Je betalingssysteem gedraagt zich vreemd, maar in je eigen code is niets veranderd. Of klanten melden phishing-mails die uit jouw domeinnaam lijken te komen, terwijl jij niets hebt verstuurd. Je hebt je eigen systemen keurig bijgehouden, en toch klopt er iets niet.
In veel van dit soort gevallen zit het probleem niet bij jou, maar bij een externe partij die je vertrouwt: een reviewwidget, een chatplugin, een retourportal. Dat is precies wat een supply chain-aanval inhoudt. Aanvallers richten zich niet op jouw webshop, maar op de software of diensten die jouw webshop gebruikt. Wij zien bij Entrepreneuronline.nl dat dit risico bij veel ondernemers nog nauwelijks op de radar staat, en dat maakt het extra gevaarlijk.
Herkennen dat het probleem van buiten komt
Een supply chain aanval is lastig te detecteren omdat jij zelf niets fout hebt gedaan. Toch zijn er drie concrete signalen die erop wijzen dat een externe koppeling de zwakke schakel is.
- Onverklaarbare datalekmelding: klanten melden dat hun e-mailadres of bestelnummer opduikt in een phishing-campagne, terwijl jij geen inbraak in je eigen systemen kunt traceren.
- Vreemde betalingsonderbrekingen: betalingen mislukken of worden omgeleid zonder dat je betaalprovider een storing meldt. Dit kan een signaal zijn dat er een script actief is dat betalingsgegevens onderschept.
- Phishing-mails vanuit jouw domeinnaam: ontvangers zien jouw afzenderadres, maar de mail komt niet van jou. Dit kan duiden op misbruik van gegevens die via een externe partij zijn buitgemaakt.
Herken je één of meer van deze signalen? Dan is het tijd om je leveranciersketen systematisch door te lichten.
Stap 1: Breng je externe koppelingen in kaart
Begin met een eerlijke inventarisatie. Welke externe partijen raken jouw webshop aan? Denk verder dan alleen je hostingprovider. Maak een lijst van alle koppelingen, hoe klein of vanzelfsprekend ze ook lijken.
Categorieën om langs te gaan: betaalproviders (zoals Mollie, Stripe of Adyen), reviewplatformen (Kiyoh, Trustpilot-widget), retourportals, chatwidgets, affiliate-trackingscripts, nieuwsbrieftools, logistieke API’s van vervoerders en externe klantenserviceplatformen. Noteer per koppeling wat voor soort toegang die partij heeft tot jouw winkelomgeving.
Stap 2: Bepaal het risiconiveau per koppeling
Niet elke koppeling is even risicovol. Gebruik dit eenvoudige drie-criteria-model om elke leverancier te scoren, ook zonder technische kennis.
Vraag jezelf per koppeling af:
- Heeft deze partij toegang tot klantdata (namen, adressen, e-mailadressen)?
- Heeft deze partij contact met betalingsverkeer of financiële gegevens?
- Kan deze partij code laden op jouw storefront, zichtbaar voor klanten?
Scoort een leverancier op twee of drie van deze criteria, dan is het risico hoog. Een affiliate-trackingscript dat rechtstreeks in je checkout-pagina laadt en klantgedrag registreert, valt daar snel onder. Een logistieke API die alleen orderstatus opvraagt na de betaling, is beduidend minder risicovol.
Stap 3: Stel gerichte vragen aan je leveranciers
Wij van Entrepreneuronline.nl adviseren je om niet te wachten tot er iets misgaat. Stuur vandaag nog een e-mail naar je hoog-risico leveranciers met de volgende vragen.
- Beschikt u over een ISO 27001-certificering of vergelijkbaar beveiligingskeurmerk?
- Hoe vaak voert u externe penetratietests uit en kunt u het meest recente rapport beschikbaar stellen?
- Welke beveiligingsmaatregelen beschermen de code die u in mijn storefront laadt?
- Hoe snel meldt u een datalek of beveiligingsincident aan ons?
- Welke subverwerkers of externe partijen schakelt u in voor de dienst die u aan ons levert?
- Hoe worden software-updates en patches beheerd en getest voor uitrol?
- Welke toegangscontroles beschermen onze klantdata bij u?
- Heeft u de afgelopen twee jaar een beveiligingsincident gehad dat klantdata heeft geraakt?
- Biedt u een verwerkersovereenkomst aan conform de AVG?
- Hoe kunnen wij de koppeling snel en volledig uitschakelen als dat nodig is?
Let op rode vlaggen in de antwoorden: vage formuleringen zoals “wij doen er alles aan om veiligheid te garanderen”, het ontbreken van concrete certificeringen, of het niet kunnen benoemen van een incidentprocedure. Een leverancier die vraag 8 ontwijkt, verdient extra aandacht.
Stap 4: Lees bestaande contracten opnieuw met een beveiligingsbril
De meeste ondernemers tekenen contracten met leveranciers op commerciële basis, niet op beveiligingsbasis. Pak die contracten er nu bij en zoek specifiek naar drie zwakheden.
Ten eerste: ontbreekt er een incidentmeldplicht? Als een leverancier geen contractuele verplichting heeft om jou te informeren bij een datalek, weet je het mogelijk als laatste. Ten tweede: let op vage aansprakelijkheidsclausules die de verantwoordelijkheid volledig bij jou leggen als klantdata via hun systeem uitlekt. Ten derde: ontbreekt een verwerkersovereenkomst terwijl de leverancier persoonsgegevens van jouw klanten verwerkt? Dat is niet alleen een beveiligingsrisico, maar ook een overtreding van de AVG waarvoor jij als verwerkingsverantwoordelijke aansprakelijk bent.
Stap 5: Voeg minimale beveiligingseisen toe aan nieuwe contracten
Bij elke nieuwe overeenkomst of contractverlenging is dit het moment om beveiligingseisen op te nemen. Je hebt geen jurist nodig voor de basis. Voeg de volgende bepalingen toe of laat ze door je leverancier bevestigen.
- Incidentnotificatie binnen 24 uur: de leverancier verplicht zich om jou binnen 24 uur te informeren bij een beveiligingsincident dat klantdata of jouw winkelomgeving kan raken.
- Recht op auditinformatie: jij hebt het recht om jaarlijks een beveiligingsrapport op te vragen, zoals een penetratietestresultaat of certificeringsoverzicht.
- Transparantie over subverwerkers: de leverancier mag geen nieuwe subverwerkers inschakelen zonder jou vooraf te informeren, zodat je de ketenrisico’s kunt beoordelen.
Stap 6: Reduceer de aanvalsoppervlakte in je eigen winkelomgeving
Naast contractuele maatregelen zijn er praktische stappen die je zelf kunt zetten, ook zonder ontwikkelaar.
Verwijder plugins en scripts die je niet actief gebruikt. Elke inactieve plugin is een potentiële ingang. Controleer je shop op externe scripts die laden op je checkout-pagina en verwijder alles wat niet strikt noodzakelijk is voor het afronden van een bestelling. Schakel tweefactorauthenticatie in voor alle portalen van leveranciers waarbij jij inlogt, zoals je retourportal of reviewdashboard. En vraag je hostingprovider of je technische partner om Subresource Integrity in te schakelen voor externe scripts. Daarmee controleert je browser of een script onderweg niet is aangepast, een directe verdediging tegen een veelgebruikte aanvalsmethode bij supply chain aanvallen op webshops.
Kwartaalchecklist: doorlichting leveranciersrisico’s
Plan elk kwartaal een moment in van maximaal een uur om de volgende punten langs te lopen.
Betaling: Is je betaalprovider nog actueel gecertificeerd (PCI-DSS)? Zijn er onverklaarbare wijzigingen in betalingsinstellingen?
Logistiek: Welke API-verbindingen met vervoerders zijn actief? Zijn er nieuwe koppelingen bijgekomen die je niet bewust hebt goedgekeurd?
Marketing-tech: Welke trackingscripts laden op je site? Controleer dit via de browser-ontwikkelaarstools of een gratis tool zoals BuiltWith. Zijn alle scripts nog in gebruik?
Klantenservicetools: Heeft je chatprovider of ticketsysteem toegang tot klanthistorie? Is de verwerkersovereenkomst actueel?
Wat te doen bij een vermoeden van een actieve aanval
Denk je dat er nu een supply chain aanval actief is op je webshop? Handel dan stap voor stap, rustig maar snel.
Isoleer eerst de verdachte koppeling. In de meeste webshopplatformen (WooCommerce, Shopify, Lightspeed) kun je een plugin of externe integratie tijdelijk deactiveren zonder de rest van je shop offline te halen. Doe dit als eerste, nog voor je communiceert.
Meld het incident bij de Autoriteit Persoonsgegevens als er een reëel risico is dat persoonsgegevens van klanten zijn betrokken; begrijp wat een cyberaanval je kost en wat je stappen moeten zijn. Bij hoge risico’s ben je als ondernemer wettelijk verplicht dit binnen 72 uur te doen. Wacht niet tot je zeker weet wat er is gebeurd, de meldplicht geldt al bij een vermoeden.
Informeer je klanten kort en eerlijk. Leg uit wat je weet, wat je niet weet, en welke stap je hebt genomen. Klanten die tijdig worden geïnformeerd, reageren begripvoller dan klanten die het nieuws via een derde horen. Een eerlijke mail is beter voor je reputatie dan een perfecte verklaring twee weken later.
Supply chain-aanvallen zijn geen theoretisch gevaar. Nederlandse webshops worden er actief mee geconfronteerd, ook kleinere. Juist omdat externe koppelingen zelden worden doorgelicht, zijn ze een aantrekkelijk doelwit voor aanvallers.
Je hoeft dit niet in één keer op te lossen. Begin met de leverancierskaart, beoordeel je hoogste risico’s op de drie criteria en stuur de bijbehorende vragenlijst naar de twee partijen die er het slechtst uitkomen. Dat is een investering van een paar uur die veel ellende kan voorkomen.
