Door Dimitri Reijerman, zaterdag 29 december 2012 10:41, views: 27.708 •
Submitter: clannad

Een datalek op de website van de Belgische spoorvervoerder NMBS dat toegang gaf tot persoonsgegevens van treinreizigers zou veel groter zijn dan gedacht. Het gaat mogelijk om data van 1,5 miljoen NMBS-klanten die vermoedelijk wekenlang vrij toegankelijk waren.

Vorige week zaterdag werd bekend dat de NMBS-website een datalek bevatte nadat een internetgebruiker op een forum een link had gepost die verwees naar een pagina met klantgegevens van treinreizigers. De spoorvervoerder haalde de informatie van zijn website af en stelde dat het ging om een datalek met een beperkte omvang. Ook zou het privacylek de fout zijn van een slordige NMBS-medewerker.

Het lek op de site van de Belgische spoorvervoerder zou echter veel groter zijn dan eerder gedacht, zo meldt De Tijd. Volgens de krant zouden er 1,46 miljoen records vrij zijn op te vragen, al zou het bij een deel mogelijk om duplicaten gaan. Het is waarschijnlijk dat er al kopieën van de klantgegevens in omloop zijn.

De NMBS erkent inmiddels dat het gaat om zeker 'enkele honderdduizenden' gegevens die met de juiste link vrij toegankelijk waren. Daarnaast heeft de spoorvervoerder publiekelijk excuses gemaakt: 'De privacy van onze klanten is voor ons een prioriteit,' aldus de woordvoerder van de NMBS. Het spoorbedrijf claimt dat zijn websites jaarlijks via een audit op veiligheid worden gecontroleerd maar belooft naar aanleiding van het incident verdere maatregelen te treffen.

Reacties (33)

Reactiefilter:-133032+122+22+30
Platte weergave•Sorteer aflopend•Faq
«  1  2  »
+1 ludonis
@Foen1337 • 29 december 2012 10:46
Als het om persoonsgegevens gaat, dan is er een plicht om de gegevens "voldoende veilig" op te slaan. Het probleem is dat de grens heel erg vaag is. Bovendien is die plicht gekoppeld aan de "gevoelige" gegevens. Dingen als leeftijd, geslacht, afkomst, politieke voorkeur, ... De vraag is dus in hoeverre de NMBS die gegevens heeft en bewaart.
+1 lordfragger
@ludonis • 29 december 2012 11:06
Ze hebben toegang tot best wel veel gegevens:
- naam, geboortedatum, adres,... van mensen met een abo
- naam, rekeningnummer/bankkaart nummer van mensen die online een ticket gekocht hebben
- visakaart nummer van mensen die met visa tickets kopen

Ik weet niet welke gegevens er juist gelekt zijn, maar de nmbs heeft zeker genoeg gevoelige informatie over hun klanten.
+1 kdhoe
@lordfragger • 29 december 2012 12:06
Ik denk niet dat ze betaalinformatie hebben van hun klanten. De betalingen gaan nl. via Ogone, die op zijn beurt connectie maakt met de internet banking van de gekozen bank.
+1 BoringDay
@Foen1337 • 29 december 2012 11:01
Omdat men te haastig een systeem moet ontwikkelen om de kosten te beperken.
Hierdoor zien programmeurs dingen over het hoofd, terwijl er tijd nodig is om het goed te kunnen ontwerpen, testen en uitvoeren. Concurrentie mag wel de prijs in strijd trekken maar het gevolg is dat de kwaliteit omlaag schiet.

Dus waar gaat het heen? half werk
+1 Blokker_1999
@BoringDay • 29 december 2012 12:08
Het kan natuurlijk ook om een eenvoudige vergissing gaan. Ik weet niet hoe deze gegevens juist ter beschikking werden gesteld, maar als ik kijk hoe goed de beveiliging in orde is bij de meeste informatica projecten binnen de NMBS verbaasd het mij dat dit is gebeurd.
+1 Xantios
@Ingcharoth • 29 december 2012 10:59
Waarom wordt dit weggemod?
ik vrees dat Ingcharoth hier de spijker JUIST op z'n kop slaat!

de enige reden dat deze gegevens interessant zijn is omdat er mensen grote zakken geld aan weten te verdienen.

Laten we een fictief scenario nemen van bedrijf X, 200 medewerkers, 50.000 klanten en een kansloze admin.

Nu, wanneer dit bedrijf een scriptkiddie ( wat dit wrs ook gwn is) op bezoek krijgt, en de gegevens zijn niks waard, dan hoor je er niks van. Echter, als we alleen even richting spammers kijken: dan zit je toch al snel op zo'n 50.200 spam adressen, dat voor 30 cent per stuk ( en dan gok ik even op een goedkope spammer) zit je op zo'n ¤15.060.
(Ik verdien ze niet in een paar uurtjes werken)

conclusie: er zitten LOMP grote bedragen in dit soort simpele "hacks" ( echt hacks zijn het natuurlijk niet te noemen)
+1 Mraedis
@Xantios • 29 december 2012 11:14
De originele post ging over iemand die het gewoon had gevonden via Google. Zocht waarschijnlijk op zijn naam of dergelijke dus.
+1 Ingcharoth
@Mraedis • 29 december 2012 11:38
Jawel, maar er werd gevraagd waar dit heen ging. Uiteraard niet letterlijk bedoeld, maar wat we in de toekomst zouden kunnen verwachten. Mijn grap heeft dus helaas een serieuze ondertoon.
+1 Alpha89
29 december 2012 10:52
Ik heb zo'n idee dat dit soort gevallen pas puntjes van de ijsberg zijn... We komen dadelijk handen tekort met data-diefstal. Hebben we straks genoeg agenten op de straat, hebben we er te weinig achter de computer...

Daarnaast zouden bedrijven verplicht moeten worden om een data security audit uit te laten uitvoeren. Bijvoorbeeld 1 keer per jaar. Maarjah... wie gaat dat doen?!?
+1 Damic
@Alpha89 • 29 december 2012 11:02
Die audit doen ze blijkbaar al maar wanneer en wat word er nagekeken, juist na een grote site update of gewoon random moment en doen de spoorwegen daarna een update en komen er dan lekken in????
+1 Boozman
29 december 2012 11:06
Veiligheid van gegevens is een continu proces waar je als bedrijf / vereniging (maar ook als persoon) doorlopend bewust mee moet omgaan. 1 keer per jaar een security audit is natuurlijk een goed begin (ligt er wel aan wat voor soort security audit het is trouwens; je kan ook software kopen die een security audit uitvoert), maar ergens in de 12 maanden erna wordt er op verzoek van een marketeer een optie toegevoegd, waarna dat "venster" dus een tijdje open blijft staan. Eigenlijk zou na het toevoegen van een extra optie (programma code dus) de security audit opnieuw moeten worden gedaan.

Bewustwording van veiligheid moet bij iedereen liggen; van programmeur tot marketeer en gebruiker. Komt vanzelf wel, zolang tweakers, webwereld en nu.nl maar artikelen hierover blijven publiceren en het af en toe op het 8 uur journaal is :)
+1 v-c
@Boozman • 29 december 2012 11:22
Lekken zullen altijd plaatsvinden. (met of zonder opzet)

Belangrijk is niet te vergeten dat we een maatschappij gecreëerd hebben waarin de informatie die vrij komt waarde heeft om te misbruiken.
Als we zorgen dat de informatie geen waarde meer heeft creëert het ook geen problemen meer.

10/20 jaar geleden stond de achterdeur bij iedereen open (dorp waar ik woonde iig wel) omdat de kans op diefstal minimaal was en de buurt mekaar goed kende. Schaarste was in sommige opzichten minder aanwezig dan nu. Tegenwoordig moet alles op slot omdat anders je hele huis leeggeroofd wordt en dit zal naarmate de crisis toeneemt drastisch toenemen. (tenzij het via internet of andere wegen makkelijker is om aan geld te komen)

[Reactie gewijzigd door v-c op 29 december 2012 11:23]

+1 litemotiv
29 december 2012 11:43
'De privacy van onze klanten is voor ons een prioriteit,' aldus de woordvoerder van de NMBS.
Eh, niet dus.

Ik snap niet dat je dat publiekelijk durft te zeggen, als het tegendeel net bewezen is...
+1 Blokker_1999
@litemotiv • 29 december 2012 12:10
Maak jij nooit geen fouten? Of is elke fout die gemaakt word altijd ook direct zichtbaar en opspoorbaar? Het ene moet het andere echt niet uitsluiten.
+1 huntedjohan
@litemotiv • 29 december 2012 13:44
jeetje zeg. hoe kortzichtig kun je zijn. dat het een prioriteit is betekent toch niet vanzelf ook geen fouten? als het waar is dat hun site geregeld gechecked word bewijst hij dat het wel prio heeft.

misschien vaker als 1x per jaar een check uitvoeren zou het wellicht kunnen voorkomen.
+1 Jack77
29 december 2012 11:53
Boozman geeft het ergens al aan:
- sommige bedrijven trekken het zich enkel aan als ze er negatieve "publiciteit" door krijgen
- veel consumenten trekken het zich pas aan als ze er persoonlijk nadeel van ondervinden. Voor de rest zal privacy hen worst wezen.
+1 Spast
29 december 2012 11:59
Op de website van de Belgische krant De Morgen wordt gemeld dat de persoonsgegevens zelfs geïndexeerd zijn geworden door crawlers van zoekmachines zoals onder andere Google en dat de NMBS achter de persoon gaat die het lek kenbaar gemaakt heeft.

http://www.demorgen.be/dm...5-miljoen-reizigers.dhtml

Naar mijn mening mogen er financiële gevolgen aan het wanbeheer van persoonsgegevens gekoppeld worden. Jij zelf doet vaak de grootste moeite met geen privé-informatie online te zetten, maar er hoeft slechts 1 lek te zijn dat het verpest.

Eventjes terzijde: Was er laatst ook niet een lek van persoonsgegevens binnen de Nederlandse medische dossiers of iets dergelijks? Of vergis ik mij hierin?

[Reactie gewijzigd door Spast op 29 december 2012 12:06]

+1 ieperlingetje
29 december 2012 12:39
Verbaast me niet dat er lekken blijven gevonden worden, maar de laksheid van sommige bedrijven valt me wel zwaar. Zo heb ik zelf vorig jaar in oktober een lek gemeld (zie dit topic [website] beveiligingslek gemeld, geen verbetering. Welnu, dat lek bestaat nog steeds, men zal het nu in januari oplossen.
+1 Sir_Eleet
29 december 2012 12:43
Over welke klanten gaat dit precies? Alle klanten vanaf een bepaalde datum? Klanten van een bepaalde service? Als ik een trein abonnement had in 2011, zit ik hier dan ook bij? Ik heb geen flauw idee hoe groot het totale klantenbestand is, of grofweg hoeveel abonnees er zijn...

Dan de tweede vraag.. WELKE gegevens zijn er allemaal gelekt?

[Reactie gewijzigd door Sir_Eleet op 29 december 2012 12:45]

+1 Tomsworld
29 december 2012 13:20
Ik hoop dat de nmbs de moeite doet om de getroffen reizigers persoonlijk te informeren, ik veronderstel dat ik daar zelf ook wel zal bijzitten. Ik heb een abonnement, al meerdere keren een vraag gesteld via de website, abonnement verlengd en tickets gekocht.

Tsja wat loopt er niets mis bij de nmbs / infrabel.

Op dit item kan niet meer gereageerd worden.

«  1  2  »

Onderwerpen

Gerelateerde content

Alle gerelateerde content (11)