Kasboek.nl publiceert door 'foutje' miljoen transacties van klanten

Reacties

« 1 2 3 4 5 6 7 »

Door MuddyMagical, woensdag 6 oktober 2010 12:30

Auw... Dit is inderdaad een pijnlijk foutje.

En hoe simpel eigenlijk te voorkomen. Lijkt mij dat bij een bedrijf zoals dit toch echt beter getest moet gaan worden.

Door PolarBear, woensdag 6 oktober 2010 12:50

Foutje? Blunder! Er is werkelijk geen enkele reden om op een webserver dergelijke data te zetten.

Door obsidian, woensdag 6 oktober 2010 13:07

Nou ja, die gegevens worden door de gebruikers zelf geüpload he. Dus zo gek is dat niet

Door ArcticWolf, woensdag 6 oktober 2010 13:10

dan nog hoeft het daar niet te blijven staan... na het uploaden moet dit bestand worden verplaatst en van die webserver worden verwijderd!

Door AtleX, woensdag 6 oktober 2010 13:11

Nou, upload die data dan minstens naar een directory die niet extern toegankelijk is en waaruit de data wordt verwijderd zodra deze geïmporteerd is.

Door YDh, woensdag 6 oktober 2010 13:39

Nou, upload die data dan minstens naar een directory die niet extern toegankelijk is

Dus jij wilt dat een extern persoon data upload naar een directory die niet extern toegankelijk is? Hoe moet die persoon dan aan die directory geraken?

waaruit de data wordt verwijderd zodra deze geïmporteerd is.

Dat is ook weer een vorm van schijnveiligheid. Op een bepaalde moment, al was het maar enkele seconden staat die data in die directory, dus op dat moment kan iemand er aan als je security niet goed staat.

Alhoewel het beter is dat niemand aan de data kan, hoeft het niet noodzakelijk een probleem te zijn als er wel iemand aan kan. Als de data geëncrypteerd is kun je er bjivoorbeeld weinig mee aanvangen. Dit soort (en waarom niet alle) data zou dan ook nooit zonder publiek/private encryptie getransporteerd mogen worden.

Door wasntme, woensdag 6 oktober 2010 13:55

Dus jij wilt dat een extern persoon data upload naar een directory die niet extern toegankelijk is? Hoe moet die persoon dan aan die directory geraken?

Een bestand wordt eerst in een temp-directory geupload. Deze wordt na uploaden verplaatst naar de opgegeven map.

Deze map kan best buiten de webstructuur vallen (dus niet via HTTP te benaderen zijn).
De gebruiker (of andere bezoekers) kunnen dan niet direct bij het bestand, maar de scripts op de website kunnen deze bestanden wel benaderen/uitlezen.

Door davince72, woensdag 6 oktober 2010 14:03

Laat ik als ICT-er zeggen dat het wel degelijk een blunder betreft . Iedereen die anders beweert heeft het vak niet begrepen

Het is niet moeilijk het zo te bouwen dat je een bestand ontvangt die niet op een plek hoeft te staan die extern toegankelijk is.
In java bijvoorbeeld een file-upload servlet die het bestand plaatst in een folder die niet zichtbaar is voor webserver!

Als dezelfde gebruiker het bestand ook moet kunnen opvragen? Dan kan dat ook simpel met een servlet oid(wel eentje die eerst authorisatie goed checkt!)

Kortom er is geen reden dat deze bestanden op de webserver terecht komen en dus mogelijk extern toegankelijk worden(permissies op folders van de webserver zijn per definitie afdoende geschikt om dit soort gegevens te beveiligen)

Door YDh, woensdag 6 oktober 2010 15:37

Natuurlijk is het serieuze fout. Maar het had zonder 'ernstige' gevolgen kunnen zijn als de data versleuteld was.

permissies op folders van de webserver zijn per definitie afdoende geschikt om dit soort gegevens te beveiligen

Tja, zo kun je stellen dat een slot op je voordeur per definitie afdoende geschikt is om dieven buiten te houden. Waarom installeren zoveel mensen dan nog een alarmsysteem?

Folderpermissies kunnen trouwens veel te gemakkelijk per ongeluk foutief geconfigureerd worden. Even ergens iets veranderen en voor je het weet hebben alle kinderen het overgeërfd.

Zaken zoals financiële gegevens zouden nooit of te nimmer ergens onversleuteld mogen staan. Zelfs niet op je eigen machine die niet aan een netwerk hangt.

Door djwice, woensdag 6 oktober 2010 17:23

Sterker nog volgens mij zijn er ook wetten die voorschrijven hoe je met dit soort gevoelige privé data om moet gaan...

Staat daar ook niet iets bij over versleuteld opslaan?
Of is dat alleen met wachtwoorden ;-)

Door n4m3l355, woensdag 6 oktober 2010 18:06

Het wordt eigenlijk hoogtijd dat op dit soort fouten simpelweg straffen komen. Dit is niet een unicum, bedrijven maar nog erger, de overheid gaat veelste gemakzuchtig met privacy gevoelige gegevens om en als men een usb stick vergeet of een laptopje gebeurd er verder niets. Zolang er geen straffen staan op het mis-managen van data ongeacht door wie zal er ook geen druk op staan om daadwerklijk dit soort fouten te voorkomen. Natuurlijk op ICT gebied zijn er talloze oplossingen maar uiteindelijk is dit voor de gebruiker geen relevante informatie die heeft maar 1 gegeven feit, veilig of niet. En maar wat vaak is het niet veilig.

Door tricksel, woensdag 6 oktober 2010 14:52

Als je niet weet hoe een upload werkt, zeg dan niets.

Door Ventieldopje, woensdag 6 oktober 2010 13:24

Who needs .htaccess? Weg er mee!

Door thegve, woensdag 6 oktober 2010 20:39

Iedere niet amateur? Zoiets configureer je gewoon in je serverconfiguratie zelf. Door het accepteren van .htaccess zal Apache bij het benaderen van een pagina steeds gaan controleren of er een .htaccess bestand in de directory staat, en deze zonodig parsen, dit is onnodige overhead (hoe klein ook door de cache die er meestal wel op je filesystem zit).

Door _Thanatos_, woensdag 6 oktober 2010 21:53

Ja handig, voor iedere wijziging in de config je apache-service herstarten.

Door thegve, donderdag 7 oktober 2010 23:42

Apache kan gewoon configs reloaden zonder herstart.

Door _Thanatos_, vrijdag 8 oktober 2010 21:10

configs reloaden zonder herstart

Hoe doe je dat dan? Want bij mij wordt een config pas na een herstart (van de service, niet het hele systeem) herladen. Bewijsbaar en reproduceerbaar.

[Reactie gewijzigd door _Thanatos_ op vrijdag 8 oktober 2010 21:11]

Door thegve, zaterdag 9 oktober 2010 15:55

server:~# /etc/init.d/apache2 reload
Reloading web server config: apache2.
server:~#

Of dacht je dat een webhoster de webserver moet herstarten als hij een nieuwe vhost (domein) toevoegt?

[Reactie gewijzigd door thegve op zaterdag 9 oktober 2010 15:58]

Door .oisyn, woensdag 6 oktober 2010 23:16

Ik mag hopen dat Apache slim genoeg is om eerst een datecheck te doen op de file alvorens deze opnieuw te parsen.

Door thegve, donderdag 7 oktober 2010 23:43

Daar heb je gelijk in, maar checken of hij bestaat en een datecheck doet hij wel.

Door _Thanatos_, vrijdag 8 oktober 2010 21:13

Dat doet php ook voor ALLE files die hij bij ieder request nodig heeft, dus wat is nou precies je punt? Dat het "traag" is? Een pagina die in 10ms wordt geserveerd is even snel als een die in 10,003ms wordt geserveerd. Dat maakt echt geen ene bal uit.

Door YopY, woensdag 6 oktober 2010 13:08

ééntje, een temp directory waar de geuploade bestanden in geplaatst worden, om verwijderd te worden zodra ze in de interne database staan.

Misschien bewaarden ze toch een permanente kopie voor backupdoeleinden. Maar als je de server niet goed geconfigureerd hebt...

Door Ventieldopje, woensdag 6 oktober 2010 13:26

Maar die temp moet wel beveiligt zijn natuurlijk en dat was in dit geval niet zo, en ik betwijfel of het wel een temp directory is als je er zo veel in hebt staan

Door PepijnK, woensdag 6 oktober 2010 20:08

Waarom het uberhaupt in een temp-directory zetten? De geuploadde file houd je in RAM tot de boel in de interne database zit en als die transactie klaar en geverifieerd is gooi je dat blokje RAM weer leeg.
Iets 2 keer opslaan om vervolgens een van de 2 weg te gooien is gewoon slecht ontwerp.

Door AndrewF, woensdag 6 oktober 2010 20:50

Voor csv's is dat doenbaar. Echter kan een slime aanvaller dat gebruiken om een DOS aanval op te zetten. (open 10000 connecties die elk 1MB uploaden en je memory zal snel vol zitten).

Door vampke, woensdag 6 oktober 2010 13:08

euh.... blijkbaar is dier er wel wasnt de klanten hebben het er zelf opgezet

Door Henze, woensdag 6 oktober 2010 23:18

als er geenreden is om die data op een webserver te plaatsen..waarom is dan die site niet gemaakt in javascript?? ...lekker geheel in javascript...hoeft verder geen server meer aan te pas te komen...

waarschijnlijk om het kasboekje ook online te kunnen bewaren...

Door thegve, zaterdag 9 oktober 2010 16:06

De CSV's hoeven niet benaderbaar te zijn, die data word gewoon in een database geplaatst en die kun je dan vervolgens weer bewerken. Is gewoon een import.

Door source, woensdag 6 oktober 2010 12:30

Mooie scoop, eens kijken hoelang het duurt voordat Geenstijl erover begint.

Door tukkerpaddy, woensdag 6 oktober 2010 13:28

Het is maar goed dat Geenstijl of een ander zgn. shocklog de data niet in handen heeft. Want dan was er veel meer mee gebeurd dan wat door sommigen de Tweakers.net-redactie wordt verweten.

Door anandus, woensdag 6 oktober 2010 12:32

Wow, dat is wel een blunder van jewelste zeg!
Heel dom en slordig. Dit kan ze volgens mij een behoorlijke boete opleveren.

Ikzelf heb overigens ook weleens bij Kasboek gezeten, maar ben na verloop van tijd toch maar offline gegaan. Juist vanwege dit soort risico's.

Door wimmi, woensdag 6 oktober 2010 12:32

Tweakers is blijkbaar ook niet te beroerd om privacy-gevoelige gegevens door te graven en statistieken met ons te delen.

Door aap, woensdag 6 oktober 2010 12:37

Tweakers.net verantwoordt dit waarschijnlijk met het journalistieke belang, maar toch is ook dit m.i. een inbreuk op de privacy. Stel dat de journalist die het onderzoek erachter kwam dat die man die voor 1400 erotica bestelde haar man/vader/zoon/buurman was?

Door MarijnvdZaag, woensdag 6 oktober 2010 12:44

Dan nog is het posten ervan toch geen inbreuk op privacy? Ik weet van iemand dat hij/zij is vreemdgegaan. Zolang ik niet vertel wie dat was, schend ik natuurlijk geen privacy.
Het enige dat je in dit geval weet is dat het Kasboek.nl-gebruikers zijn, nou, dat lijkt me niet voldoende zeggen.

[Reactie gewijzigd door MarijnvdZaag op woensdag 6 oktober 2010 12:46]

Door DarkTemple, woensdag 6 oktober 2010 14:18

Misschien niet nee, maar het inkijken alleen al, is inbreuk op de privacy, ook al gebeurt het door 1 persoon.

Door SidewalkSuper, woensdag 6 oktober 2010 12:49

Met zulke kleine en (mijns inziens) relatief onschuldige geanonimiseerde feiten tonen ze natuurlijk ook enigzins aan dat werkelijk alles onversleuteld was en inzichtbaar.
Iets wat de fout wel des te erger maakt.

Vanuit journalistiek, maar ook maatschappelijk belang (namelijk iedereen die daar bij aangesloten is heeft belang bij dit verhaal), is in deze wat mij betreft een correcte keus tussen ethisch verantwoord en journalistiek aantrekkelijke feiten gemaakt.

Door Zer0, woensdag 6 oktober 2010 13:57

een correcte keus tussen ethisch verantwoord en journalistiek aantrekkelijke feiten gemaakt

De eerste feiten die opgesomd worden voldoen daar inderdaad aan, de feiten over erotica en porno downloaden zijn gewoon sensatie journalistiek en hebben geen enkele verdere waarde.

Door lredev, woensdag 6 oktober 2010 21:24

Dat schept een referentiekader om de ernst ervan te realiseren. Het heeft dus wel degelijke meerwaarde buiten het voeden van de sensatiezucht.

Door vampke, woensdag 6 oktober 2010 13:08

als we die redenering doortrekken is het ineens gedaan met onderzoeksjournalistiek

Door NMe, woensdag 6 oktober 2010 12:43

Geanonimiseerde statistieken, dus why not?

Wat het graven betreft neem ik voor het gemak maar even aan dat dat op een integere manier gebeurd is.

Door arjankoole, woensdag 6 oktober 2010 12:47

De data in kwestie is niet privacy gevoelig, want het is niet te herleiden tot een individue.

dat maakt dat tweakers haar journalistieke verantwoordelijkheid heeft genomen. (ook door niet te publiceren voor de directories dicht waren)

Door YopY, woensdag 6 oktober 2010 13:10

De data in kwestie is niet privacy gevoelig, want het is niet te herleiden tot een individue.

Die heb ik vaker gehoord. Een zoekmachine verspreidde een aantal jaren terug een lijst met zoekopdrachten, gekoppeld aan unieke IDs die terugkerende gebruikers voorstelden. Aan de hand van wat detectivewerk (op alleen de ingevulde zoektermen) kon die persoon getraceerd worden.

Zo ook hier, waarschijnlijk. Als er een paar boekingen in staan geaddresseerd aan "ome henk", "tante trees" en "pietje junior" kun je al 99.9% van de kandidaten uitsluiten.

Door arjankoole, woensdag 6 oktober 2010 15:31

Alleen publiceert Tweakers alleen de transactie omschrijvingen, en daarbij slechts een stuk of 3. Zo'n kleine set is absoluut niet terug te traceren.

Door PV85, woensdag 6 oktober 2010 16:20

Die personen konden inderdaad herleid worden... d.m.v ego search / ego surfing
http://en.wikipedia.org/wiki/Egosurfing

Zelfde idee zal mogelijk zijn met deze resultaten, aangezien er vast een hoop mensen te vinden zijn die geld overboeken naar hun andere persoonlijke rekening.

Door SPee, woensdag 6 oktober 2010 13:46

Dat is nog maar af te vragen!
Het zijn namelijk wel bankrekening nummers; die zijn wel gekoppeld aan een (of meerdere) personen. Misschien niet dat jij en ik dat kunnen 'vertalen' naar namen, maar de banken kunnen dat wel.

Door Blokker_1999, woensdag 6 oktober 2010 12:50

voor er inbreuk is op de privacy moet men de gegevens eerst ook aan een privaat persoon linken. Dit zijn gewoon wat statistieken, totaal anoniem.

Door SuperDre, woensdag 6 oktober 2010 13:35

Het feit dat ze de bestanden gedownload hebben en grondig doorzocht hebben vindt ik al belachelijk genoeg, dat ze 1 of 2 bestanden gecontroleerd hadden en daarna de site hadden gewaarschuwd was meer dan genoeg geweest, maar nee ze moesten toch eventjes zich onetisch gedragen..

Door Sloerie, woensdag 6 oktober 2010 14:33

En dat is de eeuwige tweeslag tussen privacy en journalistieke ethiek. In mijn ogen geeft tweakers.net alleen aan dat deze gegevens 'waarschijnlijk' zijn door enkele voorbeelde te geven die genormaliseerd zijn (gemiddeldes e.d.). Echt anoniem bestaat niet, maar dat mag je zelf ook beseffen zodra je op het internet zit.

De sensatiegedeeltes van de publicatie zijn echter iets overdreven, maar gezien het meerendeel van het publiek hier (relatief jong, ict professionals) niet onwaarschijnlijk.

Door stheide, woensdag 6 oktober 2010 16:03

het is maar net hoe je het bekijkt, je kan wel na 2 documentjes vluchtig ingekeken te hebben een conclusie trekken, maar als je er dan naast zit dan verspeel je ook je eigen goede naam en geloofwaardigheid als journalist/onderzoeker.

mijn mening moet je dit wat meer in de hoek van een klokkenluider zoeken, in feite kaart tweakers hier een overduidelijke misstand aan en om dat te onderbouwen zal je je er enigszins in moeten verdiepen, ja een klokkenluider kan de goede naam van een bedrijf schenden (in dit geval kasboek.nl) en bepaalde confronterende gegevens openbaar maken om dit te onderbouwen, maar dit is voornamelijk met een groter maatschappelijk doel, namelijk informeren en herhaling voorkomen.

verder zijn er geen persoonsgegevens bekendgemaakt en dus zie ik niet echt een probleem eigenlijk, de privacy van de kasboek.nl gebruikers zijn tot zover niet aangetast.

Door SuperDre, woensdag 6 oktober 2010 13:33

Juist dat was dus ook mijn gedachte, vindt dat dus erg slecht van Tweakers.net dat ze uberhaupt de bestanden gedownload zouden hebben.. Melden was genoeg geweest.

Door davince72, woensdag 6 oktober 2010 14:14

Ik hecht veel waarde aan privacy, maar ga svp tweakers nu niet veroordelen. Door kennis te nemen van vrijwel alle gegevens kunnen zij een juist oordeel vellen.
Anders was het gebleven bij een 'foutje' zoals kasboek het graag zelf noemt!! Dat is in mijn optiek pas schandalig! Nu weet iedereen dat het een blunder is.

Vanzelfsprekend doet tweakers er goed aan de gegevens nu te vernietigen.
En daarnaast zou ik van kasboek een eerlijk antwoord(is dat mogelijk?) willen hebben hoeveel unieke ip-adressen welke bestanden hebben opgevraagd.

Door RvL, woensdag 6 oktober 2010 15:35

Hier is door Arnoud Engelfriet (gallery: Arnoud Engelfriet) op het forum iets over geschreven.

Ik citeer:

Heel formeel is er denk ik wel sprake van een 'verwerking' van persoonsgegevens in de zin van de Wbp door Tweakers.net. Niet alleen publiceren maar ook doorspitten, compileren, extraheren van gegevens valt daar namelijk onder. T.net mag dat echter als zij een eigen aantoonbare noodzaak heeft om dit te doen (art. 8 sub f Wbp). En die is er: zij moet haar artikel kunnen onderbouwen en daarvoor feitelijke conclusies kunnen trekken.

Tweakers.net mag het dus kennelijk wel, omdat er een aantoonbare noodzaak is.
Volledige post: http://gathering.tweakers...message/34806372#34806372

Door pepijnb, woensdag 6 oktober 2010 16:00

..en dat kan natuurlijk ook niet.. Dat je je nieuwsgierigheid niet kunt beheersen is tot daar aan toe, maar dat je de data gaat minen om je scoop smeuiig te maken... Over Blunder met een hoofdletter B gesproken.

[Reactie gewijzigd door pepijnb op woensdag 6 oktober 2010 20:15]

Door Erkens, woensdag 6 oktober 2010 12:32

Ik zie eigenlijk geen noodzaak voor hun om die csv bestanden te bewaren? Na een import kan die direct weg... Erg slordig, en dan ook nog binnen de webroot. Sowieso ga ik dit soort dingen nooit aan een derde verstrekken, alleen de ING heeft als het goed is mijn financiele gegevens online, voor de rest doe ik alles offline.

Door YopY, woensdag 6 oktober 2010 13:11

Ik zie eigenlijk geen noodzaak voor je om die financiele gegevens offline te bewaren? Na het lezen kunnen die direct weg...

...ofzo. Offline betekent nog niet automatisch veiliger. Het voelt misschien wel veiliger omdat je weet waar het is en zelf de controle erover hebt.

Door jj71, woensdag 6 oktober 2010 13:35

Ik zie eigenlijk geen noodzaak voor je om die financiele gegevens offline te bewaren? Na het lezen kunnen die direct weg...

Als je een eigen bedrijf hebt dan ben je voor de belasting zelf verantwoordelijk voor het bewaren van gegevens zoals banktransacties e.d., tot 7 jaar terug. En ik geloof dat er voor particulieren ook zo'n soort regel is (maar dan met een kortere periode).

@Erkens: Je bent dus zelf verantwoordelijk; je kunt er dan wel vanuit gaan dat je bank alles voor je bewaart, maar als ze dat niet doen dan komt de belastingdienst wel bij jou aankloppen als er iets ontbreekt.

Door MaartenH, woensdag 6 oktober 2010 14:49

Gelukkig is dit alleen een advies voor particulieren:

http://www.rijksoverheid....dministratie-bewaren.html

Al is het natuurlijk (zoals de tekst ook zegt) bepaalde dingen 'iets' langer te bewaren...want de belastingdienst komt inderdaad naar de persoon zelf!
(niet meer kunnen bewijzen....is terug betalen!)

Door Erkens, woensdag 6 oktober 2010 15:06

Ik bedoel dat ik mijn financiele gegevens niet op een "willekeurige" internetsite wil hebben, nee ik zet zelf alles in een spreadsheet om zo budgetten etc bij te kunnen houden.

Door SidewalkSuper, woensdag 6 oktober 2010 12:33

Hoe kan het dat zulke bedrijven onversleuteld gegevens bewaren. Dat is toch idioot?
Bedrijven in deze sector moeten juist schitteren door hun sterke beveiliging en veiligheid.

Met zo'n blunder kunnen ze het net zo goed helemaal opdoeken, wie vertrouwt dit bedrijf nu nog.

Door OkkE, woensdag 6 oktober 2010 14:09

Het is inderdaad bijna schandalig dat zulke gegevens onversleuteld worden opgeslagen in een OpenDir.

Maar wat verwacht je van een website waarbij men schijnbaar denkt dat het woord "secure" in de domeinnaam voldoende is... Waar is de SSL gebleven?!

---

Wat ik eigenlijk nog schokkender vind, is hoeveel mensen schijnbaar totaal geen problemen hebben om hun bankzaken te uploaden naar zo'n vage website. Lijkt me duidelijk dat er nog heel wat voorlichting nodig is!

Door MarijnvdZaag, woensdag 6 oktober 2010 12:34

"...publiceert door 'foutje'..."

Lijkt erop dat ze gewoon dachten dat niemand die bestanden zou vinden als ze daar voorlopig geparkeerd stonden

Zegt ook al wat dat ze de boel verborgen hadden voor zoekmachines. Blijkbaar wisten ze dat er gewoon toegang toe was...

Door Atlas85, woensdag 6 oktober 2010 12:52

Geen logische redenering. Het is mogelijk dat ze dachten dat de directoreis beveiligd waren, maar sowieso al vast een noindex/nofollow meegegeven voor alles wat niet binnen de "normale" root valt. Er zijn ook veel websites waar alle afbeeldingen een nofollow/noindex meekrijgen, door gewoon de hele dir te blocken.

Door Keiichi, woensdag 6 oktober 2010 12:58

En sowieso, databestanden in de HTML-root houden is een no-go

Door Pacjack, woensdag 6 oktober 2010 12:34

Ik vind het schokkend dat er zo slecht met deze transactiegegevens is omgegaan. Jammer voor Kasboek.nl maar dit is natuurlijk slechte reclame.

Leuke feitjes uit die snelle analyse van T.net

Ik ben nu ook benieuwd naar hoeveel gebruikers Kasboek.nl heeft ten opzichte van bijvoorbeeld de 100.000 (geregistreerde) gebruikers van Yunoo.nl.

Door rodie83, woensdag 6 oktober 2010 12:35

Zeg tweakers, ik snap de sensatiedrift, maar is het nou echt nodig om zaken te gaan posten als:

Ook staan er intieme transacties tussen, zoals iemand die 1459 euro uitgaf bij 'Erotica' en een ander die ogenschijnlijk een vriend 3,25 euro overmaakte 'voor porno te downloaden'.

Is het niet voldoende te melden dat die gegevens toegankelijk zijn geweest voor buitenstaanders? Ook al koppelen jullie er geen NAW aan.

_{Disclaimer: ik was het niet}

[Reactie gewijzigd door rodie83 op woensdag 6 oktober 2010 12:35]

Door DUX, woensdag 6 oktober 2010 12:38

Sluit ik me bij aan. Ik snap ook niet zo goed wat deze concrete transactie-informatie (ook de genoemde grootste en kleinste transacties) werkelijk toevoegen aan het nieuwsbericht.

Door ajakkes, woensdag 6 oktober 2010 12:55

Door het noemen van deze feitjes begrijpen mensen beter waarom dit soort gegevens niet op straat horen te liggen. Anders hadden we weer allemaal reacties gehad met ik heb toch niks te verbergen dus wat maakt mij het uit.

Dat er iemand is die spullen koopt bij erotica had ik ook wel kunnen bedenken. Dat het voor 1459 euro was en dat dezelfde persoon ook kasboek.nl gebruikt vindt ik nou niet echt bijzondere informatie.

Als tweakers het rekeningnummer van de persoon had gepubliceerd had ik het vervelend gevonden. Maar nu is er niks aan de hand.

Ik ben blij dat tweakers dit lek heeft gevonden en niet iemand anders die het direct als torrent online gooit zodat de hele wereld kan zien dat ik 3.25 heb ontvangen van een vriend.

Door DUX, woensdag 6 oktober 2010 13:28

En wie moet de situatie in het vervolg beter begrijpen door het onthullen van dit soort details: de persoon die tegoedertrouw z'n uitgaven heeft genoteerd op de website waarbij hij/zij een abonnement heeft lopen om dit soort overzichten overzichtelijk en privé te kunnen houden en ook geen directe invloed kan uitoefenen op het IT-beheer, of het bedrijf dat zich verder niet aangesproken voelt over specifieke (porno-)uitgaven van z'n klanten?

Ik bedoel, natuurlijk vind kasboek.nl het vervelend dat er gegevens op straat liggen, maar deze zal zich niet extra aangesproken voelen door deze extra saillante details.

[Reactie gewijzigd door DUX op woensdag 6 oktober 2010 13:32]

Door ajakkes, woensdag 6 oktober 2010 14:23

Nee, kasboek.nl wist misschien zelfs al dat deze saillante details in de gegevens stonden die op straat kwamen te liggen.

Het zijn de klanten die zich bewust moeten zijn van gevolgen van het weggeven van deze gegevens aan een willekeurig bedrijf. Ik zou er ook niet bij stil gestaan hebben dat wanneer een vriend van mij zijn gegevens bij kasboek.nl gaat beheren dat vervolgens duidelijk wordt dat ik 3.25 heb ontvangen voor zoiets als pron.

Het gaat erom dat mensen (de maatschappij) zich bewust wordt van deze gevaren voor de privacy zodat hier iets tegen gedaan kan worden. Passende maatregelen genomen kunnen worden.

Als tweakers alleen maar had vermeld dat er rekeninggegevens op straat hebben gelegen hadden er veel meer mensen hun schouders opgehaald en gezegd: "ik heb toch niks te verbergen", "lekker belangrijk, mijn gegevens staan toch niet bij kasboek.nl"

Maar door dit voorbeeld wordt duidelijk dat de gevolgen er ook zijn als een vriend, kennis of bedrijf waar jij geld aan heb betaald klant is bij kasboek.nl

Door SuperDre, woensdag 6 oktober 2010 13:36

Onzin, dit soort vermeldingen was nog steeds niet nodig geweest, en is puur gebasseerd op sensatiezucht...

Door Wilbert de Vries, woensdag 6 oktober 2010 12:39

Van sensatiedrift was sprake geweest als de kop was: Kasboek.nl lekt gegevens seksbezoekjes klanten ofzo. Dit is gewoon een krentje uit de pap uitlichten.

Door i-chat, woensdag 6 oktober 2010 12:51

bovendien is dit een leuke manier om aan te geven dat je niet uit je nek lult, hoevaak ik wel niet van die mailtjes krijg met ik heb je database gehackt geef me 1000 euro. terwijl er juist in die maand wellicht helemaal geen info in die database stond

bovendien is het een kwestie van een paar simpele queries op de data los laten.
dan hoef je in het eindresultaat niet eens 'te zien' wie nu die pornel zut had gekocht.

Door Zer0, woensdag 6 oktober 2010 14:00

En waarom moet het dan een query zijn op porno/erotica? Omdat het lekker verkoopt?

Door D.oomah, woensdag 6 oktober 2010 15:22

Inderdaad, interessanter dan dat je weet dat iemand 300 euro per week uitgeeft bij de c1000.

Door Falcon, woensdag 6 oktober 2010 12:41

Ik vind het ook niet kunnen

Door arnoudwokke, woensdag 6 oktober 2010 12:42

Is het nodig om in een Journaal-item over oorlog beelden van neergeschoten mensen te laten zien?

We wilden voor iedereen aantonen dat we zonder enige hindering de csv-bestanden konden downloaden en door konden spitten. We hebben met opzet geen gegevens gepubliceerd die te herleiden zijn naar een persoon, maar hieruit kun je wel opmaken wat voor info er in de bestanden staat: een voorbeeld zegt nu eenmaal meer dan een omschrijving.

Overigens zijn we hier secuur mee omgegaan, maar om de omvang van het lek te kunnen achterhalen heeft een van onze devvers - ACM - een deel van de csv-bestanden verwerkt in een database om er statistieken uit te kunnen halen als datum en totale som van overgemaakte bedragen.

Uiteraard wordt die database vernietigd, net als de csv-bestanden die we hadden gedownload

Over dit onderwerp kun je het best discussiëren in het topic dat erover gaat: Kasboek.nl artikel

[Reactie gewijzigd door arnoudwokke op woensdag 6 oktober 2010 12:57]

Door arjankoole, woensdag 6 oktober 2010 12:48

goed werk

Door Blokker_1999, woensdag 6 oktober 2010 12:53

Je had de gegevens ook kunnen anonimiseren en dan online zetten. Zou interessant geweest zijn om op zo een grote collectie aan gegevens eens een studie te doen.

Door arjankoole, woensdag 6 oktober 2010 13:06

Je mag niet zonder meer data online zetten/publiceren. (maakt niet uit of het geanonimiseerd is)

Daar kun je juridisch best wel mee in de nesten komen.

Door gassiepaart, woensdag 6 oktober 2010 13:11

dit soort gegevens zijn moeilijk anoniem te maken.... en het nut daarvan zou klein zijn:

van naar datum bedrag omschr type
xxxx xxx 01/01/01 51,90 xxxx bank

Door mddd, woensdag 6 oktober 2010 12:57

Aan de ene kant snap ik wat je bedoelt. Aan de andere kant mag je er toch ook op rekenen dat wij als lezers vertrouwen hebben in jullie journalistieke kwaliteiten. Dus als jullie schrijven dat je volledige toegang had tot rekeningnummers, omschrijvingen enzovoort, dan geloven wij dat toch ook (tenminste, ik in ieder geval wel).

Als voorbeeld: wanneer er in de NRC staat dat zij een usb-stick met gevoelige personeelsgegevens van defensie in hadden hebben, dan hoeven zij dat toch ook niet te bewijzen door wat voorbeelden van die data te geven?

Door BabyXL, woensdag 6 oktober 2010 13:00

Zoals jullie er mee omgaan is er niets mis mee, IMHO. Andere nieuwssites kunnen hier nog wat van leren!

Het is toch leuk om te lezen wat er zoal gedaan wordt met de transacties, zonder namen te noemen.

Door makje, woensdag 6 oktober 2010 13:51

Uiteraard wordt die database vernietigd, net als de csv-bestanden die we hadden gedownload

Ik hoop dat je bedoelt: Uiteraard wordt is die database vernietigd, net als de csv-bestanden die we hadden gedownload ?

Er is geen enkele reden meer om die data nog te bewaren.
Die data nu nog in je bezit hebben geeft alleen maar risico dat er alsnog gevoelige dingen uit naar buiten komen.
Daarnaast hebben al die personen in de database Tweakers.net geen toestemming gegeven die data te bewaren (voor hoe lang of kort dan ook) zoals ze dat ongetwijffeld wel ergens in de kleine letters aan kasboek.nl hadden gegeven.
Vanuit het journalistiek belang die data doornemen om de slechte beveiliging aan te tonen is dan 1 ding, die data daarna bewaren een andere...

Door Cloud, woensdag 6 oktober 2010 14:22

Ik hoop dat je bedoelt: Uiteraard wordt is die database vernietigd, net als de csv-bestanden die we hadden gedownload ?

Zie http://gathering.tweakers...message/34806308#34806308 en dan het stuk over 'downplayen'.

Door garagaholic, woensdag 6 oktober 2010 13:08

Ach, ik heb zo vaak en krijg zo vaak bedragen overgemaakt met als omschrijving "Bezoek "De Gulden Vulva"" oid. Dat zijn dan vaak ook bedragen van rond de 50 euro, en heeft meer te maken met kortlopende bierleningen dan wat anders.

Je kunt er mi dus weinig aan afleiden

Door EvilBear, woensdag 6 oktober 2010 12:35

Heel pijnlijk! Dit soort foutjes mogen dus niet voorkomen; ik denk dat kasboek.nl z'n deployment en test procedure zal moeten aanscherpen. Persoonlijk maak ik wel gebruik van een kasboek, maar dan van houtpulp: ouderwets boekhouden op papier.

« 1 2 3 4 5 6 7 »

Op dit item kan niet meer gereageerd worden.

13:13	Google introduceert visuele zoekmachine voor iPhone
12:15	Ubisoft wil grootste third-party-uitgever op Kinect worden

Nieuws I/O

Shortcuts

Categorieën

Lees meer over

Gerelateerde content

Gerelateerde jobs

Reacties

11:07 Nieuws

08:24 Productreviews

11:21 Vraag & Aanbod

22-02 Jobs

11:00 Etc.

11:23 Reacties

11:23 Forum

20-02 Gesponsorde acties

09:59 Tweakblogs

10:52 Computable headlines

08:50 CRN headlines