STYGR-zussen wijzen Instagram-hacker de deur

Als je het karakteristieke pand van STYGR binnenloopt, komen de vrolijke kleuren je tegemoet. Discoballen in de etalage, een stellage met zelfontworpen sieraden en rekken vol handgemaakte dameskleren in kleuren als oranje, lila en roze. Maar de toekomst van de winkel in de Haarlemse binnenstad zag er eind 2024 minder kleurrijk uit, toen hun succesvolle Instagram-kanaal werd overgenomen door cybercriminelen.

Florine Stijger herinnert zich die avond nog goed. De feestdagen waren net achter de rug - een periode die in de (online) retail gepaard gaat met grote drukte. Haar zus en medeoprichter Paulette was in een ver land op vakantie.

Gedaantewisseling

Tijdens het eten scrolde Florine door Instagram en zag tot haar grote schrik iets vreemds op het STYGR-account. “De profielfoto was veranderd in die van een onbekende man. Ik dacht: wat gebeurt hier?”

Florine nam onmiddellijk actie. Ze logde in en probeerde de profielfoto te herstellen. “Dat lukte niet. Ik werd er meteen uitgegooid. Daarna kwam ik er niet meer in.”

Wat volgde was een missie van zo’n drie weken om de toegang tot het account weer te herstellen. “We hadden toen nog geen fysieke winkel, dus ons Instagram-account was ons belangrijkste kanaal, ook voor het contact met onze klanten. Het account had op dat moment duizenden volgers. Opnieuw beginnen was geen optie.” 

Moed in de schoenen

Florine begon bij de helpcenters van Instagram-moederbedrijf Meta. Een kansloze zaak, blikt ze terug. “Het is een vreselijk systeem. Het is heel onduidelijk. Je krijgt op elke pagina de vraag: heb je antwoord op je vraag? Maar je komt geen stap verder.”

Ze pluisde allerlei forums en Reddit-pagina’s uit op zoek naar tips. Via haar netwerk kreeg ze de e-mailadressen van drie medewerkers van Meta. “Die reageerden allemaal niet. De moed zakte me de dagen daarna echt in de schoenen.”

De gouden tip

Ze plaatste een oproep op haar persoonlijke Instagram-account. Daarop volgde de tip die uiteindelijk de redding van STYGR zou worden. “Iemand had hetzelfde meegemaakt en legde uit dat je een selfievideo kunt uploaden om je toegang terug te krijgen. Dat had ik al geprobeerd, maar ik moest het kennelijk meerdere keren achter elkaar doen.”

De volgende avond zat Florine klaar om de tip op te volgen. Ze ontdekte een manier om meerdere keren achter elkaar een selfievideo in te dienen. “Dat heb ik gedaan en uiteindelijk kreeg ik een ‘reset wachtwoord’-link. Toen kwam ik erin.”

Hacker op één oor

De vreugde was echter van korte duur. “De hacker had zijn Meta-account gekoppeld en kon ons daardoor weer direct buitensluiten.”

Florine liet zich niet zomaar uit het veld slaan en probeerde het de volgende ochtend opnieuw, in de hoop dat de hacker op dat moment nog op één oor zou liggen. 

En met succes. Nadat ze opnieuw toegang had gekregen tot haar Instagram-account, lukte het ook de koppeling met het Meta-account van de hacker te verwijderen. “Ik stuurde mijn zus direct een appje: ‘Het is gelukt!’ Zij zou die dag naar huis vliegen. ‘Meant to be’, schreef ze terug.”

Nep-investeringsplatform

Pas toen Florine weer volledige toegang had tot het account, zag ze wat de ware schade van de hack was. “Ik was in shock. Er was gelukkig geen content verwijderd, maar in de DM’s (berichtenbox, red.) kon ik zien dat vier klanten in een oplichtingsverhaal waren getuind rond een nep-investeringsplatform. Ze hadden geld overgemaakt naar een rekening die zogenaamd van ons was. Dat geld zijn ze natuurlijk kwijt.”

De eerste week durfden Florine en Paulette nog geen nieuwe content op hun account te plaatsen. Ze wilden zeker weten dat de hacker echt buitengesloten was. Ze stelden tweefactorauthenticatie in op al hun systemen: Instagram, Meta, e-mail, enzovoort. “Achteraf gezien was het natuurlijk heel suf dat we dat nog niet eerder hadden gedaan.”

Daarna vertelden ze hun volgers wat er was gebeurd. Ze plaatsten een video op Instagram waarin ze uitlegden dat ze waren gehackt en weer terug waren. “We hadden in de weken daarvoor ook op onze website een banner geplaatst en een nieuwsbrief gestuurd, maar daarmee konden we helaas niet al onze volgers bereiken – of te laat.”

Cadeaupakket voor gedupeerden

De vier gedupeerde klanten zijn volgens Florine samen voor ongeveer 10.000 euro opgelicht. “Ik ben daar zo boos over. Maar de schuld ligt niet bij ons, en dat begrepen zij ook wel. Om de pijn te verzachten hebben we ze een cadeaupakket toegestuurd met artikelen uit onze winkel. Daar kregen we positieve reacties op.”

Inmiddels hebben ze de regie over hun account terug. Ze hebben een winkelpand en een florerend Instagram-kanaal met meer dan 10.000 volgers. “Wat gebeurd is, is gebeurd. We hebben er van geleerd en natuurlijk is het niet fijn. Maar je kunt hier niet tegenop boksen. Het enige wat wij kunnen doen, is zorgen dat onze beveiliging in orde is.”

Florine krijgt nog regelmatig berichtjes van andere gehackte Instagrammers. “Die berichten handel ik nu met voorrang af. Ik weet precies hoe het voelt. Ik probeer ze natuurlijk te helpen voor zover ik dat kan. Wij stonden er helemaal alleen voor.”

Tweefactorauthenticatie

Hoe de hacker toegang heeft gekregen tot het Instagram-account? Florine heeft een vermoeden. “Ik denk dat ik op een link in een phishingmail heb geklikt. Onze mailboxen waren ook niet goed beschermd. Die hebben we inmiddels beter beveiligd.”

Al met al was het een harde les, zegt Florine. “We zijn voorzichtiger geworden. Met e-mails zijn we alerter geworden en we klikken niet zomaar op links. We hebben inmiddels al onze accounts voorzien van tweefactorauthenticatie. En dan echt met een app die authenticatiecodes genereert, niet via sms of e-mail. Maar we staan altijd open voor aanvullende tips, zoals de basisprincipes van het NCSC. Dit overkomt ons niet weer!”

Tips van Florine:

• Stel tweefactorauthenticatie in op al je accounts. Gebruik bij voorkeur een authenticator-app in plaats van sms.
• Beveilig je e-mail extra goed. Je e-mail is vaak de sleutel tot al je andere accounts.
• Wees alert op phishing. Klik niet zomaar op links in e-mails of privéberichten, ook niet als ze betrouwbaar lijken.
• Wacht niet tot het misgaat. “Wij dachten: dat overkomt ons niet. Tot het wel gebeurde.”

Andere ondernemersverhalen: