600.000 kunder hos et internationalt premium-tøjmærke har fået deres data lækket. 79% var allerede eksponeret fra andre brud.
Hver gang en ny tredjepart kompromitteres, bliver profilen på dig mere komplet.
Seks måneder fra brud til offentliggørelse
I august 2025 blev en tredjeparts-betalingsprocessor kompromitteret. Seks måneder senere, i februar 2026, postede en hackergruppe 1,67 GB kundedata på et hackerforum.
Datasættet er verificeret: næsten 600.000 unikke e-mails fordelt på ca. 920.000 ordreregistreringer. Data indeholder navne, e-mails, telefonnumre, adresser, ordrehistorik og delvis betalingskortdata.
Samme svar som altid
Tøjmærkets svar lyder bekendt: “Vi har ingen indikation af brud i vores egne systemer. Datasættet ser ud til at relatere sig til historiske kundetransaktioner.”
Teknisk set kan de have ret. Men for de 600.000 kunder, hvis data nu ligger frit tilgængeligt, gør det ingen forskel.
79% var allerede eksponeret
Og her kommer det tal, der bør give enhver virksomhedsleder pause.
79% af de eksponerede e-mails var allerede registreret fra tidligere brud hos andre virksomheder.
Det betyder, at angribere nu kan krydse data fra dette læk med data fra andre brud og bygge stadig mere præcise profiler til målrettet phishing og svindel.
Din købshistorik fra én webshop, kombineret med din adresse fra et andet læk og dit telefonnummer fra et tredje, giver en komplet profil.
Et systemisk problem
For bare to uger siden skrev jeg om et andet stort internationalt brand, der mistede kundedata via to forskellige partnere på ni måneder. Samme mønster: “Det var ikke vores systemer.” Samme resultat: kundernes data på et hackerforum.
Ifølge Verizon DBIR 2025 involverede 30% af alle databrud en tredjepart. En fordobling fra året før.
Det er ikke enkeltstående uheld. Det er et systemisk problem.
Hvem håndterer jeres betalingsdata?
For danske virksomheder med webshop er spørgsmålet konkret: Hvem håndterer jeres kunders betalingsdata? Betalingsgateway, indløser, PSP?
Og hvornår stillede I sidst sikkerhedskrav til dem?
De fleste virksomheder ved, hvem de har aftale med. Færre ved, hvem der faktisk behandler og opbevarer transaktionsdata længere nede i kæden.
Tre ting du bør gøre nu
Kortlæg hele betalingskæden. Ikke kun hvem I har aftale med, men hvem der faktisk behandler og opbevarer transaktionsdata. Kræv dokumentation for PCI DSS-compliance fra alle led.
Kræv dataminimering. Behøver jeres betalingsprocessor at opbevare kundedata efter transaktionen er gennemført? Hvis ikke, skal den slettes. Jo færre data, jo mindre kan lækkes.
Notifikationsklausul i kontrakten. Betalingsprocessoren i denne sag blev kompromitteret i august 2025. Data blev først offentliggjort i februar 2026. Seks måneder uden varsel. Jeres kontrakt skal kræve orientering inden for timer, ikke måneder.
Profilen på dine kunder vokser
Hvert databrud er ikke isoleret. Det er en brik i et puslespil.
Angribere samler data fra forskellige kilder og bygger profiler. Navn fra ét brud. Adresse fra et andet. Telefonnummer fra et tredje. Købshistorik fra et fjerde.
Jo flere brud, jo mere komplet bliver profilen. Og jo mere overbevisende bliver phishing-angrebet.
Få styr på jeres betalingskæde
Et leverandøraudit kortlægger hele jeres betalingskæde og afslører, hvem der faktisk opbevarer jeres kunders data, og om de lever op til sikkerhedskravene.
En cybersikkerhedsaudit giver jer det samlede billede af jeres sikkerhedsposition, inklusiv de tredjeparter, der håndterer jeres mest følsomme kundedata.
Og uvildig IT-rådgivning hjælper jer med at formulere konkrete sikkerhedskrav og notifikationsklausuler i jeres leverandøraftaler.
79% var allerede lækket før. Hvor mange af jeres kunders data indgår i næste profil?
Har du brug for at kortlægge jeres betalingskæde? Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
