De week in Breach-nieuws 23 september 2026

Het e-commerceplatform BigCommerce heeft bevestigd dat er een inbreuk op de toeleveringsketen heeft plaatsgevonden waarbij inloggegevens van de externe app Ribon zijn gestolen; hierdoor zijn meerdere verkopers getroffen.

BigCommerce is een cloudgebaseerd SaaS-e-commerceplatform dat bedrijven gebruiken om webwinkels op te zetten en te beheren zonder dat ze daarvoor een eigen e-commerce-infrastructuur hoeven te ontwikkelen. Het bedrijf bevestigde op 17 september dat er inloggegevens waren gestolen. Het verklaarde dat inloggegevens van de externe applicaties Ribon en Ribon 1.5, die eigendom zijn van en beheerd worden door Be A Part Of (een dochteronderneming van Fastr), waren gestolen en gebruikt om schadelijke scripts in een klein aantal webwinkels van verkopers te injecteren.

De in het Verenigd Koninkrijk gevestigde online drankverkoper Master of Malt behoort tot de klanten van BigCommerce die een melding van een datalek hebben ontvangen. De webwinkel heeft bevestigd dat aanvallers toegang hebben gekregen tot klantgegevens, waaronder volledige namen, e-mailadressen, telefoonnummers en verzendadressen.

Het klantbetrokkenheidsplatform Brevo werd het slachtoffer van een aanval via de toeleveringsketen, waardoor kwaadaardige code in meer dan 100.000 websites werd geïnjecteerd.

Op 10 september maakte een cybercrimineel misbruik van een kwetsbaarheid in de manier waarop Brevo met SAML SSO omgaat om toegang te krijgen tot 138 accounts, waaronder één van Trezor, een aanbieder van opslag voor cryptovaluta. De aanvallers verstuurden phishing-e-mails vanuit zes van de gehackte accounts en exporteerden contactgegevens uit 43 andere accounts. Nadat Brevo de ongeautoriseerde toegang had geblokkeerd, keerden de aanvallers op 14 september terug. Ze gebruikten een gecompromitteerde, lang geldige Cloudflare-API-sleutel om een worker te implementeren die kwaadaardige scripts injecteerde in brevo.com, sibforms.com en drie JavaScript-bestanden die door klanten van Brevo op hun websites waren ingebed.

Volgens berichten is de schadelijke code ongeveer vier uur lang verspreid, waarbij waarschijnlijk meer dan 100.000 websites in die periode zijn getroffen.

Het Amerikaanse advocatenkantoor Greenberg Traurig is voor de federale rechtbank in Manhattan aangeklaagd nadat het een datalek had gemeld waarbij gevoelige persoonlijke gegevens van een aantal van zijn cliënten openbaar waren geworden.

Eerder in augustus bevestigde Greenberg Traurig dat een onbevoegde persoon toegang had gekregen tot een beperkt aantal documenten en deze op het dark web had geplaatst; de betrokken cliënten werden kort daarna op de hoogte gebracht. Het kantoor verklaarde dat zijn systemen niet waren gecompromitteerd of gehackt en dat het zonder onderbrekingen is blijven functioneren. De informatie die bij het datalek betrokken was, omvatte namen, contactgegevens, geboortedata en socialezekerheidsnummers.

Dit incident is de zoveelste ineen groeiende reeks van Amerikaanse advocatenkantoren die de afgelopen maanden het doelwit zijn geworden van cybercriminelen. Vooraanstaande kantoren, waaronder Quinn Emanuel, McDermott, Herbert Smith Freehills Kramer, Goodwin Procter en WilmerHale, hebben de afgelopen tijd allemaal melding gemaakt van datalekken.

Een Japans digitaal bureau heeft bekendgemaakt dat er een datalek heeft plaatsgevonden waarbij de persoonsgegevens van ongeveer 240.000 personen zijn gelekt.

Eind juni hebben hackers toegang gekregen tot bestanden van de Japanse Government Solution Service (GSS) via het account van een medewerker van de afdeling onderhoud en exploitatie. Uit een daaropvolgend onderzoek bleek in juli dat er misbruik was gemaakt van een kwetsbaarheid in een VPN-product om toegang te verkrijgen. De aanvallers hebben meer dan 246.000 records buitgemaakt die namen, adressen, e-mailadressen en telefoonnummers bevatten van gebruikers, overheidsfunctionarissen, administratief personeel en bedrijven en personen die met GSS samenwerken.

Het agentschap heeft niet bekendgemaakt om welk misbruikt VPN-product het ging, maar bevestigde dat het betreffende beveiligingslek al openbaar was gemaakt voordat de aanval werd ontdekt. Het agentschap verklaarde dat het naar aanleiding hiervan zijn werkwijze op het gebied van kwetsbaarheidsbeheer zou aanscherpen.

De Duitse Ludwig-Maximilians-Universiteit München (LMU München) doet onderzoek naar een cyberaanval waarbij een onbekende hacker toegang heeft gekregen tot een systeem met gevoelige studentengegevens.

De LMU München, een van de grootste universiteiten van Duitsland met meer dan 52.000 studenten, maakte op 19 september bekend dat een aanvaller toegang had gekregen tot inschrijvingsgegevens die op een van haar IT-systemen waren opgeslagen. De universiteit verklaarde dat er geen aanwijzingen zijn dat de betreffende gegevens zijn gewijzigd of verwijderd, en dat er tot nu toe geen aanwijzingen zijn dat de gestolen informatie is gepubliceerd of misbruikt.

De mogelijk getroffen gegevens omvatten de namen van studenten, hun geboortedata, contactgegevens, e-mailadressen, bankrekeninggegevens en informatie over hun studierichtingen en eerder behaalde diploma’s.