VakantieVeilingen liet in 2015 gegevens van 21.000 klanten uitlekken

Website VakantieVeilingen heeft door een 'foutieve link' privégegevens van 21.000 klanten gelekt. Dat gebeurde in 2015 en is nu pas bekend geworden, nadat de ontdekker van het lek alle 21.000 getroffenen klanten een e-mail over het datalek stuurde.

Het bedrijf achter veilingsite VakantieVeilingen heeft tegenover RTL Nieuws bevestigd dat er privégegevens zijn uitgelekt. Het gaat om volledige namen, woonadressen en e-mailadressen. Daarnaast was ook zichtbaar welke reizen of activiteiten de klanten op de website hadden gekocht. De gegevens lekten uit omdat in 2015 per abuis een link werd meegestuurd naar een winnaar van een veiling.

Deze persoon, die zichzelf Jeroen noemt, downloadde alle gegevens en maakte bij VakantieVeilingen melding van het lek. De website voegde vervolgens een wachtwoord toe aan de link, maar Jeroen was desondanks ontevreden. Naar eigen zeggen kreeg hij meerdere keren geen reactie of excuses, waarna hij onlangs besloot om alle getroffen klanten een e-mail over het lek te sturen. Hij zou recent een conflict hebben gehad met de helpdesk van VakantieVeilingen, waarna hij zei dat hij nog over de gegevens van de 21.000 klanten beschikte. Kort na dat conflict verstuurde hij de e-mail. Hij wilde niet reageren op vragen van RTL.

VakantieVeiligingen wist dus al in 2015 van het lek, maar volgens een directeur van het moederbedrijf van de veilingwebsite zijn de klanten toen niet geïnformeerd, omdat niet duidelijk was of de gegevens daadwerkelijk waren gekopieerd. Het bedrijf heeft het lek inmiddels gemeld bij de Autoriteit Persoonsgegevens. De meldplicht voor datalekken bestaat in Nederland sinds 2016; omdat het datalek van een jaar daarvoor is, heeft VakantieVeilingen waarschijnlijk geen publiekrechtelijke wet overtreden.

Inmiddels heeft VakantieVeilingen alle getroffen klanten geïnformeerd en met Jeroen is overeengekomen dat hij alle gelekte gegevens verwijdert. Om dat te bereiken is hij bij VakantieVeilingen langsgegaan met zijn apparatuur en heeft hij een document getekend waarin hij verklaart geen kopieën te hebben.

Reacties (66)

[TweakOverflow]

Aanvulling op het artikel, het gaat om deze e-mail welke door 'Jeroen' verstuurd is naar de getroffen gebruikers:

"Mijn naam is Jeroen en ik heb, net als u, een veiling gewonnen bij VakantieVeilingen.

In 2015 heb ik contact gehad met de helpdesk van VakantieVeilingen. De helpdesk stuurde mij per mail een bevestiging waarin een link zat. Toen ik op de link klikte kreeg ik ongevraagd toegang tot de persoonlijke gegevens van ongeveer 21000 klanten van VakantieVeilingen.

Uiteraard heb ik per direct VakantieVeilingen hiervan op de hoogte gesteld. De link werd voorzien van een wachtwoord, echter heeft VakantieVeilingen tot nu toe nimmer de moeite genomen om haar excuses aangeboden of navraag gedaan over de door VakantieVeilingen verstrekte gegevens.

Wellicht neemt VakantieVeilingen naar aanleiding van deze mail wél de moeite om alsnog contact met mij op te nemen."

[twkr18526]

Heb zelf mn gegevens al jaren proberen te wissen bij vakantieveilingen, maar helaas.

De helpdesk of wie daar ook achter zit wilde dat eerst niet geven. Ze wilden ook niet zeggen aan welke andere bedrijven of partners ze mn gegevens mee hebben gedeeld. Zeker nadat ik opeens mailingen kreeg van andere bedrijven die bij navraag wezen naar vakantieveilingen.

Nu met de nieuwe AVG heb ik het nog een keer geprobeerd om mn gegevens op te vragen of minimaal te wissen. Willen ze eerst nog meer gegevens van me weten, voordat ze iets willen doen. Ze weten al dat ik een enail naar hun stuur met mn verzoeken vanuit het mailadres waar ze me op spammen en toch zeggen ze dat ze meer informatie nodig hebben om dat te bevestigen...

Ik geloof die Jeroen wel...

_{Tx @bartmatsko voor de correcte afkorting}

[Reactie gewijzigd door twkr18526 op 23 juli 2024 06:50]

[Rabb]

Je beseft je dat de afzender van een email gespoofed kan worden en dat je dus daadwerkelijk andere persoonlijke gegevens nodig hebt om te bevestigen dat jij bent wie je beweert dat je bent voordat ze je gegevens gaan wissen?

[twkr18526]

Als ik me geregistreerd heb als twkr18526 en vervolgens spam ontvang van onbekende bedrijven die aangeven via vakantieveilingen mn email adres te hebben gekregen, ga ik ze niet toevertrouwen met een kopie van mn paspoort met alle andere gegevens die ze nog verder kunnen misbruiken!!!

Zeker niet als vakantieveilingen er niet in slaagt om na jaren simpelweg mij de keuze te geven om mn account te verwijderen, inclusief mn email adres uit hun systemen.

Je moet makkelijk zelf je account kunnen verwijderen, net zo makkelijk als aanmaken!

[Jeroen hofman]

Je moet makkelijk zelf je account kunnen verwijderen, net zo makkelijk als aanmaken!
Dit zou in de wet , of bij enig account wat je aanmaakt, vastgesteld moeten worden

[Rinzwind]

Dat kan simpel door een reply met verzoek tot bevestiging te sturen. Verzenden kun je spoofen, ontvangen niet.

[Anoniem: 710428]

Net als bij de consumentenbond. Ik heb een account met een vaag spam @gmail.com acc en gebruikersnaam j. Aaa en verdere gegevens die totaal niet te herleiden zijn naar een persoon. Om mn acc te verwijderen moet ik dan mn paspoort/rijbewijs sturen, maar dan geef je ze alleen maar meer data dat is gewoon krom. Als ik een account heb met een mailadres en daarvandaan stuur ik een mail om te verwijderen dan moet het verwijderd worden. Beter nog is een optie in je account om te verwijderen(zodat het geverifieerd is), maar ook dat ontbreek bij 99/100 sites.

[bartmatsko]

AVG*

[wica]

Heeft deze Jeroen, niet een probleem?
Hij heeft meer gedownload, dan nodig was om de lek aan te tonen.
Daarnaast heeft hij blijkbaar deze gegevens bewaard (wat die had moeten verwijderen, na het melden van de lek)
En dan nog, 21000 mensen mailen.

[init6]

Hij heeft 21000 adressen gekregen door het aanklikken van een link, maak van slachtoffers geen daders aub. De manier van afhandeling is nalatig, mensen welke dit ter sprake stellen zijn geen daders vooral op de manier hoe gehandeld lijkt te zijn zou ik Jeroen dankbaar zijn met de wetenschap dat ik mijn wachtwoord moet roteren.

[wica]

Ik ben overtuigd van de goede bedoelingen van Jeroen, en ga er vanuit dat hij er niets verkeerd mee gedaan heeft en gaat doen.

Maar ik ben geen OM nog een Rechter, maar als VakantieVeilingen hier een zaak van maakt, hebben ze denk ik wel kans.

Je mag in Nederland een bedrijf "hacken" om een lek aan te tonen.
1 van de vereiste is, dat e dit doet door een minimale hoeveelheid aan data buit te maken. En een andere dat jij die gehele data set niet bewaard.

En zolang hij die data heeft, is hij ook nog een gegevens verwerker, volgens de AVG.
En mogen deze 21000 mensen zich afvragen hoe hij dat heeft opgeslagen.

Als "hacker" moet je nu eenmaal voorzichtig zijn.

[Anoniem: 310408]

Hij heeft 21000 adressen gekregen door het aanklikken van een link, maak van slachtoffers geen daders aub.

Nee, hij kreeg toegang na het klikken. hij heeft de files zelf opgehaald. Ik denk dat Jeroen zeker wel wat uit te leggen heeft.

[Remco K.]

Nee, hij kreeg toegang na het klikken. hij heeft de files zelf opgehaald. Ik denk dat Jeroen zeker wel wat uit te leggen heeft.

Dat hij bestanden heeft gedownload om mensen te kunnen waarschuwen om verdere schade te voorkomen? Ja, dat zou hij uit kunnen leggen en daarmee is de kous af. Er zijn verder geen bewijzen dat hij een andere bestemming voor de data heeft.

Totdat ze natuurlijk de data ergens terugvinden en het spoor naar 'Jeroen' leidt, dan valt er wel iets uit te leggen.

[jaenster]

Ik denk dat de meeste het daar mee eens zijn, maar @wica heeft wel gelijk dat hij (juridisch gezien) misschien wel een probleem heeft.

[init6]

Hij verkreeg de data dmv de link en informeerde slachtoffers terwijl VakantieVeilingen dat jaren naliet en gewoon nalatig was. Vertel mij eens hoe je juridisch een probleem kan hebben.

[jaenster]

Dat de ander er naast zit, betekend niet dat je vrij spel hebt.

Begrijp me niet verkeerd, als ik in Jeroen's schoenen had gestaan had ik hetzelfde gedaan. Vind het goed wat hij heeft gedaan. Maar dat betekend niet dat het mag.

[init6]

Nogmaals wat is er onrechtmatig aan geweest?

[jaenster]

Heeft deze Jeroen, niet een probleem?
Hij heeft meer gedownload, dan nodig was om de lek aan te tonen.
Daarnaast heeft hij blijkbaar deze gegevens bewaard (wat die had moeten verwijderen, na het melden van de lek)
En dan nog, 21000 mensen mailen.

[letsa]

De slachtoffers hebben geen opt-in gehad om hun persoonsgegevens door "Jeroen" te laten verwerken. Jeroen heeft verder geen rechtmatige basis voor het gebruik van persoonsgegevens in zijn mailing. Vakantieveilingen heeft eventueel belang bij het benaderen van deze personen, maar Jeroen als op zichzelfstaand entiteit niet.

Dat gezegd hebbende vind ik het op de hoogte stellen van de slachtoffers een moreel acceptabele actie van Jeroen, hoewel dit juridisch dus anders in elkaar steekt.

[Ienni1983]

De meldplicht voor datalekken bestaat in Nederland sinds 2016; omdat het datalek van een jaar daarvoor is, heeft VakantieVeilingen waarschijnlijk geen publiekrechtelijke wet overtreden.

Dat lijkt me een beetje vreemd...

oh we hebben in 2015 een lek gehad en we weten het een jaar lang dus laten we het maar verder verbergen.

Ik vind dat je dan een grote wet hebt geschonden....

[Lagonas]

Stel jij rijdt in 2015 door rood licht en in 2016 zou er pas een wet komen dat dat noet mag, moet je dan ook een boete krijgen met terugwerkende kracht? Tuurlijk niet.

[kodak]

Maar het datalekken van persoonsgegevens mocht in 2015 ook al niet. Ook toe was het bedrijf verplicht om passende technische en organisatorische maatregelen te treffen om persoonsgegevens te beschermen. Dat er geen meldplicht was of het strafregime andere mogelijkheden gaf maakt niet dat ze de wet niet overtreden hebben. Dat mag de AP verder beoordelen.

[Zen1581]

Je hebt je te houden aan de wet die geldt op het moment van plegen geldt. In dit geval dus op het moment dat het datalek er was. Wanneer de wet ondertussen veranderd, geldt het meest gunstige voor de verdachte, zie https://maxius.nl/wetboek-van-strafrecht/artikel1. Het voorgaande geldt voor zowel het strafrecht als alle andere (publiekrechtelijke) wetten en wordt het legaliteitsbeginsel genoemd. Omdat de wet bescherming persoonsgegevens (die op dat moment gold) publiekrecht is, is dit dus ook daar van toepassing.

Het (laten) lekken van data mocht inderdaad in 2015 niet, maar niemand was toen verplicht om die lekken te melden. Vakantieveiligen heeft wat dat betreft dus (helaas) niks verkeerd gedaan. Alsnog kunnen ze wel een boete krijgen mocht blijken dat ze geen of te weinig maatregelen hebben genomen, maar die boete is relatief laag als je het vergelijkt met de AVG

[Reactie gewijzigd door Zen1581 op 23 juli 2024 06:50]

[kodak]

Exact. En daarom snap ik de bewering in het artikel ook niet:

heeft VakantieVeilingen waarschijnlijk geen publiekrechtelijke wet overtreden.

.
Er hoeft hooguit niet voldaan te worden aan de extra eisen en er is hooguit een strafregime van dat moment geldig, maar dat is niet het zelfde als een algehele situatie waarop het publiekrecht als de WBP als geheel niet van toepassing zou zijn of er geen strafbaar feit op die basis zijn zijn begaan.
Dat er bedrijven met de oude wetgeving erg veel ruimte hadden om verder niet te hoeven handelen of zelfs kunnen negeren van lekken is mede een oorzaak dat er strengere wetgeving is.

[killzonex]

die boete die je in 2015 zou krijgen blijft ook gewoon in 2016 staan als.je niet betaalt .

zo raar is zijn opmerking dus niet

een jaar niks zeggen zodat je geen problemen meer krijgt....

[johan501]

Dat klopt niet wat je zegt. Hij zei duidelijk dat als je in 2015 door rood licht rijd en er in 2016 pas een wet komt dat het niet mag, dat je de boete niet hoeft te betalen. Dan heb je in 2015 waarschijnlijk ook geen boete gehad als het niet in de wet stond, dat het verboden is bedoel ik.

Geen wet = geen boete. Zover ik weet staat de boete in de wet.

[Basszje]

Wat is daar vreemd aan? Als een wet er niet is kan je hem ook niet overtreden.

[Ienni1983]

Maar hij kwam er wel in 2016.
Dan hadden ze (vind ik) het in 2016 meteen moeten melden.

Maar dat is mijn mening

[Bender]

Vind je ook dat met terugwerkende kracht boeteverhogingen betaald moeten worden?

[unilythe]

Ik vind dat je dan een grote wet hebt geschonden

Het gaat echter niet om wat jij vind, maar om hoe het feitelijk is. De wet zit met een reden zo in elkaar.

[Reactie gewijzigd door unilythe op 23 juli 2024 06:50]

[Anoniem: 320788]

Om dat te bereiken is hij bij VakantieVeilingen langsgegaan met zijn apparatuur


Nee duidelijk 100% zekerheid dat de data niet meer in zijn bezit is..

[kodak]

Er is bij een datalek bijna nooit 100% zekerheid te geven dat gegevens als gevolg toch nog ergens blijken te bestaan. Dus blijft over dat je vertrouwen in elkaar nodig hebt samen met afspraken. Een manier om daaraan te werken is hoe ze dit hebben gedaan.

[kuurtjes]

Aan die apparatuur heb je idd niets maar aan dat contract wel

[Anoniem: 320788]

Correct. In elk geval een stok om mee te slaan.

[darknessblade]

klopt zeker
een txt file op de usb stick die je bij je grootmoeder in de lade legt, denkt niemand aan.
dan is het zo simpel as dat stickje weer ophalen en dan bezit je weer over de data.

[kodak]

Wat ook niet vergeten moet worden is gebrek aan beveiliging van persoonsgegevens bij de personen die ze niet eens zou mogen verwerken. Dat de gegevens in verkeerde handen zijn gevallen maakt het probleem van slechte bescherming er niet perse beter op, zelfs als de persoon de beste intenties meent te hebben.

[Pater91]

Verbaast me niets. Zelf heb ik een pastebin scraper (Scavenger) draaien om te speuren naar nieuwe lekken, om er op tijd bij te zijn als ik ergens tussen sta.
Gisteren nog een lijstje binnengehaald met een stuk of 30 marktplaats accounts ( gehackt ). Meteen marktplaats op de hoogte gesteld, maar tot nog toe heb ik niets van ze vernomen. Ik geef ze nog een dag en dan neem ik zelf contact op met de betrokkenen om ze te waarschuwen, want die accounts gaan gegarandeerd gebruikt worden door oplichters met alle gevolgen van dien.

Oorspronkelijk wilde ik standaard alle binnengehengelde email adressen een mailtje sturen om ze op de hoogte te stellen, maar dit is haast onmogelijk tegenwoordig met de spamfilters.
Gisteren alleen al kwamen er 1600+ unieke (!!) gegevens binnen, waarvan iets meer dan 250 stuks Nederlands is. Per maand zouden er dus een kleine 7500 mailtjes uit moeten gaan, wat me gegarandeerd een plekje in diverse blacklists op zou leveren.

Een snelle zoekopdracht leerde me ook nog eens dat mijn vriendin en ik er beide in staan..met plaintext passwords. Het is echt om ziek van te worden, want mijn Google account was vanmiddag preventief gesloten vanwege teveel gefaalde inlogpogingen vanuit een of ander ver land.

En nu hebben we dus dit lek weer. Toevallig heb ik 3 jaar geleden, voor de eerste en laatste keer, bij vakantieveilingen een weekje weg geboekt. Nu heeft deze bewuste persoon, Jeroen, netjes gehandeld en de data verwijderd, maar wie kan me garanderen dat de data nergens anders ligt?

Nu hoor ik je denken; gebruik dan een password manager met unieke wachtwoorden.. dan ben je overal vanaf. Maar wat nu als ik even geen toegang heb tot mijn offline database bestand, of tot de eventuele online dienst? Ik weet gewoon echt niet meer hoe ik mezelf en mijn naasten veilig kan houden online..

[Madden]

Nu hoor ik je denken; gebruik dan een password manager met unieke wachtwoorden.. dan ben je overal vanaf. Maar wat nu als ik even geen toegang heb tot mijn offline database bestand, of tot de eventuele online dienst? Ik weet gewoon echt niet meer hoe ik mezelf en mijn naasten veilig kan houden online..

Ik gebruik al jaren tot volle tevredenheid KeePass. Goed beveiligd, en via de verschillende sync-diensten staat het op al mijn apparaten. Het moet dus wel heel raar lopen wil je niet bij die database kunnen komen, offline of online....

[Pater91]

Ook op Android en Linux?
Heb je misschien een linkje voor die sync tooltjes? Klinkt namelijk best goed, ik gebruik het wel op mijn windows laptops en desktops ( met de database op m'n homeserver ) maar ik heb nog geen fatsoenlijke sync gezien voor mijn andere apparaten.

[Madden]

Windows, Android en Linux. Hoewel ik eerlijk gezegd die voor Linux weinig gebruik (meestal gebruik ik Linux in VBox op een host waarvan ik dat soort folders deel met VBox).
Ik gebruik er eigenlijk 2: Sync (https://www.sync.com, niet voor Linux helaas) en Mega (https://mega.nz/sync).

Sync gebruik ik vooral om bestanden als dat van KeePass te syncen, en Mega voor de grotere hoeveelheden (foto's en video's van mijn mobiele apparatuur).

[multikoe]

Same here. Keepass database online gezet en overal vandaan bereikbaar, zowel op mijn privécomputer, als mijn werklaptop als mijn Android telefoon. Onmisbaar. Heeft me al in heel wat vervelende situaties gered.

[jaenster]

1password.

Werkt op mijn telefoon / pc / laptop / tablet. Offline en online, ze syncen als ze online komen. Als je niet offline of online er bij kan, waar heb je dan een wachtwoord voor nodig?

[Pater91]

Omdat mijn ontwikkelomgeving, lokaal, ook wachtwoorden heeft

Maar thanks voor de tip, ik zal eens naar 1passsword kijken!

[jaenster]

mijn ontwikkelomgeving ook, kan ik het nog wel opslaan in een password manager right? =)

[Tweakwondo]

hmm lekker lax. ik heb geen mail ontvangen dus zal wel niet tussen de lijst zitten. toch zou ik graag een bevestiging willen hebben of het daadwerkelijk zo is.. vertrouw dit niet zo

[kodak]

Bewijzen dat iets wel is gebeurt is en er verder alleen onzekerheid en geen bewijs is is makkelijker.

Wat zou je accepteren als bevestiging dat je data niet gelekt is?

[TweakOverflow]

Het echte probleem ligt bij VakantieVeilingen:
"VakantieVeiligingen wist dus al in 2015 van het lek, maar volgens een directeur van het moederbedrijf van de veilingwebsite zijn de klanten toen niet geïnformeerd, omdat niet duidelijk was of de gegevens daadwerkelijk waren gekopieerd. Het bedrijf heeft het lek inmiddels gemeld bij de Autoriteit Persoonsgegevens."

Dus omdat VakantieVeilingen zelf niet in kon zien of er gegevens van deze pagina gekopieerd werden in de tijd dat dit online heeft gestaan zetten er maar stilletjes een wachtwoord op en informeren ze de klanten niet die inzichtelijk waren via die link. Dit is dus gewoon slecht omgaan met klanten en de informatie die ze van hun hebben.

[efari]

De catch zit ‘m hier:
VakantieVeilingen wist wel dat de gegevens gekopieerd werden, want Jeroen had het hun verteld dat hij dat gedaan had.
Dus naast een datalek hebben ze ook gelogen.

[0xygen500]

wat een slordige afhandeling

[NorMath]

Website beheerders die niet in staat zijn om het simpele te kunnen coderen zoals mensen hun account even makkelijk te kunnen verwijderen als aanmaken moeten gewoon stoppen met hun werk en iets anders doen. Zo'n sites moeten anno 2018 niet meer bestaan, dat ze wat rap aan de wetten doen want die zijn zeer minimaal op het internet.

[alex_pas]

In plaats van de gegevens te misbruiken voor zijn eigenbelang, had hij toch ook contact kunnen opnemen met de Autoriteit Persoonsgegevens? Onder het mom van als zij het niet melden, doe ik het en ga eens na of dit nog steeds mogelijk is of dat het inmiddels is opgelost, want mij laten ze niks meer van hun horen.

Dat had hij ook al in 2015 of 2016 kunnen doen. Dat hij ermee wacht tot eind 2018 geeft nog meer aan dat het nu een persoonlijke stok is waar hij mee wil slaan. Ik snap überhaupt niet dat je daar dan nog zaken mee wil doen, als je er blijkbaar zo ontevreden over bent.

Het feit dat een bedrijf een fout maakt en jou gegevens van 21000 mensen inzichtelijk maakt, geeft jou niet het recht die gegevens a) daadwerkelijk te downloaden b) drie jaar (onveilig?) te bewaren en c) daadwerkelijk te gebruiken.

Het bedrijf maakte de fout voor de AVG. Ten tijde van het ongeoorloofd misbruik ervan door Jeroen, was die wel actief. Ik ben er niet zo zeker van dat Jeroen niks verweten kan worden.