Parkeerbedrijf Indigo meldt datalek waarbij mogelijk klantgegevens zijn gestolen

Bij een datalek bij Indigo kregen hackers mogelijk toegang tot woonadressen, e-mailadressen en nummerplaten van klanten. Wachtwoorden en betaalgegevens zouden niet inzichtelijk zijn geweest. Het parkeerbedrijf is onder meer actief in België.

Op zijn website toont Indigo een kort bericht waarin het aangeeft dat er een cyberincident heeft plaatsgevonden. In een e-mail die diverse tweakers hebben ontvangen, laat het bedrijf meer informatie los. Daarin staat dat kwaadwillenden zijn informatiesystemen zijn binnengedrongen en daarbij mogelijk toegang kregen tot persoonlijke gegevens van Indigo Neo-klanten. Het gaat om namen, e-mail- en woonadressen en nummerplaten. Andere gegevens, zoals betaalinformatie en wachtwoorden, waren volgens Indigo niet toegankelijk.

Het bedrijf heeft het incident gemeld bij de relevante autoriteiten en zegt dat het lek is gedicht. Ook belooft Indigo dat het de beveiliging van zijn systemen heeft opgeschroefd zodat een dergelijk datalek niet nogmaals kan plaatsvinden. Het is onduidelijk of het incident alle klanten treft of een beperkt aantal. Indigo is actief in verschillende Europese landen, waaronder België. Het bedrijf is een uitbater van parkeergarages en biedt de dienst Indigo Neo aan, waarmee klanten via de app hun parkeersessies kunnen beheren.

Reacties (67)

[Nyarlathotep]

Dat is echt heftig.
Een crimineel kan met jouw woonadres én kenteken zo achterhalen wat voor auto jij hebt én waar deze staat. En kan dus zo rustig het stelen van jouw auto voorbereiden...

[UUID]

Dat klopt voor Nederlandse gebruikers van Indigo Neo, maar in België ligt dat iets anders. Daar is de nummerplaat niet strikt gekoppeld aan één specifieke auto. Je kan je plaat namelijk meenemen naar een nieuwe wagen. Daardoor is er ook geen publieke kentekencheck zoals bij de RDW in Nederland. Dus het is veel moeilijker om op basis van alleen een nummerplaat te achterhalen welk type auto iemand heeft.

[Damic]

Bij onsHier in België kun je geen kenteken opzoeken, daar heb je de VIN voor nodig. Maar als je een adres weet kun je altijd eens langs rijden of gewoon eens kijken op google maps.

Ow en het zijn allemaal elektrische auto's dus GELD waard in batterijen en koper. edit: juist parkings.

[Reactie gewijzigd door Damic op 19 april 2025 12:55]

[IStealYourGun]

Je kan natuurlijk altijd voorbij een huis rijden en kijken welke auto er staat geparkeerd. Daarvoor hebben deze gegevens weinig meerwaarde.

[TomONeill]

Er is wel meerwaarde.
Men kan de dure auto's uit de lijst vissen. Even kijken via Streetview of het een makkelijk klusje is en dan gaan.

[knokki]

##daar heb je de VIN voor nodig##
Auto's uit de lijst vissen kan in België dus juist niet.

[cadsite]

Zowat iedereen weet toch waar de wijken zijn met de dikke bakken.
Daar heb je dit lek niet voor nodig.

[supersnathan94]

Het is vele malen makkelijker om gewoon een random BMW leeg te trekken dan dat je specifieke wagens op gaat zoeken.

BMW heeft z'n wagens echt kansloos (lees niet) beveiligd.

[TomONeill]

Wie is "ons"?
Nederlanders? Kan toch gewoon via de RDW?

[Damic]

Heb het verbeterd.

[as400]

Normaal zijn op google maps de nummerplaten uitgewist. Maar zelf een Raspberry Pi met AI met een cameraatje ophangen kan voor crimineel gemotiveerde datahoarders geen budgetaire rem meer zijn.
Heck als de verbinding tussen de nummerplaat herkenning camera en de 'centrale' computer met wifi gebeurd, kan je deze misschien zelfs gewoon meelezen.

[Reactie gewijzigd door as400 op 19 april 2025 17:16]

[Oaknut]

Als iemand die werkt met ANPR camera’s en complete ANPR systemen ontwikkelt - enkel particulieren zouden dit ooit via WiFi laten lopen, sowieso is WiFi in een parkeergarage al een drama.
“Raspberry Pi met AI” - het heeft wel wat meer voeten in de aarde dan dat…

[as400]

Dank je voor je reactie. Ik heb er inderdaad een beetje de draak mee gestoken. De privacy problematiek zal met AI en vooral de toe-eigening van data door BigTech voor training zal alleen maar erger worden, vrees ik.

[Marco]

Er zullen weinig criminelen zijn die van duizenden kentekens gaan kijken wat voor auto er bij hoort.
Gewoon door een willekeurige straat rijden op zoek naar interessante auto's lijkt me een beter businessplan.

[Andros]

Die zijn er genoeg, criminelen zoeken tegenwoordig auto's uit op model en type nummer zodat ze onderdelen "op bestelling" kunnen stelen. Je zal niet de eerste zijn die 's morgens op de oprit een auto aan treft waar het stuur en entertainment systeem van ontbreekt, voor dergelijk tuig zijn dit soort lijsten erg praktisch.

[Yongshi]

Laat staan als ze weten hoe ze bepaalde autos kunnen open maken. Dan zoek je lekker kentekens die dat type zijn en hoef je enkel de adresjes langs te rijden waar dit type te vinden is.

Hoe makkelijk kan je het maken voor zon dievenbende...

[Polderviking]

Ik denk dat het in de praktijk wel meevalt, deze info verjaart ook en ik denk niet dat het op een noemenswaardige manier gaat bijdragen aan hoe vaak deze inbraken gebeuren.
Die lijsten maken ze natuurlijk ook al gewoon zelf, gewoon op basis van waar ze auto's geparkeerd zien staan als ze rondrijden.

En je kan ook al gewoon op basis van bepaalde realiteiten zoekgebieden verkleinen.
Als jij koplampen voor een Porsche Cayenne zoekt uit 2024 kan je hele buurten overslaan...
Veelvoorkomende auto's daarintegen hoef je weer helemaal niet bij te houden.

[Reactie gewijzigd door Polderviking op 19 april 2025 14:07]

[supersnathan94]

Ik denk dat het veel makkelijker is om gewoon in je "eigen buurt" rond te rijden op zoek naar die voertuigen dan dat je dat eerst digitaal uit gaat zitten zoeken over het hele land heen.

Tenzij je er echt een serieuze applicatie van gaat zitten maken (waar je dus per make&model kunt gaan zitten filteren en dan puntjes op een kaart te zien krijgt in een straal van X KM). heeft het echt nul zin om dit te doen aangezien je met een rondje rijden deze informatie al direct toegankelijk hebt.

[bytemaster460]

Als je bij RDW kentekens gaat opzoeken word je na een paar zoekopdrachten voor enige tijd geblokkeerd. Juist om dit te voorkomen. Het loont niet om een lijst van honderden of duizenden voertuigen via de RDW na te trekken. Daar ben je weken mee bezig.

[Marco]

Precies, maar je heb alleen een lijst met kentekens, dus je zal van al die kentekens de gegevens op moeten zoeken en hopen dat je een auto tegenkomt die aan je wensen voldoet.

[SprockerJock]

Dank je voor het aanleveren van een nieuw opportuniteit: Ik zal wel een scriptje schrijven dat de nodige info opzoekt. Scriptje om er een mooi lijstje van te maken. Lijstje te koop aanbieden.

[bytemaster460]

Alleen zal het scriptje na een paar zoekopdrachten ermee stoppen tenzij je je IP-adres om de zoveel opdrachten wijzigt. De site van de RDW is beveiligd tegen het opzoeken in bulk.

[Borgia]

Nu snap ik waarom er zo vaak willekeurige Roemeense kentekens de straat in rijden. Laatst was iemand zelfs uitgestapt en was de gevels van een paar woningen aan het filmen met zijn telefoon.

[Dennisdn]

Een dergelijk lek hebben we in 2021 al gehad van vrijwel álle auto’s in Nederland. https://www.kiwa.com/nl/n...atalek-bij-autobedrijven/

Voor de kwaadwillenden is dit slechts een kleine update….

[Reactie gewijzigd door Dennisdn op 19 april 2025 18:58]

[supersnathan94]

Heel eerlijk vond ik dat een veel groter probleem. Ik heb er nooit om gevraagd dat die data gedeeld werd. Dit kan AVG technisch dus ook helemaal niet.

RDC krijgt onder strenge voorwaarden data van de RDW, zoals informatie over de vervaldatum van apk-keuringen en grove informatie over de eigenaren van auto's, zoals de cijfers van de postcode en geboortejaar. Of dat nu op losse schroeven staat, is niet bekend. "Er is contact met RDC en over consequenties wordt gesproken", zegt de RDW.

Ik mag hopen dat dit nu op losse schroeven staat, anders gaat die registratie voortaan op een postbus oid.

[SlasZ]

In België kan je adhv nummerplaat niet zien welke wagen het precies is, in feite ben je met een nummerplaat niets tenzij je met valse nummerplaten wil rondrijden als je in het merk en model weet.
In app zelf staat geen auto info tenzij je je wagen 'Audi A6' ofzo noemt.

[Reactie gewijzigd door SlasZ op 19 april 2025 10:08]

[IStealYourGun]

Ik denk dat dit enkel de moeite is voor phishing aanvallen. "verkeersboete op kenteken x van persoon y die woont op adres z".

[Khalid.]

Ik weet ook waar de auto van mijn buurman staat?
Om dit heftig te noemen??

[Yariva]

Ja, je woont naast je buurman.

Pietje puk op een shady bedrijfsterrein krijgt een equivalent Ikea magazine van alle auto's in België en kan rustig de dure exemplaren eruit vissen vanaf zijn computer. Met Google Maps en adresgegevens even kijken of er een oprit is, beveiligd met hekwerk (dan steelt hij die niet, te veel risico) en dat allemaal anoniem.

Je buurman weet wie je bent en zal vragen stellen zodra zijn auto bij jou oprit staat. Succes met hem vinden in een loods waar Pietje Puk woont.

[Reactie gewijzigd door Yariva op 19 april 2025 10:04]

[cadsite]

Pietje Puk woont in Nederland en bekijkt alles door een Nederlandse bril.
Jefke woont in België en weet dat een nummerplaat niet gelijk staat aan een auto model.
Veel geluk om te ontdekken welke auto er aan 2WBE250 hangt.

[D_Jeff]

Er zal toch een systeem moeten zijn die verteld hoeveel vermogen de wagen in kwestie heeft ("fiscale pk's"), omdat daar de Belgische tegenhanger van de houderschapsbelasting op gebaseerd is.

[Oaknut]

Het system bestaat, maar is enkel door overheidsinstanties en gemeentes te raadplegen. Zie MAGDA - https://www.vlaanderen.be...voertuiggegevens-opzoeken

[WhiteDog]

Ik mag hopen dat dat systeem logging, rate limiting en een 2fa heeft...

[Oaknut]

Ik vertrouw de Belgen wel

[cadsite]

Uiteraard bestaat dat. Maar dat is niet publiek beschikbaar.
Maar bewijs me gerust het tegendeel en vertel me maar hoeveel vermogen mijn wagen heeft. Mijn nummerplaat heb je al.

[viper-srt10]

De plaat 2wbe250 bestaat niet "De kentekenplaat is onbekend in onze databank. Controleer uw invoer en probeer het opnieuw."
1wbe250 daarintegen is ingeschreven op 11/04/2019

[cadsite]

proficiat.
Nu weet je veel hé.

[dasiro]

ik snap niet hoe je er bij komt dat met een nummerplaat en thuisadres de locatie van een wagen kunt bepalen. De enige uitzondering is als die thuis staat, maar dat kan je ook zien als je gewoon voor de deur staat of een auto volgt.

[Stpan]

Je kunt dingen combineren:

1. Indigo lek = adres en kenteken.
2. Database = kenteken en exact type auto

Dan is 1 + 2 de criminaliteit.

De eigenaar van een infotainment systeem voor BMW 4 series bouwjaar 2022-2024 staat volgende de Indigo database + RDW database op Dorpsplein 14.

Misschien niet vannacht, want ze zijn met een weekendje weg. Maar wel volgende week.

Erg handige informatie voor criminelen dit.

[dasiro]

zoals anderen al hebben aangehaald: die database is in België niet publiek. Een beetje dief/inbreker kijkt ook gewoon rond in de straten en weet onderhand perfect wie er met die dikke auto rijdt, wanneer die gaat werken en op vakantie is, omdat de kinderen niet naar school moeten.

[Stpan]

Ik en vele Nederlanders staan ook in die gelekte database.

En dat een beetje dief gewoon in de straat rond kan kijken snap ik, zo gaat het al decennia. Maar je snapt toch ook dat een database, die vast slechte een paar tientjes kost, het allemaal iets effectiever maakt als er een specifiek iets zeldzamer model is besteld?

Beetje raar om dit datalek te gaan downplayen.

[dasiro]

het lek wil ik zeker niet downplayen, enkel de scope van de exploit doordat de combinatie met een buitenlandse publieke database voor het overgrote deel van de slachtoffers niet van toepassing is.

Ik heb trouwens nooit gesnapt waarom die voertuigendatabase ooit publiek moest gemaakt worden en erger: dat nog steeds is in deze tijd.

[mjl]

Via de Nederlandse RDW zo op te vragen, ook handig voor de crimineel om een nep nummerplaat op een gestolen auto te zetten met dezelfde kleur en specificatie.

Ook leuk voor de phishing klanten, krijg je een brief met een boete thuisgestuurd… wordt je gebeld (want gekoppeld aan gegevens uit een andere hack) met een verhaal dat je apk verlopen is en dat je uitstel kunt kopen … verzin ze maar…

[jahako]

Voornamelijk parkeren in België of zit ik verkeerd?

[winnie]

Ik heb als Nederlander ook de mail gehad. Want ik gebruik nog wel eens een parkeergarage in Parijs en doe dat via Indigo. De nationaliteit van de klant maakt niet uit, maar waar de klant parkeert.

[wildhagen]

Dan zit je deels verkeerd, Indigo is in meerdere landen actief:

Indigo Neo is present in more than 200 cities in France, Belgium, Spain and Luxemburg.

Zie https://www.indigoneo.fr/en

Ze doen zowel parkeergarages als on-street parking, en je kunt er ook parkeerplaatsen kopen etc. Zowel voor auto's als voor motoren.

Op vakantie in Spanje heb ik wel eens een Indigo parkeergarage gebruikt. Prima garages en goed bewegwijzerd, maar wel met extreem smalle en korte parkeerplaatsen (maar dat is in Spanje in vrijwel alle parkeergarages zo).

In Nederland zijn ze, zover ik weet, niet actief. Of het lek alleen de Belgische Indigo-klanten raakt, of ook de andere landen, weet ik verder niet.

[Damic]

Jep, parkings die ze uitbaten.

[mjl]

Ja maar als kaaskop gebruik ik het om een plekje te reserveren in Antwerpen bijvoorbeeld, heel handig, gegarandeerd plek en zo vaak in en uitrijden als je maar wil. We zullen zien wat voor phishing/spam etc we gaan krijgen.

[MrAngry]

Ik kreeg gisteren ook deze mail, in het Frans nota bene, geen touw aan vast te knopen. Ik heb nog nooit van dit bedrijf gehoord, maar wel een paar keer een plekje gereserveerd in Antwerpen, dus wellicht daardoor. Maar waarom ze me dan in het Frans aanschrijven?

[Andros]

Dat gebeurt vaker met bedrijven die in België en Frankrijk opereren maar niet in Nederland. Volgens @wildhagen zijn ze daarnaast ook actief in Luxemburg (Franstalig) en Spanje. Voor de paar activiteiten in Vlaanderen gebeurt het vaker dat de Nederlandse taal genegeerd wordt, ook veel Belgische websites van buitenlandse bedrijven worden eerst in het Frans of enkel in het Frans aangeboden. Om een of andere reden denkt de buitenwereld wel eens dat België enkel Franstalig is, iets dat je ook terug ziet in de taalstrijd etc. Je kunt ze er op aanspreken maar doorgaans verandert dat niet veel.

[Yalopa]

Er zijn 2 mogelijkheden... ze zijn lui en doen alles in het Frans of je hebt nooit een taalvoorkeur opgegeven bij hen waardoor ze het niet weten. aangezien je er nog nooit van gehoord hebt is dat zeker een mogelijkheid...

[mjl]

Ik kreeg hem gewoon in het Vlaams/Nederlands. Dus zal in je profiel iets Frans staan

[silencedkill]

Ik heb hem ook in het frans gekregen. Bij mij staat de app in het Engels maar ik herinner mij niet dat ik een taal voorkeur heb moeten opgeven (automatisch overgenomen van local settings in android?) . In de app kan ik op het eerste zicht de taal niet aanpassen.

Indigo is actief in België in meerdere grootsteden, niet alleen met parkings maar ook met de mogelijkheid om op straat te parkeren. Grappig genoeg, als je de test doet op de website om te parkeren nabij 'centraal station antwerpen' dan geeft die de suggestie:gare d'Anvers central .
Zoals gezegd hieronder wordt vlaams (of NL) in het algemeen genegeerd. En al helemaal als er (snelle) communicatie moet gedaan worden en de data officer in Parijs vertoefd. Die gaat geen nederlands spreken.

Met het nagaan van de taalinstelling staat er bij mij aan dat er communicatie mag gedaan worden voor promo's en ander nieuws. Dit jaar één keer een nieuwsbrief gekregen maar dat is het. Wat ik mij nu wel afvraag, mocht die optie afstaan of we die mail uberhaupt ook zouden krijgen dat er een incident was?

Wat ook in de mail stond, was een link naar deze: https://www.cybermalveillance.gouv.fr/ . Dat is een tool van de Franse overheid waarbij je een analyse kunt krijgen van hoe omgaan met een dergelijk incident. Eerste keer dat ik zoiets zie, lijkt mij best interessant, ik ga die zowiezo later wel eens uitproberen.

[Bittmann]

Altijd weer het zelfde, we schroeven de beveiliging op zodat dit niet nogmaals gebeurd, is het misschien een idee om dit van te voren te doen?

[eheijnen]

Verrassend veel datalekken de laatste tijd...
Zijn er al verbanden gevonden ?

[Blokker_1999]

Ja, het feit dat je tegenwoordig verplicht bent van die te melden aan de mensen wiens data gestolen is...

[Division]

Combinatie van factoren. Ik denk dat ze sneller gemeld worden dan enkele jaren geleden, wellicht werden ze vroeger vaker verzwegen.

Ook denk ik dat we nu de eerste tekenen zien van de volgende succesformule:

- Bedrijven en organisaties met grote datahonger bewaren alles wat ze kunnen registreren.
- Dezelfde bedrijven en organisaties besparen flink op hun IT en beveiliging, met lekke omgevingen als gevolg.
- Met crypto kunnen datahacks sneller anoniem een verdienmodel worden.

Ik vind persoonlijk dat als je data gaat bewaren over mensen, je een verantwoordelijkheid hebt over het bewaken van die data. En ik weet dat dit al zo is, maar elke Dev, IT'er of DBA hier weet dat het op de meeste plaatsen echt dramatisch is.

Alles moet sneller, goedkoper en investeren in talent doen we pas op director level. En ja, dan heb je na enkele jaren een paar GB aan gevoelige data in een slecht ingerichte omgeving staan. Met API's zonder rate limiting, geen access logging, soms zelfs geen auth - of een SA:Welkom123 - wat dus ook geen auth is.

[RichieB]

Dat komt door de Europese NIS2 wetgeving die sinds oktober 2024 van kracht is. Alle bedrijven moet nu verplicht cyber security incidenten melden aan de overheid en de getroffen klanten.

[Bor]

Daarvoor was er al een meldingsplicht onder de AVG. De NIS2 is bovendien op heel erg veel bedrijven niet van toepassing. De NIS2 betreft een beperkt aantal sectoren.

[WhoDoYaThinkIAm]

“nummerplaten”? Kentekens!

[thePiett]

Enig idee wanneer de hack heeft plaatsgevonden? Ik heb vorige week een reservering geplaatst via Indigo, misschien was dat net na de hack

[Stpan]

Ik heb me ongeveer een maand geleden geregistreerd voor Indigo Neo. En heb de eerste week van April een week lang een huurauto in Parijs in 1 van hun garages geparkeerd.

Net mijn mail en junkmail bekeken. Maar geen enkele mail mogen ontvangen. Betekent dat dat mijn accountgegevens niet gelekt zijn?

Ik ben wel opgelucht dat het een huurauto betreft qua kenteken. En dat ik mijn 'inschrijven voor diensten' email adres heb gebruikt. En niet het email adres dat mijn 2FA voor mijn bank en creditcards is.

[junkchaser]

Daarom is het Nederlands systeem totaal idioot als het op privacy aankomt. Dit systeem is eigenlijk nalatigheid van de overheid. In België ben je niets met nummerplaat gegevens...

[Cranslove]

Ik blij erbij dat de enige oplossing hiervoor exorbitant hoge boetes met vrijwel zeker faillissement als gevolg zijn.

Want dan neemt iedereen zijn beveiliging wel serieus want het kan je de kop kosten. En voor de markt is het ook goed want gaat er iemand op de fles omdat ze niet voldoende deden, is dat gratis marktaandeel wat kan worden opgehaald.

Bedrijven komen er veel te makkelijk mee weg. Ze roepen wat en halen verder hun schouders op. Zoek het maar uit.