Flickr waarschuwt gebruikers voor datalek, gebruikersdata mogelijk blootgesteld

Fotografieplatform Flickr waarschuwt gebruikers voor een mogelijk datalek. Daarbij zijn bepaalde persoonsgegevens uitgelekt, zoals namen, e-mailadressen en andere gegevens. Het lek ontstond bij een externe e-mailprovider, zegt de dienst.

Flickr heeft gebruikers vrijdag gewaarschuwd voor het mogelijke datalek, schrijft onder andere BleepingComputer. Volgens het fotografieplatform ging het om een kwetsbaarheid in een systeem van een externe e-mailprovider. Om welke e-maildienst dat precies gaat, zegt Flickr niet.

Het systeem in kwestie is volgens de dienst onmiddellijk uitgezet nadat deze op 5 februari werd ontdekt. De kwetsbaarheid heeft 'mogelijk' toegang verleend tot sommige gegevens van gebruikers, zegt de dienst, hoewel de dienst niet zegt of die daadwerkelijk zijn ingezien door onbevoegden.

Het gaat dan om de volledige namen, e-mailadressen, IP-adressen, Flickr-gebruikersnamen, accounttypes en 'algemene locatiegegevens' van gebruikers. Wachtwoorden en betaalgegevens waren niet inzichtelijk, aldus Flickr. Het platform heeft de dienstverlener in kwestie op de hoogte gesteld en zegt de problematiek te onderzoeken. Het bedrijf heeft ook relevante gegevensbeschermingsautoriteiten op de hoogte gesteld van het incident.

Bron: SOPA Images / Getty Images

Reacties (21)

[ljjlong]

Ik heb de mail ook gehad. Gebruik het voornamelijk om foto’s die ik heb gemaakt in een hogere resolutie online te zetten dan je op bijv Instagram kan doen.


De mail was:

Dear -,

We want to inform you about a security issue involving one of our third-party service providers that may have affected some of your personal information. Here's what you need to know.

What happened

On February 5, 2026, we were alerted to a vulnerability in a system operated by one of our email service providers. This flaw may have allowed unauthorized access to some Flickr member information. We shut down access to the affected system within hours of learning about it.

What information was involved

Your passwords & payment card numbers were not affected.

Depending on your account, accessible information may have included:

Your name & email address

Flickr username & account type

IP address & general location

Activity on Flickr

Our immediate response

We disabled access to the affected system & removed all links to the vulnerable endpoint.

We notified the service provider & demanded a full investigation.

We are conducting a thorough review & strengthening our security practices with third-party providers.

We notified the relevant data protection authorities.

What you can do

Be cautious of phishing emails referencing your Flickr account. We will never ask for your password via email.

Review your account settings at flickr.com for anything unexpected.

If you reuse your Flickr password elsewhere, consider updating it.

Our commitment moving forward

We sincerely apologize for this incident and for the concern it may cause. We take the privacy and security of your data extremely seriously, and we are taking immediate action to prevent any similar issues by conducting a thorough investigation, strengthening our system architecture, & further enhancing our monitoring of third-party service providers.

If you have any additional questions or concerns, please contact our support team at [e-mail].

EEA/UK residents: You have the right to lodge a complaint with your local data protection authority. EEA authorities are listed at edpb.europa.eu. UK residents may contact the ICO at ico.org.uk.

California residents: You may contact the California Attorney General at oag.ca.gov. For identity protection, you may contact Equifax, Experian, or TransUnion.

Thank you for your understanding & continued trust.

-The Flickr Team

[kimborntobewild]

"We shut down access to the affected system within hours of learning about it.":

Dat moet niet binnen uren, maar binnen hooguit minuten. Vertel de werknemer met berheerdersrechten in dezen om het per direct uit te schakelen. Dat hoort geen uren te kosten.

[multikoe]

In de ideale wereld ontdekt iemand het probleem. Die persoon heeft het telefoonnummer van de beheerder van het externe emailplatform paraat. Die beheerder heeft zijn telefoon bij zich en is in staat om hem op te nemen. Die beheerder snapt meteen de ernst van de situatie, weet meteen welke server het betreft, zit achter zijn computer en heeft direct toegang tot de server en durft de beslissing te nemen om die server volledig uit te schakelen.


In de praktijk hebben maar weinig bedrijven een goed werkende prio-1 procedure waarbij beheerders binnen een minuut bereikbaar en inzetbaar zijn.

[Manderlay1]

Ja er is ook nog een privé leven naast het werk. Dus normaal dat dit niet overal geregeld is binnen enkele minuten

[RetroMan]

In het grote boze bedrijfsleven geldt "een is geen": Je zorgt er simpelweg voor dat hier meerdere functionarissen op zitten, zodat een deel kan genieten van het privé leven en de dienstdoende functionaris alsnog binnen enkele minuten kan ingrijpen. Briljant!

[themadone]

Moeten ze het zelf ook wel doorhebben. Als het een third party is waarmee ze data uitwisselen zal zelfs de auditing niet meteen afgaan omdat er vaker veel data die kant op gaat. Je bent dan afhankelijk van de ingestelde thresholds en die bereik je niet binnen minuten in een geval als dit.

[xxs]

Als er forensischonderzoek gedaan moet worden zul je eigenlijk overal vanaf moeten blijven tot de specialisten er zijn. Dat vergroot de kansen om de daders te achterhalen.

Een netwerksteker eruit trekken kan iedereen maar is meestal niet het slimste heb ik eens ooit begrepen van een expert.

[Reactie gewijzigd door xxs op 6 februari 2026 20:56]

[dwizzy]

Ik vraag me af of "activity on Flickr" gaat over activiteiten waarover Flickr je heeft gemaild.
Geen woord in de mail over de vertrouwelijkheid van de privé-foto's die ik er heb staan.

[RetroMan]

Op basis van welk vertrouwen zet je privé foto's in welke clouddienst dan ook?

[kimborntobewild]

"algemene locatiegegevens' ":

In elk geval in NL, mag die data helemaal niet verzameld worden, want er is geen groot maatschappelijk belang bij. En al was dat zo: alsnog moet er toestemming voor zijn. Lijkt me hier niet kunnen.

[Blokker_1999]

locatiegegevens kan simpelweg je IP adres zijn. Het is niet alsof Flickr om nauwkeurige locatiegegevens vraagt, en voor de meeste mensen kan het niet eens want die gebruiken het primair op hun desktop/laptop die geen GPS of mobiele netwerken heeft voor meer gerichte locatiebepaling.

[kimborntobewild]

"locatiegegevens kan simpelweg je IP adres zijn. ":

Ja, en? Dat mag dus niet verzameld worden.

[tweaker2010]

Dat doet tegenwoordig elke website.. ook Tweakers. Onder de mom van "security" worden je gegevens "tijdelijk" opgeslagen zodat ze later buitgemaakt kunnen worden middels een datalek.

[Nystran]

Nee, dat doet niet elke website. Er zijn websites waarvan webbeheerders echt om privacy geven, en dit niet doen. Toegegeven, waarschijnlijk zullen deze geen geld willen verdienen aan de gebruikers.

Sommige sites van overheden, B2B informatievoorziening of organisaties die echt om privacy geven (of het teveel werk vindt om dit te verantwoorden richting een ISO audit). Toegegeven, het zijn er weinig, en ze zijn waarschijnlijk relatief niche.

[fenrirs]

Kun je uitleggen? Waar ligt de grens?

[xxs]

Iemand nog voorstander van een identificatieplicht om anonieme accounts uit te bannen?

[RetroMan]

Ja hoor! Op voorwaarde dat jij de kosten en de risico's daarvan voor je rekening neemt. Deal?

[fenrirs]

Je zal je verbazen…eigenlijk zijn ze best wel aardig bezig

[dwizzy]

eigenlijk zijn ze best wel aardig bezig

Ik heb vorig jaar mijn Pro-abonnement opgezegd. Ik heb jaren geen ontwikkeling gezien in de site en de matige app. En de prijs is behoorlijk hoog geworden, zeker als de enige interactie met mijn foto's van fetisjisten lijkt. Een keertje per maand wordt een foto van me gefavourite, als ik dan kijk staat het profiel vol met bv andere jongere vrouwen die roken.

[4tro]

En hop, daar gaat je visit counter