Laura HofmanIn juli 2026 verkregen cybercriminelen via een credential stuffing-aanval toegang tot de accounts van 138.828 ASOS-klanten wereldwijd. Namen, e-mailadressen, bezorg- en factuuradressen, telefoonnummers, geboortedata en betaalkaartgegevens — inclusief de laatste vier cijfers van het kaartnummer en de verloopdatum — kwamen in handen van onbevoegde derden. Als Nederlandse klant van de Britse modegigant bent u niet machteloos: de Algemene Verordening Gegevensbescherming (AVG) geeft u concrete, afdwingbare rechten. De vraag is alleen of u weet hoe u ze inzet.
Wat is er bij ASOS precies gebeurd?
Op 28 juli 2026 detecteerde ASOS ongebruikelijke activiteit op klantaccounts. Intern onderzoek wees al snel uit dat aanvallers geen zwakheid in ASOS' eigen systemen hadden gevonden, maar inloggegevens gebruikten die bij eerdere datalekken bij andere websites waren gestolen. Deze techniek heet credential stuffing: geautomatiseerde bots proberen miljoenen gestolen gebruikersnaam-en-wachtwoordcombinaties totdat ze ergens binnenkomen.
Eenmaal binnengedrongen hadden de aanvallers toegang tot profielpagina's met volledige naam en e-mailadres, bezorg- en factuuradres, telefoonnummer, geboortedatum, gekoppelde socialemediaaccounts (zonder wachtwoorden) en betaalkaartgegevens: de naam van de kaarthouder, de laatste vier cijfers en de verloopdatum. Op 29 juli blokkeerde ASOS de getroffen accounts en dwong het bedrijf een verplichte wachtwoordreset af. Klanten ontvingen op 30 juli een melding. Dat ASOS snel handelde, doet echter niets af aan het feit dat voor tenminste 138.828 mensen persoonlijke data gedurende meerdere uren beschikbaar was voor onbekenden.
ASOS is een Brits bedrijf, maar verwerkt gegevens van EU-burgers. De AVG is op grond van het territorialiteitsbeginsel (Artikel 3 AVG) onverkort van toepassing, ook na de Brexit. Nederlandse klanten vallen volledig onder de bescherming van de Europese privacywetgeving.
De vraag die Nederlandse klanten stellen: heb ik recht op compensatie?
Het antwoord is: ja, maar niet automatisch. Artikel 82 van de AVG bepaalt dat elke persoon die als gevolg van een inbreuk op de verordening materiële of immateriële schade heeft geleden, recht heeft op schadevergoeding van de verwerkingsverantwoordelijke. De bewijslast ligt bij ASOS: het bedrijf moet aantonen dat het niet aansprakelijk is, niet u om te bewijzen dat ASOS nalatig was.
Materiële schade omvat directe financiële verliezen, zoals frauduleuze aankopen op uw kaart of phishingfraude waarbij u geld bent kwijtgeraakt doordat criminelen gebruik maakten van informatie uit het datalek. Immateriële schade betreft het verlies van controle over uw persoonsgegevens, de stress en onzekerheid die daarmee gepaard gaan en het risico op toekomstig misbruik. Nederlandse rechters kennen dit type schade steeds vaker toe, ook zonder bewijs van direct financieel verlies.
Eerder analyseerde de rechtbank Amsterdam al hoe ver uw rechten reiken bij grootschalige datalekken waarbij adressen en betaalgegevens zijn gelekt — een rechtstreeks vergelijkbare situatie met de ASOS-aanval. Zie ook: Datalek bij Ajax: wat betekent dit voor jou voor een uiteenzetting van vergelijkbare rechten in een consumentencontext.
Hoeveel schadevergoeding kunt u verwachten?
Op basis van uitspraken van Nederlandse rechters en de Europese rechtspraak na het Österreichische Post-arrest van het Hof van Justitie EU (2023) geldt als richtlijn: bij gewone persoonsgegevens (naam, adres, e-mail) liggen immateriële schadevergoedingen tussen de €125 en €175. Wanneer ook financiële gegevens, geboortedatum of telefoonnummer zijn gelekt — exact de gegevens die bij de ASOS-aanval zijn blootgesteld — liggen toegekende bedragen doorgaans tussen €200 en €300.
Voor materiële schade geldt geen plafond. Als u kunt aantonen dat criminelen uw betaalkaartgegevens hebben misbruikt, of dat u als gevolg van phishing geld bent kwijtgeraakt, heeft u recht op volledige vergoeding van die schade. Sla bankafschriften op, maak screenshots van verdachte e-mails en noteer data waarop ongeautoriseerde transacties hebben plaatsgevonden.
Controleer ook of u rond 28-31 juli 2026 e-mails ontving die uw voor- en achternaam correct gebruikten en verwijzingen bevatten naar uw ASOS-bestellingen of bezorgadres. Dat is een sterke aanwijzing dat informatie uit de aanval al actief werd gebruikt voor gerichte phishing.
Concrete casus: wat betekent dit voor een Nederlandse klant?
Stel: Lieke, 29 jaar, uit Rotterdam, bestelt al jaren kleding bij ASOS. Begin augustus 2026 ontving zij een overtuigende phishingmail die haar volledige naam, haar thuisadres én een referentie naar haar laatste ASOS-bestelling bevatte. De e-mail verzocht haar om haar betaalmethode te 'herbevestigen'. Ze klikte op de link en haar creditcard werd voor €285 belast aan aankopen die ze niet heeft gedaan.
Als Lieke kan aantonen dat:
- Haar account behoorde tot de 138.828 getroffen accounts (inzageverzoek via AVG Artikel 15 bij ASOS)
- De phishingmail specifieke ASOS-orderinformatie bevatte die alleen via het datalek beschikbaar kon zijn
- De frauduleuze transacties dateren van ná 28 juli 2026
Dan heeft Lieke recht op:
- €285 materiële schadevergoeding voor het fraudebedrag
- €200-€300 immateriële schadevergoeding voor het verlies van controle over haar persoonsgegevens, geboortedatum en adresgegevens
Totale claim: €485 tot €585. ASOS draagt de bewijslast. Als het bedrijf niet kan aantonen dat het passende technische maatregelen heeft genomen om credential stuffing te voorkomen — zoals ratelimiting, CAPTCHA of multi-factor authenticatie — is aansprakelijkheid een sterk verweer.
Bij bedragen onder de €2.500 kan Lieke de zaak zelf aansprengen bij de kantonrechter voor €97 griffierecht. Ze hoeft geen advocaat in te schakelen, al is juridisch advies over de strategie wél aan te bevelen.
Stap voor stap: uw rechten uitoefenen
Stap 1 — Bevestig of u getroffen bent Vraag bij ASOS inzage in uw persoonsgegevens op grond van AVG Artikel 15. Vraag specifiek of uw account is meegenomen in de aanval van juli 2026. ASOS moet binnen één maand reageren.
Stap 2 — Documenteer de schade Bewaar alle communicatie van ASOS over het incident, screenshots van verdachte e-mails of berichten, bankafschriften met frauduleuze transacties en elk bewijs dat de gelekte informatie is gebruikt voor gerichte aanvallen op u.
Stap 3 — Dien een klacht in bij de Autoriteit Persoonsgegevens De Autoriteit Persoonsgegevens is de Nederlandse toezichthouder voor de AVG. U kunt via hun website een klacht indienen als u vermoedt dat ASOS onvoldoende maatregelen heeft genomen. De AP spreekt geen directe schadevergoeding toe aan individuele gedupeerden, maar een formeel onderzoek versterkt uw positie bij een civiele claim.
Stap 4 — Stel ASOS aansprakelijk Stuur ASOS een aangetekende ingebrekestelling met vermelding van uw schade (materieel en immaterieel), de grondslag (AVG Artikel 82) en een termijn van veertien dagen voor reactie. Reageren ze niet of onvoldoende? Dan staat de weg naar de kantonrechter open.
Stap 5 — Overweeg collectieve actie Nederlandse consumenten kunnen zich aansluiten bij organisaties die namens een groep getroffen klanten collectief schadevergoeding eisen. Dit verlaagt uw drempel aanzienlijk en vergroot de druk op ASOS. Organisaties als de Consumentenbond monitoren zaken als deze actief.
Wat te doen als u twijfelt of uw gegevens zijn misbruikt?
Zelfs als u geen direct bewijs heeft van fraude, kunt u maatregelen nemen. Wijzig direct uw ASOS-wachtwoord én wachtwoorden van andere accounts waarvoor u hetzelfde wachtwoord gebruikte — credential stuffing werkt juist doordat mensen wachtwoorden hergebruiken. Activeer tweefactorauthenticatie op uw ASOS-account en op uw e-mailaccount. Stel een fraude-alert in bij uw bank voor transacties boven een bepaald bedrag.
Vergeet ook niet: de gegevens die bij ASOS zijn gelekt — inclusief uw geboortedatum en thuisadres — kunnen jarenlang circuleren op criminele marktplaatsen. De dreiging is niet beperkt tot de eerste weken na het lek. Ook datalek-meldingen bij websites zoals Mall of the Netherlands laten zien dat gecombineerde datasets bijzonder waardevol zijn voor identiteitsfraude.
Juridische disclaimer: dit artikel biedt algemene informatie over uw rechten onder de AVG en vervangt geen juridisch advies. Iedere situatie is anders. Raadpleeg een advocaat gespecialiseerd in privacyrecht voor advies op maat.
Een gesprek met een juridisch expert helpt u inschatten of uw situatie sterk genoeg is voor een formele claim — en welke strategie de meeste kans van slagen heeft. Op Expert Zoom vindt u advocaten gespecialiseerd in privacyrecht en consumentenrecht die u snel en concreet kunnen adviseren.
