Rituals Datalek: Hack Even Groot als Odido | Cybersecurity

Wat is het Rituals Datalek?

De Nederlandse cosmetica gigant Rituals heeft een groot datalek bevestigd dat miljoenen klantgegevens in Europa treft, waarbij cybersecurity-experts waarschuwen dat de hack 'van dezelfde omvang is als het Odido-lek' dat eerder dit jaar 6,2 miljoen mensen trof. Het Rituals datalek, ontdekt in april 2026, betrof het onbevoegd downloaden van gevoelige klantinformatie uit de MyRituals-lidmaatschapsdatabase van het bedrijf, die wereldwijd meer dan 41 miljoen klantgegevens bevat.

De Omvang van de Rituals Hack Begrijpen

Rituals CEO Raymond Cloosterman beschreef het lek als een aanzienlijk aantal klanten treffend, terwijl cybersecurity-expert Jort Kollerie van Orange Cyberdefense waarschuwde dat de multinationale reikwijdte suggereert dat het incident miljoenen gegevens betreft. 'Dat het 33 landen betreft waar Rituals actief is, dat is behoorlijk veel,' zei Kollerie. 'Als je kijkt naar hoeveel data erbij betrokken is, dat betreft individuen. Ik denk dat het in de miljoenen loopt, net als bij de Odido-hack.'

Het bedrijf opereert in 33 landen met 1.500 winkels wereldwijd en rapporteerde €2,4 miljard omzet voor 2025. De lekmeldingen die gelijktijdig op de Nederlandse, Belgische, Engelse, Franse en Duitse websites van Rituals verschenen, geven de internationale reikwijdte van de aanval aan.

Welke Gegevens Waren Gestolen?

Volgens de melding van Rituals aan getroffen klanten hebben hackers toegang gekregen en gedownload:

• Volledige namen en adressen
• Telefoonnummers en e-mailadressen
• Geboortedata en geslachtsinformatie
• Voorkeurswinkellocaties
• Accounttype-informatie

Het bedrijf benadrukte dat geen wachtwoorden of betalingsgegevens zijn gecompromitteerd, maar cybersecurity-experts waarschuwen dat de gestolen persoonlijke informatie alleen al aanzienlijke risico's creëert voor identiteitsdiefstal en phishingaanvallen.

Vergelijking met het Odido Lek

Het Odido-lek, dat ongeveer een derde van de Nederlandse bevolking trof, resulteerde in gestolen data inclusief bankrekeningnummers en overheids-ID-gegevens die op het dark web werden gepubliceerd. Een massaclaim rechtszaak tegen Odido is gestart door consumentengroep Consumers United in Court (CUIC).

Bedrijfsreactie en Regelgevingsimplicaties

Rituals zegt dat het onmiddellijk maatregelen heeft genomen na ontdekking van de hack, toegang tot de data geblokkeerd en aanvullende beveiligingsmaatregelen geïmplementeerd om herhaling te voorkomen. Het bedrijf heeft het incident gemeld bij de Nederlandse gegevensbeschermingsautoriteit, Autoriteit Persoonsgegevens (AP), zoals vereist onder GDPR-regelgeving.

Onder GDPR kunnen bedrijven boetes krijgen van tot €20 miljoen of 4% van de wereldwijde jaarlijkse omzet voor databeschermingsschendingen. De AP heeft eerder aanzienlijke boetes opgelegd, inclusief een recordboete van €290 miljoen tegen Uber in 2024. De omzet van Rituals van €2,4 miljard in 2025 betekent dat potentiële boetes €96 miljoen kunnen bereiken als toezichthouders vaststellen dat het bedrijf onvoldoende beveiligingsmaatregelen heeft geïmplementeerd.

Stappen Genomen door Rituals

1. Onmiddellijke blokkering van onbevoegde toegang tot klantgegevens
2. Melding aan getroffen klanten in meerdere landen
3. Rapportage aan Nederlandse privacywaakhond AP
4. Implementatie van aanvullende beveiligingsmaatregelen
5. Monitoring van dark web voor verschijning van gestolen data

Impact op Klanten en Cybersecurity Risico's

Hoewel Rituals beweert dat de gestolen data niet openbaar is vrijgegeven, waarschuwen cybersecurity-experts dat klanten aanzienlijke risico's lopen:

• Phishing aanvallen: Criminelen kunnen gestolen persoonlijke informatie gebruiken om overtuigende frauduleuze e-mails te creëren
• Identiteitsdiefstal: Uitgebreide persoonlijke data maakt geavanceerde identiteitsfraude mogelijk
• Gerichte oplichting: Kennis van voorkeurswinkels en aankoopgeschiedenis maakt gepersonaliseerde oplichting mogelijk
• Gecombineerde data risico's: Wanneer gecombineerd met andere gelekte data, creëert het uitgebreide profielen

Dit markeert de vierde grote Nederlandse cyberaanval in drie maanden, na lekken bij telecombedrijf Odido, Booking.com databeveiligingsincident, en fitnessketen Basic-Fit.

Veelgestelde Vragen

Wat moeten Rituals klanten nu doen?

Getroffen klanten moeten hun e-mail en bankrekeningen monitoren op verdachte activiteit, voorzichtig zijn met phishingpogingen, overwegen wachtwoorden op andere accounts met vergelijkbare inloggegevens te wijzigen, en tweefactorauthenticatie inschakelen waar beschikbaar.

Hoe verhoudt dit zich tot andere retail datalekken?

Het Rituals-lek volgt op soortgelijke incidenten bij Britse retailers Co-op en Marks & Spencer, wat de groeiende cybersecurity-uitdagingen voor consumentenmerken met op lidmaatschap gebaseerde bedrijfsmodellen benadrukt.

Wat zijn de juridische implicaties voor Rituals?

Rituals staat potentiële GDPR-boetes van Nederlandse autoriteiten te wachten, mogelijke class action rechtszaken vergelijkbaar met de Odido-zaak, en reputatieschade die het klantvertrouwen kan beïnvloeden.

Waren betalingsgegevens gecompromitteerd?

Rituals bevestigt dat geen betalingsgegevens of wachtwoorden zijn benaderd in het lek, hoewel de gestolen persoonlijke informatie alleen al aanzienlijke beveiligingsrisico's creëert voor getroffen klanten.

Hoeveel klanten zijn getroffen?

Hoewel Rituals exacte aantallen niet heeft vrijgegeven, schatten cybersecurity-experts dat het lek miljoenen klanten treft in de 33-landen operationele voetafdruk van het bedrijf.

Bronnen

TechCrunch: Bevestiging Rituals Datalek
Dutch News: Dekking Rituals Cyberaanval
Autoriteit Persoonsgegevens: Informatie over GDPR-boetes
CyberNews: Details Odido Class Action Rechtszaak