Azure wordt duurder vanaf februari 2027: wat betekent dit voor jouw organisatie?

door Peter Vos | 7 okt, 2026 | Nieuws | 0 Reacties

Microsoft verhoogt vanaf 1 februari 2027 de prijzen van bepaalde Azure-diensten. Voor getroffen diensten in West Europe bedraagt de regionale verhoging 9%, in North Europe 17%. Daarnaast is een afzonderlijke verhoging aangekondigd voor geselecteerde oudere virtuele servers. Voor IT-verantwoordelijken en directies is dit het moment om de gevolgen voor hun omgeving en begroting in kaart te brengen.

De impact verschilt per organisatie. Welke diensten gebruik je? In welke regio draaien ze? En betaal je naar gebruik of maak je gebruik van langlopende prijsafspraken? Die combinatie bepaalt hoeveel jouw kosten veranderen en welke mogelijkheden er zijn om de stijging te beperken.

Wat verandert er precies aan de Azure pricing?

Azure is het cloudplatform van Microsoft. Organisaties gebruiken het onder meer voor bedrijfsapplicaties, gegevensopslag en virtuele servers. Zo’n virtuele server, ook wel Virtual Machine of VM genoemd, levert rekenkracht en geheugen zonder dat je zelf een fysieke server hoeft aan te schaffen. Voor bepaalde VM- en opslagdiensten zijn de volgende regionale verhogingen aangekondigd:

Microsoft noemt in de gedeelde aankondiging regionale marktomstandigheden, meer consistentie tussen regio’s en investeringen in capaciteit en hardware als redenen voor de aanpassing. De percentages gelden voor specifieke diensten, niet voor de volledige Azure-factuur.

Oudere virtuele servers in Azure worden afzonderlijk duurder

Naast de regionale wijziging is volgens de door Lemontree ontvangen toelichting op Azure Service Health een wereldwijde prijsverhoging van ongeveer 25% aangekondigd voor geselecteerde oudere VM-series, eveneens vanaf 1 februari 2027.

Het gaat onder meer om:

• v1-series: Bv1, D, Ds, F, Fs, G, Gs, Ls, NP en HC.
• v2-series: Av2, Amv2, Dv2, Dsv2, Fsv2 en Lsv2.

Deze namen verwijzen naar verschillende typen en generaties virtuele servers. Voor directies is vooral van belang dat een technisch goed functionerende server financieel minder aantrekkelijk kan worden doordat hij op een oudere generatie draait.

Volgens deze toelichting geldt de wijziging voor Pay-As-You-Go-, Enterprise Agreement- en Microsoft Customer Agreement-tarieven. Daarmee is zij ook relevant voor organisaties die Azure via een CSP-partner afnemen. CSP is het partnerprogramma; een Microsoft Customer Agreement is de bijbehorende klantovereenkomst.

De circa 25% moet niet automatisch worden opgeteld bij de regionale 9% of 17%. De oudere v1- en v2-series staan in de gedeelde regionale melding op de uitzonderingslijst. Ook enkele nieuwste v7-series zijn daarvan uitgezonderd: Dsv7, Ddsv7, Dlsv7, Dldsv7, Esv7 en Edsv7. Voor opslag bestaan eveneens uitzonderingen. Controle van de exacte productvariant — de SKU — blijft daarom noodzakelijk.

Ook bestaande Azure omgevingen kunnen hogere kosten krijgen

Een Azure-omgeving die al jaren draait, behoudt niet vanzelf haar oude tarieven. Bij Pay-As-You-Go, afgekort PAYG, betaal je voor het verbruik tegen de toepasselijke tarieven. Valt een dienst onder de aangekondigde wijziging, dan wordt het verbruik vanaf 1 februari 2027 tegen het nieuwe tarief afgerekend. Dat geldt ook als je niets aan de omgeving verandert.

Voor bestuurders betekent dit dat gelijkblijvend gebruik niet automatisch gelijkblijvende kosten oplevert. De begroting moet daarom rekening houden met zowel tariefwijzigingen als verwachte groei. Hoe de Microsoft-wijzigingen uiteindelijk doorwerken in jouw factuur, hangt daarnaast af van contractafspraken, kortingen en eventuele reserveringen.

Wat betekenen de wijzigingen voor Reserved Instances?

Met een Reserved Instance, of RI, leg je voor een afgesproken looptijd een prijsvoordeel vast voor passend VM-gebruik. Dat kan aantrekkelijk zijn voor servers die structureel nodig zijn.

Bestaande reserveringen behouden hun afgesproken prijs en voordeel tot het einde van de looptijd. Die bescherming geldt voor het gedekte rekenverbruik. Een reservering zet niet automatisch alle kosten vast: opslag en softwarelicenties kunnen bijvoorbeeld afzonderlijk worden afgerekend.

Let vooral op reserveringen die in 2027 aflopen. Zonder passende opvolging kan het gebruik terugvallen op PAYG. Dan kunnen het verdwijnen van de reserveringskorting en een hoger tarief tegelijk doorwerken.

Bovendien zijn sinds 1 juli 2026 bepaalde reserveringen niet meer beschikbaar voor aankoop of verlenging:

• Eenjarige reserveringen voor Av2, Amv2, Bv1, D, Ds, Dv2, Dsv2, F, Fs, Fsv2, G, Gs, Ls en Lsv2.
• Een- en driejarige reserveringen voor Dv3, Dsv3, Ev3 en Esv3.

Bestaande reserveringen blijven geldig tot hun einddatum. Organisaties moeten vóór die datum bepalen of modernisering, een Savings Plan of PAYG de beste vervolgstap is.

Een Savings Plan biedt flexibiliteit, maar geen vaste VM-prijzen

Bij een Savings Plan for compute spreek je af om gedurende één of drie jaar een vast bedrag per uur aan geschikte rekendiensten te besteden. Daartegenover staan lagere gebruikstarieven en flexibiliteit over verschillende diensten en regio’s.

Het afgesproken bedrag per uur blijft gelijk, maar de onderliggende tarieven kunnen veranderen. Daardoor kan dezelfde uitgavenverplichting minder verbruik afdekken. Verbruik boven de dekking wordt tegen de toepasselijke PAYG-tarieven afgerekend.

Een Savings Plan voorkomt een prijsstijging dus niet automatisch. De keuze tussen een reservering en een Savings Plan vraagt om inzicht in het structurele gebruik én in toekomstige veranderingen.

Daarbij verandert ook het omruilbeleid. Vanaf 1 februari 2027 zijn nieuwe reserveringen voor diensten die door Savings Plans worden ondersteund niet meer omruilbaar. Eerder aangeschafte reserveringen behouden onder de toepasselijke voorwaarden nog één laatste omruilmogelijkheid na die datum. Neem dit mee voordat je nieuwe langlopende afspraken maakt.

Is een andere regio of modernere server voordeliger?

Het verschil tussen 9% in West Europe en 17% in North Europe maakt een vergelijking zinvol. Het betekent echter niet dat West Europe voor iedere toepassing goedkoper wordt. De huidige tarieven, beschikbare capaciteit en inrichting van de omgeving kunnen verschillen. Beoordeel daarom de totale kosten, inclusief migratie en dataverkeer. Neem ook prestaties, gegevenslocatie en de inrichting van uitwijk en herstel mee. Een regioverplaatsing moet passen bij de continuïteitseisen van de organisatie.

Bij oudere VM-series kan een overstap naar een modernere generatie eveneens aantrekkelijk zijn. Vergelijk daarvoor de kosten en prestaties, maar controleer ook of applicaties en besturingssystemen geschikt zijn en welke migratie-inspanning nodig is. Daarnaast verdient goede sizing aandacht: rekenkracht en geheugen afstemmen op het werkelijke gebruik. Een server die groter is dan noodzakelijk, kost iedere maand extra. Een tariefwijziging maakt het nog relevanter om die overcapaciteit te onderzoeken.

Beschikbare capaciteit is daarbij een belangrijk aandachtspunt

In West Europe kun je niet vanzelfsprekend op ieder moment nieuwe servers toevoegen of bestaande omgevingen uitbreiden. De beschikbaarheid verschilt per servertype en beschikbaarheidszone: de afzonderlijke datacenterlocaties binnen een regio. Bij onvoldoende capaciteit kan een uitbreiding of migratie vertraging oplopen. Een goedgekeurde gebruikslimiet biedt daarvoor geen garantie; ook Reserved Instances en Savings Plans garanderen op zichzelf geen fysieke capaciteit. Controleer daarom vóór een regiowijziging of de benodigde capaciteit daadwerkelijk beschikbaar is, ook voor toekomstige groei en herstel na een storing. Lemontree kan helpen om alternatieve servertypen, zones of regio’s te beoordelen en waar nodig specifieke capaciteitsreserveringen te onderzoeken. Zo wordt de regiokeuze gebaseerd op zowel kosten als de uitvoerbaarheid en continuïteit van jouw omgeving.

Wat kun je nu al doen?

Om de impact op jouw organisatie in te schatten zijn vijf acties relevant:

1. Inventariseer de getroffen diensten. Controleer VM-series, opslagvarianten, regio’s en de meldingen in Azure Service Health.
2. Maak de betaalmodellen zichtbaar. Welk gebruik is PAYG, welk deel valt onder reserveringen en welk deel onder Savings Plans?
3. Controleer aflopende afspraken. Bekijk einddatums, benutting en beschikbare verlengmogelijkheden.
4. Vergelijk optimalisaties. Onderzoek rightsizing, modernisering en regiokeuzes, inclusief de kosten en gevolgen van veranderingen.
5. Actualiseer de begroting en offertes. Neem de wijzigingen mee in nieuwe Azure-calculaties, verlengingen en architectuurkeuzes.

Dit past binnen FinOps: IT, finance en de business werken samen om cloudgebruik en kosten te begrijpen en te beheersen. Door de wijzigingen mee te nemen in periodieke reviews ontstaat tijd om keuzes te onderbouwen en verbeteringen uit te voeren.

Lemontree helpt je graag om de impact te bepalen

Wil je weten wat de Azure-prijswijzigingen betekenen voor jouw organisatie? Lemontree helpt je graag om afgenomen Azure-diensten, bestaande prijsafspraken en mogelijke optimalisaties in kaart te brengen. Zo krijg je inzicht in de verwachte financiële gevolgen en kun je tijdig beslissen over capaciteit, modernisering en de keuze tussen Reserved Instances en Savings Plans.

Vul het formulier in of neem contact op met Lemontree. Samen bekijken we hoe jouw Azure-omgeving en begroting voorbereid kunnen worden op 1 februari 2027.

Jaren samen in de strijd tegen ALS

door Peter Vos | 11 sep, 2026 | Nieuws | 0 Reacties

Vandaag mochten we bij Lemontree een bijzondere gast ontvangen: Limore Noach, directeur van Stichting ALS Nederland. Zij kwam langs om ons het jaarlijkse puzzelstuk te overhandigen. Dit betekenisvolle kunstwerk staat symbool voor de grote puzzel rond ALS, waarvan onderzoekers steeds meer stukjes op hun plaats proberen te leggen.

Wanneer de oorzaak van ALS wordt gevonden en er een effectieve behandeling of oplossing voor de ziekte komt, is het de bedoeling dat alle puzzelstukken samenkomen op het Malieveld. Tot dat moment herinnert ieder afzonderlijk puzzelstuk ons eraan dat de strijd tegen ALS nog niet voorbij is en dat samenwerking hard nodig blijft.

Een bronzen puzzel voor langdurig partnership

Dit bezoek kreeg voor Lemontree dit jaar een extra bijzonder tintje. Naast het jaarlijkse puzzelstuk ontvingen we een prachtige bronzen puzzel, omdat we langdurig (sinds 2014) businesspartner zijn van Stichting ALS Nederland.

Een jubileum waar we oprecht trots op zijn. Niet alleen vanwege de duur van onze samenwerking, maar vooral vanwege de organisatie waarmee we mogen samenwerken en het doel waaraan we op deze manier een bijdrage kunnen leveren.

Lemontree verzorgt de ICT voor Stichting ALS Nederland. Een betrouwbare, veilige en goed functionerende ICT-omgeving is belangrijk voor iedere organisatie, maar krijgt nog meer betekenis wanneer deze omgeving mensen ondersteunt die zich iedere dag inzetten voor patiënten en hun naasten. Goede ICT zorgt ervoor dat medewerkers zich zoveel mogelijk kunnen richten op wat er werkelijk toe doet: aandacht vragen voor ALS, fondsen werven en wetenschappelijk onderzoek mogelijk maken.

Onze betrokkenheid gaat dan ook verder dan die van ICT-partner alleen. Lemontree is tevens trots ambassadeur van Stichting ALS Nederland. We voelen ons nauw verbonden met haar missie: samen werken aan een toekomst waarin ALS geen dodelijke ziekte meer hoeft te zijn.

Onderzoek brengt steeds meer puzzelstukken samen

Tijdens haar bezoek gaf Limore ons ook een update over de ontwikkelingen binnen het ALS-onderzoek. Onderzoekers komen stap voor stap dichter bij een beter begrip van de mogelijke oorzaken en mechanismen achter de ziekte.

Nederland speelt hierin een belangrijke rol. Het DNA-onderzoek naar ALS staat in ons land op een hoog niveau en levert waardevolle inzichten op. Iedere nieuwe ontdekking kan weer een volgend puzzelstuk vormen in het begrijpen van deze complexe ziekte.

Hoewel er nog veel onderzoek nodig is, geven de voortgang en de internationale positie van het Nederlandse onderzoek reden voor hoop. Meer kennis over genetische factoren en het ontstaan van ALS kan uiteindelijk bijdragen aan eerdere herkenning, betere behandelingen en hopelijk een oplossing voor de ziekte.

Samen blijven we de puzzel leggen

De bronzen puzzel krijgt een mooie en zichtbare plek binnen Lemontree. Als herinnering aan tien jaar waardevolle samenwerking, maar vooral als symbool voor de gezamenlijke opdracht die nog voor ons ligt.

We zijn Limore en Stichting ALS Nederland dankbaar voor deze bijzondere erkenning. Ook de komende jaren blijven we ons als ICT-partner, businesspartner en ambassadeur graag inzetten voor de stichting en haar missie.

Want ieder puzzelstuk telt. En uiteindelijk hopen we allemaal op dat ene bijzondere moment waarop de complete puzzel op het Malieveld kan worden gelegd.

Investeer in cyberweerbaarheid en ontvang tot € 1.250 subsidie

door Peter Vos | 3 sep, 2026 | Nieuws | 0 Reacties

Cybercriminelen richten zich allang niet meer alleen op grote organisaties. Juist kleinere ondernemingen zijn een aantrekkelijk doelwit, terwijl het budget om de beveiliging te verbeteren vaak beperkt is. De subsidieregeling Mijn Cyberweerbare Zaak helpt ondernemers om juist nu die volgende stap te zetten.

De regeling is bedoeld voor zzp’ers en ondernemingen met maximaal 50 medewerkers en een jaaromzet van minder dan € 10 miljoen. Zij kunnen 50% van de subsidiabele aanschaf- en implementatiekosten vergoed krijgen, tot maximaal € 1.250. De subsidiabele kosten moeten ten minste € 400 bedragen.

Van cyber awareness tot technische beveiliging

Een goede cyberbeveiliging bestaat uit meer dan antivirussoftware of een firewall. Techniek is belangrijk, maar ook medewerkers spelen een grote rol. Een overtuigende phishingmail, een onveilig wachtwoord of een verkeerd gedeeld bestand kan immers voldoende zijn om een aanvaller toegang te geven.

Daarom vallen cyber awareness-trainingen onder de regeling. Met een structureel awarenessprogramma leren medewerkers phishing, social engineering en andere digitale risico’s herkennen. Door training te combineren met realistische phishing-simulaties ontstaat niet alleen meer kennis, maar vooral veiliger gedrag in de dagelijkse praktijk.

Naast cyber awareness komen ook andere maatregelen voor subsidie in aanmerking, waaronder:

• veilige netwerktoegang en wifi;
• wachtwoordmanagers;
• tweefactorauthenticatie en multifactorauthenticatie;
• structureel patchmanagement;
• antivirussoftware;
• het instellen en testen van back-ups;
• een risico-inventarisatie en -evaluatie.

Security werkt het beste als alles samenkomt

Een afzonderlijke beveiligingsmaatregel kan een goed begin zijn, maar echte cyberweerbaarheid ontstaat wanneer techniek, processen en menselijk gedrag op elkaar aansluiten. Lemontree beschikt daarom over een breed en geïntegreerd beheerportfolio voor security.

We helpen organisaties onder andere met cyber awareness, veilige toegang, structureel patchmanagement, back-up, endpointbeveiliging, monitoring en Managed Detection & Response. Zo kijken we niet alleen naar één product, maar naar de samenhang tussen preventie, detectie en herstel. Samen bepalen we welke maatregelen al goed zijn ingericht, waar nog risico’s bestaan en welke verbetering het meeste effect heeft.

Aanvragen vanaf 7 september 2026

De regeling opent op 7 september 2026 om 09.00 uur en sluit op 30 november 2026 om 17.00 uur. Er is in totaal € 1 miljoen beschikbaar. De maatregelen moeten na 7 september zijn aangeschaft, ingevoerd én volledig betaald. Vervolgens kan de aanvraag bij RVO worden ingediend.

Vooraf moet de CyberVeilig Check van het Nationaal Cyber Security Centrum worden ingevuld. Het bijbehorende advies moet als pdf bij de subsidieaanvraag worden gevoegd. Ook zijn gespecificeerde facturen en bankafschriften nodig. Omdat het budget beperkt is, is het verstandig om niet te lang te wachten.

Let op: niet iedere securitydienst valt automatisch onder de subsidie. Bestaande abonnementen, algemene IT-abonnementen zoals Microsoft 365 Premium en maatregelen voor websites, webshops en cloudwerkplekken zijn bijvoorbeeld uitgesloten. Ook kan geen subsidie worden aangevraagd voor een maatregelencategorie waarvoor de onderneming tijdens een eerdere MCZ-openstelling al subsidie heeft ontvangen.

Wilt u weten welke verbetering uw organisatie kan doorvoeren en welke onderdelen mogelijk voor subsidie in aanmerking komen? Neem dan contact op met Lemontree. We brengen graag samen de mogelijkheden in kaart.

Bekijk alle voorwaarden van Mijn Cyberweerbare Zaak bij RVO

5 Nederlandse merken, één datalek.

door Peter Vos | 10 aug, 2026 | Nieuws | 0 Reacties

Hoe een aanval op CEVA Logistics klantgegevens van Bol, Bijenkorf, ING, Ajax en Ace & Tate raakte

Bol, de Bijenkorf, ING, Ajax en Ace & Tate waarschuwen klanten voor een datalek. Op het eerste gezicht lijken het vijf afzonderlijke beveiligingsincidenten. In werkelijkheid leiden de sporen naar dezelfde plek: logistiek dienstverlener CEVA Logistics. De aanval laat zien hoe kwetsbaar organisaties kunnen worden via partijen aan wie zij klantgegevens toevertrouwen.

Begin augustus 2026 ontvingen klanten van verschillende bekende Nederlandse organisaties een verontrustend bericht. Persoonsgegevens die zij aan Bol, de Bijenkorf, ING, Ajax of Ace & Tate hadden verstrekt, waren mogelijk in handen van cybercriminelen gekomen.

Opvallend is dat de eigen IT-systemen van deze organisaties voor zover nu bekend niet de primaire bron van het lek waren.

De gemeenschappelijke factor is CEVA Logistics, een van ’s werelds grootste logistieke dienstverleners. CEVA verzorgt onder meer fulfilment, opslag en distributie voor andere bedrijven. Om een bestelling bij de juiste consument te kunnen afleveren, krijgt zo’n logistieke partner noodzakelijkerwijs persoonsgegevens aangeleverd.

En juist daar ging het mis.

Wat gebeurde er?

CEVA Logistics werd rond 1 augustus 2026 getroffen door een cyberaanval. Volgens berichtgeving van RTL Nieuws werden daarbij daadwerkelijk gegevens buitgemaakt en gingen systemen offline. De aanval trof acht Europese distributiecentra.

Wat voor aanval het precies was, is nog niet bekendgemaakt. CEVA heeft vooralsnog niet publiekelijk toegelicht via welke technische kwetsbaarheid of aanvalsmethode de criminelen zijn binnengekomen. Ook is niet bevestigd of er ransomware is gebruikt of losgeld is geëist.

Dat onderscheid is belangrijk. Er kan inmiddels worden gesproken over buitgemaakte gegevens, maar uitspraken over bijvoorbeeld phishing, gestolen wachtwoorden, een kwetsbaarheid in software of ransomware als oorspronkelijke toegangsmethode zouden op dit moment speculatie zijn.

De gevolgen van de aanval werden in de dagen daarna steeds duidelijker.

De tijdlijn

1 augustus 2026 – CEVA ontdekt de cyberaanval

CEVA wordt slachtoffer van een cyberaanval waarbij gegevens worden buitgemaakt en systemen offline raken. Acht Europese distributiecentra worden geraakt.

Bol verklaart later dat het op 1 augustus door CEVA is geïnformeerd over een mogelijk datalek.

3 augustus – melding bij de Autoriteit Persoonsgegevens

Het incident wordt gemeld bij de Autoriteit Persoonsgegevens. Onder de AVG moeten organisaties een datalek melden wanneer dit waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokken personen.

5 augustus – Bol en de Bijenkorf waarschuwen klanten

Bol en de Bijenkorf informeren klanten dat een beveiligingsincident bij hun logistieke partner mogelijk gevolgen heeft gehad voor persoonsgegevens.

Bij Bol gaat het volgens de beschikbare informatie alleen om gegevens die verband houden met recente bestellingen die vanuit een getroffen distributiecentrum werden verwerkt. Hoeveel klanten precies zijn getroffen, is nog niet bekend.

Ook de Bijenkorf waarschuwt klanten. Het bedrijf kan niet uitsluiten dat onder meer namen, contactgegevens en informatie over onlinebestellingen in verkeerde handen zijn gekomen.

De aanval heeft daarnaast een operationeel gevolg. Bestellingen, retouren en terugbetalingen kunnen vertraging oplopen.

6 augustus – duidelijk wordt dat meer organisaties zijn getroffen

Onderzoek van RTL Nieuws maakt duidelijk dat de impact verder reikt dan Bol en de Bijenkorf.

Ook gegevens die CEVA verwerkte voor ING, Ajax en Ace & Tate blijken door het incident te kunnen zijn geraakt.

Daarmee verandert het beeld van een incident bij twee webwinkels in een omvangrijk supply-chain-datalek waarbij één dienstverlener gegevens van klanten van meerdere bekende organisaties verwerkt.

7 augustus en daarna – klanten worden verder geïnformeerd

Ajax en Ace & Tate informeren eveneens betrokken klanten. ING brengt klanten op de hoogte die via het spaarprogramma ING Punten fysieke producten hebben besteld.

Dat laatste is een belangrijk detail: het betekent niet dat de financiële systemen van ING zijn gehackt of dat alle ING-klanten slachtoffer zijn.

Het gaat om persoonsgegevens die nodig waren voor het fysiek afleveren van producten.

Welke gegevens zijn buitgemaakt?

Niet iedere getroffen organisatie deelde exact dezelfde gegevens met CEVA. De datasets verschillen dus per bedrijf en bestelling.

Voor zover nu bekend gaat het vooral om:

• naam;
• woon- en afleveradres;
• postcode en woonplaats;
• e-mailadres;
• telefoonnummer;
• gegevens over bestelde producten;
• informatie rond levering en track & trace;
• en in bepaalde gevallen gegevens van zakelijke klanten, zoals een btw-nummer.

Met name die combinatie maakt het incident relevant.

Een los e-mailadres is vervelend. Maar een dataset waarin naam + e-mailadres + telefoonnummer + adres + leverancier + recente bestelling gecombineerd worden, is veel interessanter voor criminelen.

Volgens RTL Nieuws zijn er geen aanwijzingen dat bij Bol en de Bijenkorf wachtwoorden, inloggegevens of betaalgegevens onderdeel van dit incident zijn. ING benadrukt eveneens dat geen betaalgegevens, spaargelden, financiële gegevens of inloggegevens zijn buitgemaakt.

Dat betekent dat consumenten niet ineens via dit datalek rechtstreeks toegang tot hun bankrekening of Bol-account hoeven te vrezen.

Maar daarmee is het risico niet verdwenen.

Bol: recente klanten via een getroffen distributiecentrum

Bij Bol lijkt de groep slachtoffers te bestaan uit klanten van wie recente bestellingen via het getroffen CEVA-distributiecentrum zijn verwerkt.

Daarbij kunnen naam, adres- en contactgegevens en informatie over bestellingen zijn betrokken.

Bol maakt al jarenlang intensief gebruik van CEVA. De logistieke dienstverlener verzorgt onder andere activiteiten in distributie- en retourcentra.

Bol zegt dat zijn eigen systemen niet door deze aanval zijn getroffen.

De Bijenkorf: contact- én bestelgegevens

Ook de Bijenkorf maakt voor logistieke processen gebruik van CEVA.

Het warenhuis sluit niet uit dat namen, contactgegevens en gegevens over onlinebestellingen zijn buitgemaakt. Daarnaast leidde de aanval tot verstoringen in de logistieke verwerking.

Voor consumenten betekent dat behalve een privacyrisico ook een praktisch probleem: bestellingen, retouren en terugbetalingen kunnen vertraging oplopen.

ING: geen bankgegevens, maar gegevens van ING Punten

De naam ING maakt een datalek onmiddellijk alarmerend, maar hier is nuance essentieel.

Voor zover bekend zijn geen bankrekeningen, saldi, betaalgegevens, financiële gegevens, wachtwoorden of inloggegevens buitgemaakt.

CEVA verzorgt logistiek voor fysieke artikelen die klanten via het loyaliteitsprogramma ING Punten bestellen. Denk bijvoorbeeld aan een koffer, barbecue of ander product dat thuis moet worden bezorgd.

De getroffen dataset heeft daarom betrekking op klanten die zo’n fysiek artikel hebben laten afleveren.

Dat criminelen kunnen weten dat iemand klant is van ING blijft echter relevant. Die kennis kan worden gebruikt om een geloofwaardiger phishingbericht op te stellen.

Ajax: webshopklanten

Ook Ajax gebruikt CEVA als logistieke partner. Daardoor kunnen persoonsgegevens van klanten van de Ajax-webshop zijn geraakt.

Hierbij is het belangrijk om dit incident niet te verwarren met het eerdere, afzonderlijke datalek bij Ajax in maart 2026.

Bij dat eerdere incident kreeg een hacker rechtstreeks ongeautoriseerde toegang tot delen van de Ajax-systemen. Daarbij werden onder andere e-mailadressen ingezien en bij een kleine groep mensen met een stadionverbod ook namen en geboortedata. Later bleek bovendien dat gegevens van ongeveer 400 tickethouders waren ingezien.

Het CEVA-incident van augustus staat daar los van: daarbij ligt de oorsprong bij de logistieke partner en gaat het om gegevens die nodig zijn voor de verwerking van webshopbestellingen.

Ace & Tate: eveneens getroffen via CEVA

Ook brillenmerk Ace & Tate blijkt CEVA te gebruiken voor logistieke dienstverlening en waarschuwde klanten voor mogelijke blootstelling van persoonsgegevens.

Ook hier is de logistieke keten de verbindende factor. Klantgegevens die nodig zijn om producten te verwerken en bezorgen, komen terecht in systemen buiten de eigen omgeving van de webwinkel.

Ace & Tate waarschuwde daarnaast dat lopende bestellingen vertraging kunnen oplopen.

Hoe zijn de gegevens precies gestolen?

Dat is een van de belangrijkste vragen waarop nog geen definitief openbaar antwoord bestaat.

Bekend is dat CEVA door een cyberaanval is getroffen, dat systemen offline zijn gegaan en dat gegevens zijn buitgemaakt.

De initiële aanvalsmethode is echter nog niet publiek bevestigd.

Het is daarom op dit moment niet verantwoord om te stellen dat een medewerker op een phishingmail heeft geklikt, dat criminelen via een gestolen account binnenkwamen, dat er een softwarekwetsbaarheid werd misbruikt of dat sprake was van ransomware.

Dat zijn allemaal realistische aanvalsscenario’s, maar zonder forensische bevestiging blijven het scenario’s.

Wel illustreert het incident een bekend cybersecurityprobleem: organisaties beveiligen niet alleen hun eigen systemen. Hun beveiliging is mede afhankelijk van de leveranciers waarmee zij gegevens delen.

Het echte gevaar: zeer geloofwaardige phishing

Het grootste directe risico voor consumenten is waarschijnlijk niet dat iemand met deze dataset direct hun bankrekening kan leeghalen.

Het gevaar zit in gerichte phishing en social engineering.

Een crimineel die alleen een willekeurig e-mailadres bezit, moet gokken.

Een crimineel die weet:

• hoe iemand heet;
• waar iemand woont;
• wat het telefoonnummer is;
• bij welke winkel die persoon klant is;
• en mogelijk zelfs welk product recent is besteld,

kan een aanzienlijk overtuigender verhaal maken.

Een slachtoffer kan bijvoorbeeld een sms ontvangen die eruitziet alsof deze van een pakketbezorger komt:

“Uw bestelling van [winkel] kan niet worden bezorgd. Controleer uw adres en betaal €1,49 verzendkosten.”

Of een e-mail die lijkt te verwijzen naar precies het datalek:

“Vanwege het recente beveiligingsincident vragen wij u uw account opnieuw te verifiëren.”

Juist dat laatste scenario is verraderlijk. Criminelen kunnen het nieuws over het datalek zelf gebruiken als aanleiding voor een phishingaanval.

De Autoriteit Persoonsgegevens waarschuwde recent bovendien dat AI dit probleem groter maakt. Gegevens uit eerdere datalekken kunnen worden gebruikt om op grote schaal steeds overtuigender gepersonaliseerde phishingberichten te produceren.

Moet je nu je wachtwoord veranderen?

Niet automatisch vanwege dit specifieke incident.

Als de mededeling van de getroffen organisatie aangeeft dat geen wachtwoorden of inloggegevens zijn gelekt, voorkomt het wijzigen van je Bol-, Bijenkorf- of ING-wachtwoord niet dat criminelen de reeds gestolen naam-, adres- of bestelgegevens kunnen misbruiken.

Een wachtwoord veranderen is wél noodzakelijk wanneer een wachtwoord daadwerkelijk onderdeel van een datalek is, of wanneer er aanwijzingen zijn dat een account is overgenomen.

Los daarvan blijft het verstandig om voor iedere belangrijke dienst een uniek wachtwoord te gebruiken en waar mogelijk multifactorauthenticatie in te schakelen.

Wat moeten consumenten nu doen?

Wie van Bol, de Bijenkorf, ING, Ajax of Ace & Tate bericht heeft gekregen, doet er vooral goed aan de komende maanden extra kritisch naar e-mails, sms’jes, telefoontjes en WhatsApp-berichten te kijken.

Klik niet vanuit een ontvangen bericht op een link om een bestelling, betaling of account te controleren. Open in plaats daarvan zelf de officiële app of typ het bekende webadres in de browser.

Wees extra wantrouwig wanneer iemand informatie over een echte bestelling gebruikt om vertrouwen te winnen. Het feit dat een afzender je naam, adres, telefoonnummer of recente aankoop kent, bewijst na dit incident nadrukkelijk niet meer dat die afzender daadwerkelijk Bol, ING, Ajax of een andere betrokken organisatie vertegenwoordigt.

Geef nooit een pincode, wachtwoord of verificatiecode door. Een bank zal daar niet telefonisch, per mail of via een chatbericht om vragen.

En controleer financiële transacties wanneer je vermoedt dat je op een phishingbericht hebt gereageerd.

Wat moeten bedrijven hiervan leren?

Voor organisaties zit misschien wel de belangrijkste les niet in CEVA zelf, maar in de vraag:

Wie heeft onze klantdata eigenlijk allemaal?

Organisaties besteden steeds meer processen uit. Cloudsoftware, salarisadministratie, marketing, klantenservice, fulfilment, transport en IT-beheer kunnen allemaal betekenen dat persoonsgegevens buiten de eigen technische omgeving worden verwerkt.

Daardoor ontstaat een keten van afhankelijkheden.

Een organisatie kan zijn eigen Microsoft 365-omgeving, endpoints en datacenter uitstekend beveiligen en tóch een ernstig datalek krijgen doordat een leverancier wordt gehackt.

Leveranciersmanagement moet daarom ook cybersecuritymanagement zijn.

Organisaties zouden minimaal moeten weten welke leveranciers persoonsgegevens verwerken, welke gegevens dat precies zijn, hoe lang die worden bewaard, welke beveiligingsmaatregelen gelden en welke subleveranciers opnieuw toegang krijgen.

Ook dataminimalisatie is cruciaal: gegevens die een leverancier niet heeft, kunnen daar ook niet worden gestolen.

Daarnaast moeten organisaties vooraf afspraken maken over incidentrespons. Wie waarschuwt wie? Binnen hoeveel uur? Wie doet forensisch onderzoek? Welke logging is beschikbaar? Hoe wordt bepaald welke klanten zijn getroffen? En hoe worden klanten geïnformeerd?

De Autoriteit Persoonsgegevens adviseert organisaties bij een datalek onmiddellijk overzicht te creëren, het lek te stoppen en de schade te beperken, de risico’s te beoordelen, te bepalen of melding aan de AP en betrokkenen noodzakelijk is en het incident vast te leggen in het interne datalekregister.

Medewerkers trainen tegen steeds slimmere phishing

Technische beveiligingsmaatregelen alleen zijn niet voldoende wanneer criminelen gestolen persoonsgegevens gebruiken om medewerkers met zeer geloofwaardige phishingberichten te benaderen. Organisaties kunnen daarom ook investeren in het structureel verhogen van de digitale weerbaarheid van hun personeel. Lemontree – Masters in ICT biedt hiervoor cybersecuritytraining voor eindgebruikers, waarbij medewerkers met onder meer AI-gestuurde phishingsimulaties, interactieve microlearnings en actuele dreigingswaarschuwingen leren om verdachte berichten te herkennen en correct te rapporteren. Wanneer een medewerker tijdens een simulatie toch op een phishingbericht klikt, kan direct een kort leermoment volgen waarin wordt uitgelegd welke signalen gemist zijn. Zo wordt security awareness geen eenmalige jaarlijkse training, maar een doorlopend proces waarmee organisaties het menselijk risico beter inzichtelijk kunnen maken en verkleinen.

Eén aanval, vijf bekende namen

Het incident bij CEVA laat vooral zien dat de klassieke vraag “is bedrijf X goed beveiligd?” steeds minder volstaat.

De relevante vraag wordt:

“Is de hele keten waarin mijn gegevens terechtkomen goed beveiligd?”

Een consument bestelt iets bij een webwinkel en geeft daar zijn persoonsgegevens af. Achter de schermen kunnen die gegevens vervolgens worden verwerkt door fulfilmentbedrijven, logistieke dienstverleners, softwareleveranciers en vervoerders.

Voor de consument blijft het één bestelling. Voor een aanvaller is het een keten met meerdere potentiële ingangen. En soms hoeft een cybercrimineel niet vijf grote Nederlandse organisaties afzonderlijk aan te vallen. Eén strategisch gekozen leverancier is genoeg.

Bronnen en verantwoording

Dit artikel is gebaseerd op informatie die op 10 augustus 2026 publiek beschikbaar is. Belangrijke bronnen zijn berichtgeving en onderzoek van RTL Nieuws over de CEVA-aanval, communicatie van de getroffen organisaties, informatie van Ajax over het afzonderlijke datalek van maart 2026, openbare informatie over de samenwerking tussen Bol en CEVA en richtlijnen en waarschuwingen van de Autoriteit Persoonsgegevens.

De omvang van het CEVA-incident wordt nog onderzocht. Het exacte aantal getroffen personen en de precieze technische aanvalsmethode zijn op het moment van schrijven niet publiek bevestigd. Nieuwe forensische informatie kan het beeld daarom nog veranderen.