9 van de 13 onderzochte apps en websites bleken hun beveiliging en/of privacy-instellingen niet op orde te hebben. Zo plaatsen de websites van Coop, Deen, Dekamarkt, Dirk, Hoogvliet, Jan Linders, Picnic en Spar zonder toestemming advertentiecookies, aldus de Consumentenbond. En de apps van Coop, Deen, Jumbo, Jan Linders en Spar delen informatie met Facebook zonder dat de gebruiker dat weet.

Hackers kunnen blijven raden

Ook kunnen hackers bij Coop, Dirk, Jan Linders, Plus en Spar met behulp van een zogenoemde ‘brute force attack’ eindeloos wachtwoorden of gebruikersnamen blijven raden, geeft de bond aan.

De apps en websites van Albert Heijn, Aldi en Lidl houden zich wel aan de privacyregels. Ook zijn deze voldoende beveiligd.

Coop, Deka, Jan Linders en Picnic verbeterden al

De onderzoekers hebben de supermarktketens naar eigen zeggen in november op de hoogte gesteld van de mankementen van hun websites en applicaties. 4 ketens voerden daarop direct (enige) verbeteringen door, aldus de Consumentenbond. Te weten Coop, Dekamarkt, Jan Linders en Picnic. De andere supermarkten zouden de bond hebben laten weten dat ze hun dienst later deze maand of in 2021 zullen aanpassen.

'Lakse houding'

Een lakse houding van de supermarkten, aldus directeur Consumentenbond Sandra Molenaar. ‘De slechte beveiliging en de manier waarop de supermarkten met de privacy van hun klanten omspringen geeft al te denken, maar de laconieke reactie op onze bevindingen is ronduit zorgelijk', zegt ze. 'Het is relatief eenvoudig om technische maatregelen te treffen die een brute force attack onmogelijk maken, maar toch kiezen de supermarkten ervoor om dat niet te doen. Terwijl we weten dat veel consumenten op verschillende plekken hetzelfde wachtwoord gebruiken. Door niets te doen, stellen de supermarkten hun klanten willens en wetens bloot aan het risico om gehackt te worden. Met mogelijk verstrekkende gevolgen. Dat vind ik heel kwalijk.’