Een beveiligingsonderzoeker heeft op eenvoudige wijze inzicht gekregen in de hoeveelheid stemadviezen die voor bepaalde partijen werd afgegeven door het adviesplatform StemWijzer. Dit onbedoelde 'lek' zou volgens de maker ProDemos inmiddels gedicht zijn.
Volgens beveiligingsonderzoeker Loran Kloeze is het openen van de devtools in Chrome voldoende om inzicht te krijgen in de hoeveelheid adviezen per partij. Hij maakte een Python-scriptje om de resultaten bij te houden. Volgens hem is de StemWijzer hierdoor meteen Stempeiler, iets waar de dienst niet voor bedoeld is. Volgens de maker van de StemWijzer kwam dit door de statmachine van de dienst, die is inmiddels uitgezet.
Kloeze zet daarnaast vraagtekens bij de beveiliging van StemWijzer doordat hij de teksten 'SijmenRuwhofiseenlul' en '31337' aantrof in code van de StemWijzer. Ruwhof is de beveiligingsonderzoeker die vorige week tal van lekken aantrof in de software waarmee stemmen geteld worden bij de Nederlandse verkiezingen. Niet duidelijk is waarom en hoe de tekst in de code terechtkwam.
Ten slotte stelt Kloeze vraagtekens bij het gebruik van Google Analytics op StemWijzer. "Politieke voorkeuren willen veel mensen graag geheim houden. Dat Google misschien uw browser en ip-adres kan koppelen aan uw politieke voorkeur voelt wel erg ongemakkelijk", schrijft hij.
De StemWijzer werd maandag online gezet door ProDemos, in het bijzijn van verschillende lijsttrekkers. De dienst is volgens ProDemos 'veruit de meest gebruikte stemhulp'. De beveiliging van dit soort diensten is een heet hangijzer omdat westerse inlichtingendiensten claimen dat er aanwijzingen zijn dat buitenlandse mogendheden verkiezingen proberen te manipuleren. Tegenover de NOS liet StemWijzer maandag weten dat er extra maatregelen genomen waren voor de beveiliging van de dienst, onder andere werd de hulp van het Nationaal Cyber Security Centrum ingeschakeld.
Update, 15.16: Volgens tweaker nuveo zouden de teksten"SijmenRuwhofiseenlul" en "31337" simpelweg via JSON naar Stemwijzer verstuurd kunnen zijn door het id aan te passen. De berekeningen van de dienst vinden namelijke wel client-side plaats, maar aan het eind zou een AJAX-request met de antwoorden naar de server gestuurd worden. Via de developer console van Chrome kunnen hierbij aanpassingen gemaakt worden. Een groot beveiligingsprobleem zou dit niet zijn.
Update 2, 17.30: Kloeze zelf geeft verduidelijking over zijn handelwijze.