Politie houdt 35-jarige man aan voor inbraak op computersystemen Ajax

De Nederlandse politie heeft een 35-jarige man aangehouden voor computervredebreuk bij Ajax. Vermoedelijk gaat het om de hacker die een kwetsbaarheid bij de Amsterdamse voetbalclub in maart 2026 openbaarde.

Volgens de politie zou de verdachte de systemen van Ajax 'meerdere keren opzettelijk wederrechtelijk' zijn binnengedrongen. Het is niet bekend of er bij de vermeende computervredebreuk ook gegevens gestolen zijn. Bij de aanhouding zijn gegevensdragers in beslag genomen.

Datalek en conflict

Eind maart berichtte Tweakers na onderzoek van RTL Nieuws dat een hacker toegang had gekregen tot de systemen van Ajax, waarbij de gegevens van honderdduizenden gebruikers in te zien waren. Daarnaast was de status van 42.000 seizoenskaarthouders aan te passen door de kwetsbaarheid. Ook was het mogelijk om de gegevens van mensen met een stadionverbod in te zien en te veranderen.

Volgens de ontdekker van de kwetsbaarheid is het proces van toegang tot de systemen gedocumenteerd en op basis van het responsible disclosure-principe aan Ajax gemeld.

Ajax schreef na de openbaarmaking dat er geen indicatie was dat de gegevens daadwerkelijk zijn verspreid. Toch deed de voetbalclub aangifte. Het datalek is daarnaast bij de Autoriteit Persoonsgegevens gemeld, wat verplicht is bij datalekken met een bepaalde omvang of impact. De kwetsbaarheid is volgens de club aangepakt en de beveiliging zou verder zijn aangescherpt.

Reacties (19)

[kw_nl]

Ik hoop niet dat het om deze "hacker" gaat. Dat zou wel heel erg kwalijk zijn van Ajax:

https://aquax.nl/blog/ajax-security-flaws/

[Cybje]

Ik vermoed van wel. Het artikel van vandaag linkt naar dit eerdere artikel: nieuws: Ajax meldt datalek van e-mailadressen en info over stadionverboden - update

Daarin wordt Abdoul Rasnab genoemd. En die persoon heeft deze LinkedIn post gemaakt over de hack en ondertekend met AquaX, dus de website waar jij naar linkt: https://nl.linkedin.com/posts/abdoul-rasnab-88924aa4_hoe-ajax-mij-in-2017-een-kamertje-insleepte-activity-7442637111406522368-Ixrt

[walteij]

Dus netjes een melding naar de kwetsbare partij maken, en dan alsnog aangehouden worden door de politie.

Tot zover responsible disclosure.....

[padoempats]

Wie zegt dat er netjes een melding werd gemaakt? Kwam meer over op een hack en vervolgens chantage door dit in de pers te delen ipv aan ajax over te dragen en klaar ermee

[KipKroket]

Het kan natuurlijk zo zijn dat de ontdekker dingen gedaan heeft die hier niet vermeld zijn, maar volgens het artikel is het gewoon netjes gemeld volgens responsible disclosure. Als dat daadwerkelijk zo is, dan heeft de ontdekker als het goed is Ajax tijd gegeven om het op te lossen, en is deze waarschijnlijk na een bepaalde termijn pas naar de pers gestapt.

[Reactie gewijzigd door KipKroket op 26 mei 2026 12:50]

[sfranken]

Letterlijk uit het artikel

Volgens de ontdekker van de kwetsbaarheid is het proces van toegang tot de systemen gedocumenteerd en op basis van het responsible disclosure-principe aan Ajax gemeld.

[The Realone]

"Volgens de ontdekker..."

[padoempats]

"Volgens de ontdekker"

Maar niet volgens Ajax. De hacker had helemaal geen goede bedoelingen, en is in no-time naar de pers gestapt. Op het laatste moment een bedrijfswebsite opgezet alsof het bedrijf al jaren security-onderzoeken doet.

[kodak]

Wat je noemt zijn omstandigheden die je als verdacht kan zien. Als we van een verdachte al gaan oordelen dat deze niet snel naar de pers mag stappen en geen bedrijf mag starten, waar ligt dan de juridische grens? Anders kan je iemand die zich (mogelijk) wel aan wet heeft gehouden wel erg makkelijk gaan beschuldigen van foute bedoelingen.

[walteij]

Uit het artikel van maart

Volgens de hacker Abdoul Rasnab, die de kwetsbaarheden ontdekte, zijn de gegevens nooit misbruikt en doet Ajax melding van het datalek naar aanleiding van zijn onderzoek.

Dat klinkt bij mij dat Abdoul onderzoek heeft gedaan en contact heeft opgenomen met Ajax hierover.

[padoempats]

"Nooit misbruikt". Maar dat was het wel, want er werd gerommeld met de gegevens 'als bewijs dat het werkt'.

[walteij]

Gegevens zijn gewijzigd en de wijzigingen zijn ongedaan gemaakt.

Je moet wel iets van bewijs hebben en kunnen aanleveren, alleen een claim dat iets lek is, is onvoldoende. Dus ja, iets wijzigen en daarna terugzetten is opzoeken van bewijs, en als het ook nog eens je eigen persoonsgegevens en abonnement zijn is het geen misbruik maken van, dat is pas als je daadwerkelijk met de gewijzigde gegevens dingen gaat doen, wat niet is gebeurd..

[KipKroket]

Dit komt inderdaad redelijk onsympathiek over vanuit Ajax. Als de ontdekker van deze kwetsbaarheid netjes met deze kwetsbaarheid is omgegaan is de kans echter klein dat het Openbaar Ministerie deze gaat vervolgen. Zie: https://www.om.nl/documenten/2020/12/14/om-beleidsbrief-ethisch-hacken

[Reactie gewijzigd door KipKroket op 26 mei 2026 12:55]

[walteij]

Nee, niet van Ajax, zij zijn wettelijk verplicht om aangifte te doen van potentiele hacks. Wel van de politie, die nu dus iemand die netjes meld dat de achterdeur van Ajax klantbeheer wagenwijd openstond bij de eigenaar van die deur gaat arresteren. Zoals @rustycrab al zegt, slechte beveiliging van de data eigenaar zou aangepakt moeten worden door de politie/justitie, niet responsible disclosure.

[Reactie gewijzigd door walteij op 26 mei 2026 12:59]

[jpsch]

Henk Krol is ook vervolgd en veroordeeld voor computerinbraak.

[rustycrab]

Inderdaad dit is de wereld op zijn kop. Waarom wordt er geen aangifte gedaan tegen Ajax voor het onverantwoordelijk omgaan met (persoonlijke-) gegevens.

Het klassieke cybersecurity-dilemma: "meld je een lek, dan ben je ineens onderdeel van het lek.”

[kodak]

Of iemand het nu ontdekt, er als klant risico door loopt of als bedrijf er verantwoordelijkheid over heeft, dan ben je er al onderdeel van.

Het dilemma is eerder dat wie een lek gaat zoeken niet zomaar het minimale doet om aan responsible disclosure te doen. Bijvoorbeeld door niet alleen een lek in een systeem te vinden maar dat vervolgens meer gaan gebruiken dan nodig is.

[kodak]

Het nieuws van de politie laat helaas (weer) geen duidelijke objectiviteit zien. Er zijn delen geschreven dat het om een verdachte gaat maar andere stellingen laten dat niet merken.

Een gevoelig punt is dat een bedrijf (of persoon) zich als slachtoffer ziet terwijl de verdachte niet zomaar kwaadwillende bedoelingen heeft en er niet zomaar sprake is van computercriminaliteit. De politie hoort duidelijk objectiviteit te tonen. Dat ze er zelf belang bij hebben dat aangiftes tot nieuwe inzichten kan leiden en computercriminaliteit willen kunnen opsporen hoort daarin nmm niet zomaar duidelijk mee te wegen. (Zoals in de laatste allinea van het politienieuws er nog eens bij staat)

Dit staat er los van dat de politie niet zomaar verdachten gaat aanhouden. Maar dan nog gaat het om een verdachte en vermeend slachtoffer tot er oordeel van de rechter is.