De online fashion retailer Revolve datalek heeft volgens het bedrijf veel grotere gevolgen dan eerder publiek werd gedeeld. In een melding aan de Indiana Attorney General’s Office stelt Revolve dat 1.515.073 personen zijn geraakt door het incident dat het in oktober bekendmaakte.
Revolve lichtte de omvang toe in een registratie bij de Amerikaanse Securities and Exchange Commission (SEC). Rond dezelfde periode werden ook brieven gestuurd naar klanten waarvan vermoed werd dat hun gegevens mogelijk betrokken waren.
Hoe groot is het Revolve datalek?
De melding komt neer op precies 1.515.073 betrokkenen. Eerder had Revolve geen totaal aantal publiek gedeeld. In kennisgevingen aan toezichthouders in onder meer Iowa, Massachusetts, South Carolina, Texas en Vermont werden samen ongeveer 197.000 mensen genoemd.
Dat verschil laat zien dat het bedrijf aanvankelijk vooral regionaal rapporteerde, terwijl de latere SEC-melding het totale bereik probeert te verduidelijken.
Wanneer begon het incident en wanneer werd het ontdekt?
Volgens Revolve werd op 11 september een ongeautoriseerde partij toegang verkregen tot een deel van de systemen. Daarbij noemt het bedrijf ook de e-commerceplatform als één van de betrokken omgevingen.
De eerste signalering lijkt later te zijn gekomen: Revolve geeft aan dat het op 29 september op de hoogte is geraakt van de inbraak, zoals ook terug te vinden is in de administratie van de Indiana Attorney General.
Welke gegevens zijn volgens Revolve geraakt?
Revolve stelt dat de aanvaller mogelijk “automated means” gebruikte om gegevens te verzamelen. Daarbij ging het om persoonsgegevens zoals namen en contactinformatie, inclusief mailing addresses.
Daarnaast beschrijft het bedrijf dat ook kaartnummers en de vervaldata zijn verzameld. De blootstelling is volgens Revolve echter niet voor alle klanten gelijk: het gaat alleen om shoppers die kozen om een betaalmethode op te slaan binnen hun online account.
Waarom alleen klanten met opgeslagen betaalgegevens?
Deze afbakening is belangrijk. Revolve koppelt de impact aan de functionaliteit waarbij betaalgegevens in het account worden bewaard. Daardoor is de kans groter dat alleen een specifieke groep klanten daadwerkelijk materiaal kon bevatten dat door de aanvaller is opgehaald.
Voor betrokkenen betekent dit in de praktijk dat het vooral zin heeft om extra alert te zijn wanneer zij in hun account eerder een betaalmethode hebben laten opslaan. Tegelijk blijft het verstandig om ook andere signalen te volgen, zoals ongebruikelijke transacties of berichten van de bank of kaartuitgever.
Wat weet Revolve nog niet?
Een opvallend punt in de melding is dat Revolve nog geen uitleg heeft gegeven over de exacte route waarlangs hackers de systemen binnenkwamen. Het bedrijf zegt wel dat het de aanval heeft gemeld bij federale wetshandhavingsinstanties en dat het externe cybersecurity-experts heeft ingeschakeld om met de respons te helpen.
Ook is er volgens de informatie geen claim van een hackergroep bekendgemaakt in het publieke domein.
Vergelijkbare datalekken: dit zie je vaker
Het patroon rond het Revolve datalek—inbraak via online infrastructuur, geautomatiseerde dataverzameling en meldingen aan toezichthouders—past bij trends die we vaker zien bij incidenten in de detailhandel en e-commerce. Als je wilt vergelijken hoe de gevolgen en communicatie kunnen verschillen, zijn er ook andere recente voorbeelden op de site.
