Bijenkorf levert pas op 3 september
Wie vandaag iets bestelt in de webshop van de Bijenkorf, krijgt het op zijn vroegst op 3 september thuis. Dat staat op de site van de warenhuisketen zelf. Bijna een maand wachten, en de oorzaak ligt niet bij de bezorger maar bij het magazijn: logistiek dienstverlener CEVA Logistics werd begin augustus getroffen door een cyberaanval, en die legt de orderverwerking bij meerdere grote webshops plat.
Voor jou als besteller is dat een ander soort vertraging dan je gewend bent. En dat verandert waar je moet kijken.
Update 19 augustus: meer bestellingen in het lek dan gemeld
Bol heeft de omvang van het CEVA-lek woensdagavond bijgesteld. Uit aanvullend onderzoek blijkt dat er meer klanten én meer bestellingen bij het incident betrokken zijn dan op 5 augustus werd gemeld, schrijft Tweakers. Klanten die eerst buiten schot leken te blijven, kregen woensdag alsnog een mail. Wie al bericht had, kan een tweede mail krijgen omdat er meer van zijn bestellingen in het bestand blijken te staan. Hoeveel mensen het zijn, zegt bol niet; het onderzoek loopt nog.
Voor pakketvolgers zit het venijn in dat woord “bestellingen”. Twee weken lang ging het over “recente bestellingen”, en dat las als: mijn zomerbestelling, hooguit die van vorige maand. Nu is die grens weg. Elke extra bestelling in dat bestand is een extra regel met een naam, een adres en een trackingnummer dat ooit bij een echt pakket hoorde. Een oude bestelling is voor een oplichter net zo bruikbaar als een verse, want jij weet uit je hoofd niet meer welke pakketten je in mei liet bezorgen.
Wat verandert er praktisch? Niet de route, wel de reikwijdte. Behandel elk bericht over een pakket dat je niet zelf in de app of op de site van de winkel terugvindt als onbetrouwbaar, ook als het een bestelnummer of trackingcode noemt die klopt. Dat een code klopt, bewijst nu niets meer. Onze werkwijze staat in pakketstatus of phishing, en wie een code heeft die nergens meer beweegt, leest verder bij pakket bij de douane zonder update.
Wie er geraakt is en waarmee
CEVA informeerde bol op 1 augustus over een aanval op de systemen waarmee bestellingen vanuit een van de distributiecentra worden verwerkt. Bol legde de gegevensuitwisseling met dat magazijn stil en haalde het assortiment dat daar ligt tijdelijk offline. Sommige bestellingen zijn geannuleerd, andere lopen vertraging op. De overige locaties draaien normaal door. Bijgewerkt 19 augustus: bol meldt inmiddels dat er meer klanten en meer bestellingen zijn geraakt dan in die eerste ronde werd gecommuniceerd.
Naast bol en de Bijenkorf noemt Hart van Nederland ook brillenketen Ace & Tate, Ajax en ING. Bij Ace & Tate kun je monturen op dit moment alleen online bestellen om ze in de winkel op te halen; lenzen gaan wel gewoon op de post. CEVA zelf geeft geen informatie over het lek, de Bijenkorf reageerde niet op vragen.
Je trackingcode staat niet stil — hij bestaat nog niet
Dit is het praktische verschil dat mensen deze weken over het hoofd zien. Een pakket kan op twee plekken vastlopen, en dat vraagt om twee verschillende reacties.
- Vast in het magazijn. Je hebt een orderbevestiging maar geen trackingcode, of een code die nooit een eerste scan krijgt. Dan is er nog niets gepickt. Bij deze storing is dat de meest voorkomende situatie, en er is niets dat de vervoerder voor je kan doen.
- Vast bij de vervoerder. Je code heeft wél scans gehad en blijft daarna hangen. Dat is de normale trackingroute, met de gewone stappen — zie departed from sorting center als je daar blijft steken.
Staat er “bezorgd” terwijl je niets hebt gekregen, dan is dat een derde situatie met een eigen aanpak: pakket bezorgd maar niet ontvangen. Die heeft niets met dit datalek te maken.
Ook je track-and-tracegegevens zijn gelekt
Dit onderdeel is in de berichtgeving een beetje ondergesneeuwd, en het is juist voor pakketvolgers het vervelendst. Bol meldt dat onbevoegden mogelijk toegang hadden tot namen, adresgegevens, e-mailadressen, telefoonnummers, ordernummers, EAN-codes én track-and-tracegegevens. Betaalgegevens, wachtwoorden en inloggegevens zitten er volgens de betrokken bedrijven niet bij. Het incident is gemeld bij de Autoriteit Persoonsgegevens.
Zet die velden even naast elkaar en je ziet het probleem. Iemand met die lijst weet je naam, je adres, wat je hebt besteld en welk trackingnummer daarbij hoort. Een nepbericht hoeft dan niet meer te gokken op “u heeft een pakket” — het kan je échte bestelling noemen. Dat is precies het punt waarop de standaardtips (“let op vreemde aanhef”, “klopt de link?”) minder waard worden. Onze route daarvoor staat in pakketstatus of phishing: check nooit via de link in het bericht, maar plak het trackingnummer zelf in een tracker of in je account bij de webshop.
Eén nuance, want die is de afgelopen week heen en weer gegaan: er gingen berichten rond dat de buitgemaakte data op het darkweb te koop stond. Volgens een latere update aan vakblad TTM klopt dat voor dit incident niet. Bij een eerdere, kleinere aanval op CEVA in 2025 gebeurde dat wél. Ga er dus niet automatisch van uit dat je gegevens al circuleren, maar ook niet van uit dat het onmogelijk is.
Wat je met een maand wachttijd mag doen
Een storing bij een leverancier is geen vrijbrief voor onbeperkt uitstel. De hoofdregel: krijg je bij het bestellen een concrete leverdatum te zien, dan hoort die bij de overeenkomst. Wordt die niet gehaald, dan stel je schriftelijk een redelijke nieuwe termijn en mag je daarna de koop ontbinden. Is er helemaal geen datum afgesproken, dan geldt dertig dagen. Na ontbinding moet de webshop je binnen veertien dagen terugbetalen — ook als de terugbetalingen bij hen zelf vertraging oplopen, wat de Bijenkorf nu meldt.
Klaag altijd bij de webshop, niet bij CEVA of bij de bezorger. De webshop is je contractpartij en blijft dat, ook als de fout drie schakels verderop zit. Dezelfde logica gold bij de geschrapte bezorgbelofte van Coolblue: hoe vager de belofte, hoe belangrijker het is dat je vastlegt wat je wél te zien kreeg.
Praktisch, als je nu iets in bestelling hebt staan: maak een screenshot van de leverdatum in je orderoverzicht. Die verdwijnt namelijk als de webshop de verwachting achteraf bijstelt, en dan heb je niets meer om je op te beroepen.
Veelgestelde vragen
Waarom krijg ik geen trackingcode?
Omdat er nog geen verzendlabel is aangemaakt. Bij deze storing ligt de bestelling waarschijnlijk nog in het getroffen distributiecentrum. Wachten op de vervoerder heeft dan geen zin.
Mijn bestelling is geannuleerd zonder dat ik dat vroeg. Mag dat?
Als de webshop niet kan leveren, mag die de overeenkomst ontbinden en moet je geld terug. Bol meldt dat sommige bestellingen vanuit de getroffen locatie zijn geannuleerd. Controleer of het bedrag daadwerkelijk is teruggeboekt.
Moet ik mijn wachtwoord veranderen?
Volgens bol en de Bijenkorf zijn er geen aanwijzingen dat wachtwoorden of inloggegevens zijn buitgemaakt. Het kan geen kwaad, maar het belangrijkste risico zit hier in berichten die je bestelling bij naam noemen.
Hoe lang duurt dit nog?
Dat weet niemand precies. De Bijenkorf noemt 3 september als vroegste leverdatum voor nieuwe bestellingen, CEVA geeft geen informatie over de omvang van het incident.
Bronnen
- Meer bol-klanten en -bestellingen zijn betrokken bij CEVA-datalek dan gedacht — Tweakers, 19 augustus 2026
- Problemen bij webshops na datalek: klanten wachten weken langer op pakket — Hart van Nederland/ANP, 10 augustus 2026
- Cyberaanval op Ceva raakt ook bol, database toch niet op darkweb — Warehouse Totaal, 7 augustus 2026