Ethische hackers kregen toegang tot paspoort Max Verstappen door bug bij FIA

Drie ethische hackers wisten toegang te krijgen tot de interne systemen van motorsportorganisatie FIA. Zij konden via een bug toegang krijgen tot de persoonsgegevens van F1-coureurs, waaronder die van Max Verstappen. De bug is inmiddels verholpen.

Ian Carroll, Gal Nagli en Sam Curry ontdekten het lek op de website waar coureurs een classificatie kunnen aanvragen bij de FIA, het bestuursorgaan voor motorsporten als de formule 1. Dat staat los van de superlicenties waarover F1-coureurs moeten beschikken, hoewel veel F1-coureurs ook een classificatie hebben, zodat ze ook buiten de formule 1 kunnen deelnemen aan races.

Gebruikers kunnen een account aanmaken op de website in kwestie en kunnen vervolgens een aanvraag doen bij de FIA. Normaal gesproken moeten gebruikers daar veel documenten invoeren, zoals identiteitsbewijzen en eerdere racedeelnames.

De drie ethische hackers ontdekten een HTTP PUT-verzoek, dat wordt gebruikt om het account van de gebruiker bij te werken. Daarin staat normaliter bijvoorbeeld het e-mailadres en de naam van de gebruiker, maar in een JSON-respons troffen ze méér waarden aan. Een van die waarden was de 'rol' van het account. De ethische hackers voegden daarop de titel 'admin' toe als rol van hun account.

Vervolgens konden ze opnieuw inloggen en kregen ze een nieuw dashboard te zien, waarin de gegevens van coureurs opgezocht konden worden. De hackers stopten met testen toen ze erachter kwamen dat ze de gegevens van Max Verstappen kon inzien, zoals zijn paspoort, cv, licentie, wachtwoordhash en persoonsgegevens, hoewel ze die niet daadwerkelijk hebben geopend.

Carroll heeft de FIA op 3 juni op de hoogte gesteld van het lek en kreeg diezelfde dag nog antwoord. Op 10 juni is de kwetsbaarheid gedicht. De ethische hackers hebben de details over de 'hack' eind oktober pas publiekelijk bekendgemaakt, dus ruim nadat het probleem was opgelost, zoals gebruikelijk bij responsible disclosure.

De FIA bevestigt tegenover PlanetF1 dat het bedrijf zich afgelopen zomer 'bewust is geworden van een cyberincident' rondom de classificatiewebsite. De organisatie zegt onmiddellijk maatregelen te hebben genomen en de relevante gegevensbeschermingsautoriteiten en 'een klein aantal coureurs' op de hoogte gesteld van het incident.

De hackers wisten ook de classificaties van coureurs in te zien, inclusief de redenen waarom de FIA tot haar besluit kwam. Bron: Ian Carroll

Reacties (39)

[RobertMe]

Ik wil dit geen bug noemen. Het is een grove nalatigheid dat een ongeauthoriseerde gebruiker zomaar "extra" velden kan meesturen in een API verzoek en deze verwerkt worden zonder dus enige vorm van controle op de rechten. (En vervolgens die extra velden niet eens "beschermd" zijn door security through obscurity maar altijd vermeld staan (/stonden?) in het verzoek om de (eigen) gegevens op te halen.)

[downtime]

Ik sta er heel raar van te kijken dat zoiets in 2025 nog mogelijk is. Dit is toch wel een absolute beginnersfout.

[rvt1]

Ouse drupal 7 website… dat is dus PHP, een hele zooi PHP ontwikkelaars hebben nog niet zo heel veel kaas van beveiliging gegeten.

Ook PHP an zich moet je meer je best doen om dat veilig te krijgen, tov een Spring boot website waar je Algerije Security makkelijk in kunt hagen.

[Wolfos]

Volgens mij is een mass assignment attack in heel veel frameworks en talen wel mogelijk, maar het is wel een hele onbenullige bug.

[B_FORCE]

Ik sta er vooral van te kijken dat een organisatie en sport waar het om vele vele vele miljoenen euros/dollars gaat dit ZO simpel te misbruiken was.

Dat geeft je toch te denken hoe de rest in elkaar zit......

[airell]

Ook in 2025 zijn er 'beginners' die gaan beginnen met ontwikkelen, net zoals in 2035 en 2045. Ergens mee 'beginnen' blijft van alle tijden. Het blijft altijd mogelijk om iets te bouwen wat achteraf 'niet zo handig' was.

[downtime]

Dat is geen excuus. Beginners moeten dit soort klussen niet aannemen. Dit is een fout vergelijkbaar met SQL injectie. Als je ook maar even voor je vak geleerd hebt, en het serieus neemt, dan ken je het probleem en ken je technieken om het te voorkomen.

[BCC]

De OSWASP top 10 verandert elk jaar wel een beetje, maar Broken AccesControl en injection staan altijd wel in de top 5. Aangezien chatgpt nog php genereert met SQL injecties zijn we er nog lang niet vanaf.

[kodak]

Aangezien de wetgever duidelijk is dat er vanaf het begin behoorlijke bescherming hoort te worden toegepast zijn dit eerder een onprofessionele fouten te noemen. En de oorzaak dat het niet professioneel is lijkt dit nieuws indirect te tonen. Zelfs bij het ontdekken en verhelpen van ernstige fouten bij het beschermen van persoonlijke gegevens gaat het weer niet om de basisoorzaken en het verhelpen daarvan. Het gaat vooral om een specifiek gevolg kunnen vinden, hoe snel men dat verhelpt en of mogelijke slachtoffers geïnformeerd zijn.

Om basisoorzaken weg te nemen moet er professionele wil en kunde zijn om aantoonbaar te proberen te voorkomen de wet te overtreden. Die wil en kunde is er niet zomaar. Omdat iedereen zich professioneel ontwikkelaar kan noemen of als verantwoordelijke voor aanschaf, ontwikkeling en onderhoud in de praktijk de verantwoordelijkheid kan afschuiven zonder ook maar iets te leren van eerdere oorzaken. Want daar hebben onderzoekers, ontwikkelaars, verwerkers het vaak liever niet over. Wat dan weer een recht is.

[Finraziel]

Dus je denkt dat iemand het met opzet gedaan heeft? Grove nalatigheid (even los van of dat zo is) betekent niet dat het geen bug is.

[Melantrix]

Het is een kwetsbaarheid en geen bug. Een bug is een fout in de software die zich niet gedraagd zoals bedoelt. Dit is echter gemaakt zoals het bedoelt is, maar er is niet nagedacht over de implicaties. Dit kan misbruikt worden door een aanvaller.

Ik ben het daarom zeker eens met RoberMe, dit is geen bug. Dat impliceert dat dit een 'foutje bedankt' was, terwijl ze hier gewoon veel beter over hadden moeten nadenken en de implementatie veel veiliger hadden moeten maken.

[agile_tester]

"A bug is something that bugs someone who matters"
~ Jerry Weinberg

[downtime]

Elk onbedoeld effect is een bug. Ook dit. Dat er niet goed over nagedacht is, maakt niet dat het opeens geen bug meer is.

[rko4u]

Wij hebben hier te maken met een verschil in interpretatie van wat een bug is. Een developer maakt graag verschil tussen een bug en een verkeerd gedesignde feature. Gezien we in dit geval niet praten over een technische, maar een functionele fout (namelijk de payload van een API), spreken developers hier liever over een design fout.

Daarmee zeggen we overigens niet dat een zelf respecterende developer dit design nooit zo gebouwd had.

[CH4OS]

Ook ongeautoriseerd iets kunnen terwijl je dat niet verwacht, hoe basaal ook, is gewoon een bug, een fout in de software.

[Reactie gewijzigd door CH4OS op 23 oktober 2025 18:25]

[rko4u]

Een bug is een fout in de software, maar niet iedere fout in de software is een bug.

Als jij een huis ontwerpt zonder deur, men bouwt het en er loopt een inbreker naar binnen en haalt het leeg, is dat geen bouwfout, maar een design fout. Natuurlijk hadden de bouwers je er op moeten attenderen dat een deur verstandig was geweest, maar zij hebben by design gebouwd, dus feitelijk is het niet hun fout.

Deze situatie is een duidelijk voorbeeld van het verschil tussen wat de klant vraagt en wat de klant wil. Natuurlijk wisten de developers dat dit niet was wat er gewenst was.

[CH4OS]

Mijn punt is dus dat het niet uitmaakt wie de fout heeft gemaakt, het is een ongewenste fout. Dat maakt dat het een bug in de software is. En of dat een fout van de ontwerper of de bouwer is, dat maakt echt niets uit, het is iets wat aangepast / gerepareerd moet worden.

[slijkie]

Absoluut, dit is 100% geen bug maar gewoon een extreem slecht ontwerp van de API backend. Gewoon in elkaar geknutselt.

[Jron667]

De backend zou de rol terug moeten geven, die zou in de API readonly moeten zijn.

[aikebah]

De backend zou de rol terug moeten geven, die zou in de API voor niet-admin users readonly moeten zijn.

FTFY

[aikebah]

Wel een bug, en eentje die zo vaak voorkomt dat ie bovenaan staat in de OWASP Top 10 van 2021 (Broken Access Control), want een 'user' heeft ten ontechte het recht om zichzelf naast de rol van user ook de rol van admin aan te meten, terwijl logischerwijs alleen admin-users en/of rolemanager-users het recht hebben om de rol van een gebruiker aan te passen.

Gebruikers zouden op de 'wijzig gebruiker' API, waar het hier over gaat wel toegang mogen hebben voor het aanpassen van hun reguliere gegevens, maar niet op het wijzigen van het user-attribuut 'rol'.

[Goed gedaan]

Hopelijk een leuke vergoeding voor de hackers, de F1 zit opzich redelijk breed in het geld op het moment.

[Zwaai Haai]

De FIA had natuurlijk zelf ook PEN testers of ethische hackers in kunnen huren. Tja, wat moet je ze dan betalen. Als ze van F1 houden kan de FIA vast wel iets leuks bedenken.

Maar hoe zit dit nu? Begrijp ik goed dat het in dit geval dus gewone hackers waren, niet ingehuurd door de FIA. En ze werden ethische hackers op het moment dat ze stopten met testen en de FIA informeerden?

[Finraziel]

Een ethische hacker, of white hat, kan wel ongevraagd proberen beveiligingen te breken, maar gaat niet verder dan nodig is om het lek aan te tonen. Ze gaan dus niet terwijl ze nog toegang hebben lekker even rondkijken of alle data binnen hengelen, dan ben je niet meer ethisch bezig.

[DrPoncho]

Ze waren voor dat punt al ethische hackers.

[MilanSxD]

Er zijn hackers die op eigen houtje PEN testen uitvoeren bij bedrijven, of gewoon per pure toeval iets ontdekken omdat ze vaak wat dieper kijken naar code en inlogsystemen, want dat is nu eenmaal hun ding.

Als zij dan iets ontdekken, dan melden ze dat bij de eigenaar van het geraakte systeem.
Hier krijgen zij soms voor betaald, en soms ook niet.

Echter zijn zij vaker bezig voor bedrijven die daar een Reward System voor hebben, zoals Samsung of Apple. Die hebben een standaard uitbetalingsprocedure voor Ethisch hackers die lekken en kwetsbaarheden vinden en dit melden.

Ze zijn ethisch omdat zij het lek niet eerst zelf uitbuiten voor ze het melden.
Ze melden het om te voorkomen dat blackhat hackers daar misbruik van maken.

Meestal is dit echter gewoon een hobbie waar ze soms wat leuks voor krijgen.
En vaak wordt dit soort Ethisch hackers een baan aangeboden wanneer zij goed genoeg zijn.

[RobertMe]

De F1 en de FIA zijn twee (on)afhankelijke partijen. De FIA is de wereldwijde motorsportbond die "toeziet" om vele race klassen waaronder dan de F1, maar ook rally, WEC, karten, .... Maar de commerciële uitbater van de Formule 1 is FOM (Formula One Managent). Alle inkomsten van de F1 (verkoop TV rechten, inkomsten uit wat de circuits / organisatoren betalen, ...) gaan dus naar FOM. En FOM heeft een bepaalde verdeelsleutel van "wat ze in eigen zak steken", wat er naar de teams gaat, en wat er naar de FIA gaat. En bij die andere klassen komt het meen ik weer voor dat de FIA zelf de commercieel uitbater is en de rechten verkoopt etc.
Het kan wel best dat de inkomsten uit wat FOM ze betaald een van de grootste inkomsten is. Maar het is niet zo dat "alle winst van F1" voor de FIA is.

[rko4u]

Klopt, maar toch hoeven de belangrijke mensen van de FIA ook zeker niet op een houtje te bijten.

[CH4OS]

De FOM (eigenaar van F1) is niet verantwoordelijk voor de (ingehuurde) scheidsrechter.

[Triblade_8472]

Via een webportal een "wachtwoordhash" kunnen inzien? Waaaat? Dit is toch mega nalatig?

Ben benieuwd hoe goed de hash was en of max z'n wachtwoord overal hergebruikt

[JeroenED]

Het hele artikel klinkt alsof de programmeur de eerste les over security gemist heeft. Zou er niet van schrikken dat die hash uiteindelijk gewoon het wachtwoord was omdat het management van Verstappen en dergelijke wel hun security op orde hebben en hun wachtwoorden met een password manager beheren.

[Dekar]

Niet normaal nee. De FIA mag zich wel heel diep schamen.

[satoer]

De hackers stopten met testen toen ze erachter kwamen dat ze de gegevens van Max Verstappen kon inzien, zoals zijn paspoort, cv, licentie, wachtwoordhash en persoonsgegevens, hoewel ze die niet daadwerkelijk hebben geopend.

Ja tuurlijk, dat gelooft toch niemand. Wel de interesse hebben om in te breken, maar niet de interesse hebben of het daadwerkelijk ook echt lukt de gegevens in te zien. Dat je er verder geen kwaadwillende interesses hebt is natuurlijk helemaal mooi, maar je kan mij echt niet wijs maken dat ze niet even rond hebben zitten neuzen. Al is het maar om wat bewijsmateriaal te vergaren dat de "hack" echt lukt, en niet dat de FIA dit na melding even snel stilletjes dichtpatched en daarna doet of de neus bloed.

[oef!]

Dat zegt meer over jou dan over een ander. Ik kom mijn hele professionele leven al met zeer gevoelige data in aanraking en heb nooit die neiging gehad om die te bekijken. Het is onethisch en ik wil ook niet dat anderen naar mijn data zitten te loeren.

[downtime]

Dito hier. Ik heb ook op een plek gewerkt waar medische en financiele informatie van miljoenen Nederlanders te vinden was. Ik vond het al een probleem als ik per ongeluk dat soort informatie onder ogen kreeg. Ik zou er zeker nooit bewust naar op zoek gaan. Het is onprofessioneel en het interesseert me ook gewoon niet.

[RobertMe]

In de bron staat gewoon een screenshot met downloadbare documenten waaronder "passport new" op de pagina van ene M. Verstappen. Ze hoeven dus echt niet er op te klikken om een vermoeden te hebben wat er in staat, en hebben toch wel aardig bewijs dat het lek is.

[downtime]

[...]

Ja tuurlijk, dat gelooft toch niemand. Wel de interesse hebben om in te breken, maar niet de interesse hebben of het daadwerkelijk ook echt lukt de gegevens in te zien. Dat je er verder geen kwaadwillende interesses hebt is natuurlijk helemaal mooi, maar je kan mij echt niet wijs maken dat ze niet even rond hebben zitten neuzen. Al is het maar om wat bewijsmateriaal te vergaren dat de "hack" echt lukt, en niet dat de FIA dit na melding even snel stilletjes dichtpatched en daarna doet of de neus bloed.

Dan zijn ze dom. Met een beetje pech worden die handelingen wel gelogd en dan neemt de rechter jouw excuus van "ethical hacker" ook niet meer serieus. Je hebt niets aan aanvullend bewijs zonder dat bewijs te publiceren. En dan ben je zeker strafbaar.

[Kip]

Hopelijk heeft de FIA de website inmiddels grondig laten testen. De ethische hackers stopten direct bij deze ene kritieke bevinding. In combinatie met het lekken van wachtwoord-hashes van andere accounts is dit een duidelijk signaal om de veiligheid van de hele website in twijfel te trekken. Er is ook een mogelijkheid om bestanden te uploaden. Dat brengt ook risico met zich mee.

Ook grappig om te zien dat er een rol genaamd " President" is. Die kan je inmiddels hardcoden aan een enkele account

[mutley69]

Security en F1 - dat bestaat alleen maar om ons te treiteren. Geen vuur meer, geen dood, geen vernieling, geen rook - de F1 is supersaai en vervelend geworden. Even serieus nu:

Het is verbazingwekkend dat zo'n organisatie waar zoveel geld in omgaat, en zoveel belangen zo zwak om gaat met beveiliging.