Topgeschenken gehackt: klantgegevens van drie webshops gestolen, sites offline

Drie Nederlandse webshops liggen plat na een cyberaanval. Topgeschenken ontdekte op woensdag 5 november 2026 een cybersecurityincident in de eigen IT-omgeving en haalde daarna alle systemen offline. Ook Topbloemen.nl en Toptaarten.nl zijn sindsdien onbereikbaar. Volgens het bedrijf hebben onbevoegden een deel van de gegevens gekopieerd. Het gaat om namen, adressen, e-mailadressen, geboortedata, geslacht en telefoonnummers van klanten en ontvangers. Hoeveel mensen precies zijn geraakt, is nog onbekend.

Wat er gebeurde op 5 november

Topgeschenken meldde het incident zelf in een verklaring op de eigen website. Daarin staat dat het bedrijf op 5 november 2026 een cybersecurityincident vaststelde binnen de IT-omgeving. De ongeautoriseerde toegang werd naar eigen zeggen beëindigd zodra de inbraak was ontdekt. Uit voorzorg gingen de systemen daarna tijdelijk offline en werden er direct aanvullende beveiligingsmaatregelen getroffen.

Dat is een gangbare reactie bij een inbraak die nog niet volledig in kaart is gebracht. Wie de systemen uitzet, voorkomt dat aanvallers nog meer data wegkopiëren of zich dieper in het netwerk nestelen. De keerzijde is dat klanten sindsdien geen nieuwe bestelling kunnen plaatsen en de klantenservice moeilijk bereikbaar is.

Welke gegevens zijn gestolen

Het bedrijf noemt zes categorieën gegevens die zijn gekopieerd. Het gaat om namen, adressen, e-mailadressen, geboortedata, geslacht en telefoonnummers. Een gedetailleerde lijst per webshop, of een uitsplitsing naar klanten en ontvangers, is er nog niet. Het bedrijf zegt zelf nog te onderzoeken welke personen en organisaties precies zijn geraakt en hoeveel gegevens het betreft.

Elk van die velden is op zichzelf onschuldig genoeg. Samen vormen ze het profiel waarmee een oplichter een geloofwaardig bericht schrijft. Een mail die je bij je voornaam aanspreekt, je woonplaats noemt en verwijst naar een recente bestelling, slaat een stuk minder snel alarm dan een generieke spamrun.

De geboortedatum verdient extra aandacht. Die wijzigt nooit, in tegenstelling tot een wachtwoord of een e-mailadres. Zodra hij op straat ligt, blijft hij jarenlang bruikbaar voor identiteitsvragen bij helpdesks en voor het opbouwen van een dossier over één persoon. Telefoonnummers vullen dat dossier aan voor sms-fraude en belpogingen waarbij iemand zich voordoet als bank of bezorger.

Wat niet is buitgemaakt

Er is ook goed nieuws. Het bedrijf zegt dat het geen IBAN-nummers en geen creditcardgegevens opslaat. Daarom zouden die gegevens niet zijn gestolen. Betaalgegevens bij een webshop lopen doorgaans via een externe betaalprovider, en dat beperkt wat aanvallers in een eigen database vinden. De directe financiële schade voor klanten valt daardoor kleiner uit.

Toch past hier een kanttekening. Dit is de verklaring van het bedrijf zelf en het onderzoek loopt nog. Wie liever zeker speelt, controleert de komende weken de bankafschriften en creditcardafschriften op onbekende afschrijvingen. Dat kost een paar minuten en sluit het restrisico uit.

Het incident is naar eigen zeggen gemeld bij de Autoriteit Persoonsgegevens. Onder de AVG moet een organisatie een datalek in beginsel binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het risico’s oplevert voor de rechten en vrijheden van betrokkenen. Voor Topgeschenken telt die termijn vanaf 5 november. Aangifte bij de politie is aangekondigd, maar op het moment van schrijven nog niet bevestigd als gedaan.

Drie webshops, een IT-omgeving

Topgeschenken.nl, Topbloemen.nl en Toptaarten.nl voelen voor klanten als drie aparte winkels. Het incident laat zien dat ze achter de schermen één geheel vormen. Alle drie lagen op het moment van de berichtgeving offline, en het bedrijf spreekt over klanten en ontvangers van alle drie. Eén ingang bij de aanvallers volstond dus om meerdere merken tegelijk te raken.

Bestaande bestellingen worden volgens het bedrijf nog verwerkt en zouden op de afgesproken datum worden bezorgd. Dat is een geruststelling voor wie al besteld heeft. Nieuwe bestellingen kun je niet plaatsen zolang de webshops offline zijn. Dat raakt vooral wie een verjaardag of een afspraak in de komende dagen wilde regelen met een cadeau, een boeket of een taart.

Phishing is nu het grootste risico

De IBAN-gegevens zijn veilig, maar de contactgegevens zijn dat niet. Dat maakt phishing het meest waarschijnlijke vervolg. Aanvallers sturen een bericht dat past bij het merk, bijvoorbeeld over een mislukte bezorging, een terugbetaling of een adreswijziging. Omdat het bedrijf klanten mogelijk echt gaat informeren, is een nepbericht moeilijk te onderscheiden van een echt bericht.

Let op urgentie, een link naar een betaalpagina en een afzender die net niet klopt. Een echte webshop vraagt je niet om per sms een code of je wachtwoord te sturen. Twijfel je, open dan zelf de officiële website of app in plaats van op een link te tikken. Verdachte berichten kun je doorsturen naar de Fraudehelpdesk.

Wat nog onbekend is

Drie punten blijven open, en het bedrijf bevestigt ze niet. Ten eerste het aantal getroffen mensen en gestolen records. Ten tweede de manier waarop de aanvallers binnenkwamen. Ten derde de exacte totale omvang en de oorzaak van het incident. Dat is niet vreemd, vier dagen na de ontdekking. Een forensisch onderzoek naar logbestanden en geëxporteerde data duurt vaak weken.

Wat je zelf kunt doen

Wie de afgelopen jaren een cadeau, boeket of taart via een van deze webshops bestelde of kreeg, kan in de data zitten. Je hoeft niet te wachten op een brief om jezelf te beschermen. Wees de komende weken extra kritisch op elke mail, sms of telefoontje waarin je naam, adres of een bestelling wordt genoemd. Klik geen links in onverwachte berichten, maar typ het webadres zelf in. Geef nooit codes door aan de telefoon, ook niet als de beller zegt van je bank of van de webshop te zijn.

Frequently Asked Questions

Zijn mijn betaalgegevens gestolen bij de Topgeschenken hack?

Volgens het bedrijf niet. Topgeschenken zegt dat het geen IBAN-nummers en geen creditcardgegevens opslaat, dus die gegevens zouden niet zijn buitgemaakt. Betaalgegevens lopen doorgaans via een externe betaalprovider. Controleer je afschriften de komende weken toch even, omdat het onderzoek nog loopt.

Hoe weet ik of mijn gegevens in het datalek zitten?

Dat weet je op dit moment nog niet zeker. Het bedrijf onderzoekt nog welke personen precies zijn geraakt en heeft geen aantallen of namenlijsten gepubliceerd. Wie de afgelopen jaren via Topgeschenken, Topbloemen of Toptaarten bestelde of een cadeau ontving, kan in de data zitten. Houd de officiële website van Topgeschenken in de gaten voor updates.

Wat moet ik doen als ik een verdacht bericht krijg over dit datalek?

Klik niet op links en geef geen wachtwoorden, pincodes of betaalcodes door. Open zelf de officiële website of app van het bedrijf of je bank. Verdachte mails en smsjes kun je doorsturen naar de Fraudehelpdesk, zodat anderen gewaarschuwd kunnen worden.