeft het over geboortedata, maar wat ik mis: wát is er precies “gestolen” volgens Rituals—exfiltratie met logs/forensics of alleen “onbevoegde toegang” en ze gokken wat er bekeken is? En waar is de bron/feitelijke timeline: wanneer ontdekt, wanneer gemeld bij AP, welke systemen (webshop, app, loyalty-provider) en waren die gegevens gehasht/versleuteld of gewoon platte tekst in een CRM? Als je serieus bent zet je een FAQ neer met concrete aantallen per land en een IOC-lijstje voor securitymensen, niet alleen een gezellig persberichtje. Maar wie checkt dat bij dit soort bedrijven eigenlijk, behalve hun eigen PR-afdeling…?

Feit is dat dit soort datalekken niet alleen irritante phishing oplevert, maar ook stress en schaamte bij mensen die er tóch intrappen, die zitten daarna bij huisarts of loket met paniek en slapeloze nachten. Rituals kan nu wel zeggen alleen contactgegevens, maar zet dan ook meteen een duidelijke waarschuwing op de site en in de mail: we vragen nooit om codes, nooit om geld terug te boeken, en fix een fatsoenlijke hulplijn die je niet na 10 minuten wegdrukt. En mensen zelf: zet bij je provider simkaart-pincode/nummerblokkade aan, dat scheelt echt ellende bij sim-swap en whatsapp-kaping.

ja en dan straks krijg je “lieve member, je verjaardagscadeau staat klaar, klik hier” en iedereen trapt d’r weer in omdat Rituals dat dus écht doet met die punten en cadeautjes… ik zeg altijd tegen m’n klanten: ga zélf naar de app/site en klik nooit vanuit zo’n mail/sms, want ik hoorde van een klant dat ze na zo’n ‘cadeau’-link ineens 3 abonnementen had lopen, succes ermee 😑

Joa en dan krijg je straks weer zo’n mailtje met “klik hier om je punten veilig te stellen” en de helft van NL trapt erin omdat ’t precies past bij Rituals-spam die je toch al gewend bent… bedrijven moeten na zo’n lek gewoon ALLE marketingmails pauzeren en alleen nog via de app/inloggen communiceren, anders maak je ’t de oplichters wel héél sjön makkelijk.

Wat mij vooral stoort: je hoort altijd “we hebben het ontdekt en gemeld”, echter nooit concreet wanneer die data precies is buitgemaakt en hoe lang criminelen er al mee rondlopen. En als je dan tóch geboortedata bewaart, geef klanten dan meteen de optie om die te verwijderen en zet marketing/loyalty even op pauze totdat de basis op orde is, daarentegen blijft het nu vaak bij een sorry-mail en mag de klant weer extra alert zijn.

nou ben ik vooral benieuwd hoe lang die troep al rondzwerft voordat ze “woensdag” ineens wakker worden… en gok maar dat je straks aan de balie weer mag uitleggen dat die nep-rituals sms niet van jou was, terwijl zij vrolijk blijven vragen om je tel.nr “voor de service” ja hoor.

altijd dat “loyalty”-gedoe: je levert een halve identiteit in voor wat punten en een verjaardagscadeautje, en zij monetizen die data tot het lekt — en dan is het ineens “jammer” en mag jij de schade dragen, classic. waar is de AP met echte boetes per record en verplicht data-minimalisatie, niet weer een PR-mail met lavendelgeur eroverheen? oh ja want dat zou winst kosten…

wacht ff iedereen doet alsof dit “alleen” phishing is maar met mail tel geboortedatum kan je ook gewoon bij random webshops achteraf betalen accounts aanmaken en dan mag jij daarna met klarna/afterpay gaan discussiëren dat jij die geurkaars nooit besteld hebt bruh

Luister, ik zie nu al in de taxi van die “Rituals klantenservice” belletjes op speaker bij mensen, en dan gaan ze braaf hun code oplezen omdat het zo netjes klinkt. Tip van jansen: als een bedrijf je belt over “punten” of “beveiliging”, meteen ophangen en zélf via de echte site/app inloggen, anders ben je zo je WhatsApp en je bank ook kwijt.

Tsja, al dat “membership” gedoe is gewoon een lokkertje om je gegevens te vissen voor marketing, en dan staan ze raar te kijken als het lekt. Zet die accounts maar opheffen-knop en neem voortaan gewoon een bonnetje mee, op een schip lukt dat al honderd jaar zonder geboortedatum.

Die geboortedatum is ook zo’n marketingding: “verjaardagscadeautje” of extra punten, en wat veel mensen niet weten is dat die datum + naam vaak al genoeg is om bij andere partijen je “identiteitsvragen” te raden. Overigens: zet bij Rituals (en je mail) meteen een alias/plus-adres aan en check je inboxregels, want na zo’n lek gaan scammers niet alleen phishing sturen maar ook stilletjes doorsturen/filters misbruiken zodat je de echte waarschuwingen niet eens ziet.

Ja jong, allemaal leuk met “phishing” maar ge gaat het pas voelen bij die klantenservice: straks belt er iemand met jouw naam en geboortedatum en dan doet zo’n medewerker tóch een adreswijziging of cadeaubon “opnieuw sturen”. Bedrijven moeten eens kappen met dingen regelen op basis van praatjes aan de telefoon, maak da alleen via inloggen met extra check en klaar.

In de praktijk krijg je dan weer zo’n mail met “verander je wachtwoord” en klaar, maar niemand zegt wat je moet doen als je nummer straks ineens voor sms-verificatie gebruikt wordt bij andere clubs. zou fijn zijn als Rituals ook even meldt hoelang die data daar al lag en of je je account gewoon kunt laten verwijderen zonder gedoe, want ik zit niet te wachten op nóg een “ledenprogramma” dat mijn verjaardag nodig heeft voor een bodylotionkorting.

Leuk dat iedereen het over phishing heeft, maar het echte schandaal is dat Rituals dit soort rommel waarschijnlijk gewoon jarenlang bewaart “voor marketing” terwijl de AVG zegt: dataminimalisatie en bewaartermijnen, klaar. Ten eerste wil ik weten of die data ook bij hun externe mail/SMS/loyalty-partners lag (en dus nóg een lekroute), ten tweede: als ze geen concrete bewaartermijn + vernietigingsbeleid kunnen laten zien, mag de AP van mij best even wakker worden, maar ok dat wordt dan weer een “we nemen maatregelen”-pdfje.

Dus Rituals verzamelt geboortedata en telefoonnummers “voor het lidmaatschap” en dan lekt het, en wie mag midden in de nacht z’n inbox en sms weer gaan wantrouwen??? Waar is de compensatie voor de TIJD en stress, en waarom niet standaard gratis credit/identiteitsmonitoring als jullie zo nodig een halve persoonskaart willen opslaan?!?! En dan straks weer zo’n mailtje met “we hebben extra maatregelen genomen” en 10% korting op een bodylotion, en dan?? moet ik dat maar goed vinden??!!

Nou ja, wat mij altijd opvalt, je krijgt dan wéér zo’n mailtje “pas op voor phishing”, maar je hoort nooit of je je puntenkaart/clubkaart ook gewoon kunt opzeggen en dat ze álles echt wissen, zonder gedoe en zonder dat je eerst weer moet inloggen met precies die gestolen gegevens hoor, toch. en ondertussen blijven ze je sms’jes sturen met aanbiedingen, ja joh, lekker handig als je nummer al rondzwerft...

Geboortedatum of niet, het probleem is dat mensen straks op zo’n nep-“Rituals klantenservice” gaan zitten bellen en dan zelf nog even adres/IBAN/ID-gegevens erbij kletsen omdat ze al “kloppen” op naam en mail. En ja, bel je bank/telecom dan maar eens op tijd om dat recht te trekken, dan ben je zo drie middagen verder.

nou ik zal je zeggen, ik heb hier in de salon al 2 klanten gehad die na zo’n “onschuldig” lek ineens van die verjaardag-deals en “punten bijna verlopen” appjes kregen, precies met hun naam erbij, en dan denken ze echt dat het van Rituals is… en Rituals maar janken dat ’t alleen lidmaatschapsdata is, ja mooi, maar zet dan meteen ff in je mail: we bellen NOOIT en we vragen NOOIT om codes, scheelt weer een hoop ellende voor mensen die niet elke dag met IT bezig zijn.

Ach en dan straks krijg je weer zo’n mail “klik hier om je gegevens te checken” en de helft trapt erin, Rituals moet gewoon op de site knallen: we mailen NOOIT links, punt en zet desnoods ff dat hele programma uit tot het dicht is toch

Men vergeet gemakkelijk dat dit soort “lidmaatschappen” vaak aan een externe marketingclub hangen; dan lekt het niet eens bij Rituals zelf, maar ergens in de keten waar niemand meer zicht op heeft. En ja, geboortedatum is vervelend, maar het echte schandaal is dat bedrijven nog steeds denken dat je identiteit een paar losse feitjes is die je overal kunt kopiëren. Benieuwd of ze ook even zeggen hoe lang die data al rondzwerft en wie er allemaal bij kon, of krijgen we weer een vaag mailtje met warme woorden en koude feiten.