Webshop Printerpix laat wachtwoorden uitlekken

Webwinkel Printerpix is gehackt. Bij die hack zijn niet alleen NAW-gegevens en bestelinformatie gestolen, maar ook wachtwoorden. Printerpix waarschuwt dat die wachtwoorden op andere sites kunnen worden gebruikt, wat erop wijst dat de wachtwoorden leesbaar waren.

Printerpix schrijft dat in een e-mail aan slachtoffers. Tweakers heeft die e-mail ook ingezien. "Op 5 oktober 2026 ontdekten we dat een onbevoegde derde eind september en begin oktober toegang had gekregen tot een deel van onze systemen en daarbij bepaalde klantgegevens had verkregen", schrijft het bedrijf. Daarbij zijn namen, e-mailadressen, verzendadressen en bestelgeschiedenissen uitgelekt.

Opvallend is echter ook dat er wachtwoorden zijn gestolen. "Als u bij Printerpix inlogt met een wachtwoord, kan ook uw wachtwoord betrokken zijn. Als u inlogt via Google of Facebook, heeft u geen Printerpix-wachtwoord en zijn die inloggegevens niet betrokken", schrijft Printerpix.

Wachtwoorden gestolen

Het bedrijf zegt dat het de wachtwoorden van die klanten heeft gereset. Het bedrijf raadt klanten verder aan om hun wachtwoorden zelf te veranderen. In de communicatie staat nergens dat Printerpix de wachtwoorden gehasht had. Printerpix zegt daarnaast dat de gestolen wachtwoorden 'kunnen worden gebruikt om toegang tot andere accounts waar hetzelfde wachtwoord is hergebruikt' te krijgen, wat erop kan wijzen dat de wachtwoorden leesbaar waren.

Het is niet bekend hoeveel klanten er getroffen zijn door de hack. Tweakers heeft daar vragen over gesteld aan het bedrijf. Printerpix is een webshop waar gebruikers voorwerpen kunnen laten bedrukken met eigen foto's. Het is daarom niet ondenkbaar dat aanvallers ook foto's in handen hebben die slachtoffers hebben ingestuurd, maar daarover schrijft Printerpix niets.

Update, 11.16 uur – In de titel en tekst is iets genuanceerd dat de wachtwoorden mogelijk leesbaar waren, in plaats van dat ze mogelijk in plaintext werden opgeslagen.

Reacties (17)

[kozue]

Het is blijkbaar Internationale Prutser Dag vandaag. Eerst al die certificatenboer die sleutels zoals "4" gebruikt, en nu blijken er nog steeds bedrijven die in 2026 (!) hun wachtwoorden nog in plain text opslaan. Dit is echt kleuterniveau programmeerwerk.

[frackleboom]

Het wordt waarschijnlijk alleen maar erger. LLM’s maken het opsporen én uitbuiten van kwetsbaarheden een stuk schaalbaarder. Waar hackers vroeger vooral handmatig of met statische en dynamische analysetools codebases doorzochten, kunnen nu ook advanced persistent teenagers met modellen van Anthropic en OpenAI, of met open-sourcemodellen, veel meer mogelijke aanvalspaden verkennen en daar flink wat rekenkracht tegenaan gooien.

En dit is nog maar het topje van de ijsberg

[RobertMe]

Nah, dat is niet wat @kozue naar mijn idee bedoelt. Het niet hashen van wachtwoorden is echt al 20 jaar en langer een dikke no-go.

Dat is iets anders dan zeer complexe beveiligingsgaten die nu alleen maar door LLMs gevonden kunnen worden. Als in: die zwakke opslag van wachtwoorden had bij een security audit ook gevonden moeten worden door een menselijke auditor.

En hetzelfde dus voor het gebruik van zwakke wachtwoorden zoals dat certificaten verhaal. Dat zijn gewoon verwijtbare menselijke fouten die nooit hadden mogen gebeuren. En niet "als je eerst X doet en binnen 2 milliseconden ook Y en Z dan heb je mogelijk kans dat je bug A triggert en via B kun je dan de boel exploiten".

[frackleboom]

Eens Plaintextwachtwoorden en sleutels als "4" zijn simpele, verwijtbare fouten die bij een normale audit al boven water hadden moeten komen. Ik bedoelde ook niet dat dit soort incidenten door LLM's wordt veroorzaakt, of dat zulke fouten nieuw zijn. Mijn punt was breder: naast deze al jaren bestaande problemen maken LLM’s het voor meer mensen makkelijker om ook complexere kwetsbaarheden te vinden en uit te buiten. Als zulke basisfouten nog steeds voorkomen, wordt het er met die schaalvergroting waarschijnlijk niet beter op.

[Zorg]

Of niet, de programmeurs die ofwel niet weten hoe het moet en het in plain text opslaan kunnen leren van een LLM hoe het wel moet. En de programmeurs die te lui zijn om het doen kunnen LLMs gebruiken om het voor hun te doen.
Ik laat in het midden welke categorie hier aan heeft gewerkt

[bzuidgeest]

Of het is gewoon gebrekkige communicatie en het was wel zo, of het was een zwakke hash zoals md5 of wat dan ook. Zonder meer info is het niet te zeggen. En als je user table leeg is nemen ze wellicht het zekere voor het onzekere en beschouwen ze het ww ook als gelekt. Zelfs al was het gehashed en gesalt etc....

[xxs]

Het moet vooral snel tegen minimale kosten en maximale winst. Dat gaat tenkost van veiligheid maar soit, het zijn maar klanten.

Even het domein aan een "prutsers" blacklist toevoegen voor mijn pihole.
(\.|^)printerpix$ Regex Deny ;-)

[Reactie gewijzigd door xxs op 21 oktober 2026 11:07]

[avlt]

Het wordt tijd dat er eens echte boetes worden uitgedeeld voor dit soort knutselwerk. En dan eentje die echt pijn doet, als er een bedrijf door failliet gaat, jammer dan.

1. Het is een signaal aan alle bedrijven die zo graag data verzamelen dat het goedkoper is om te investeren in beveiliging dan boetes te betalen.
2. Het is een signaal aan bedrijven die bezuinigen op beveiliging omdat ze er in geval van inbraken mee wegkomen door het te melden en een 'sorry'-mailtje rond te sturen.
3. Het neemt het voordeel weg dat bedrijven hebben die niet investeren in beveiliging.

[xxs]

Het opslaan van plain text wachtwoorden valt voor mij onder grove nalatigheid.
Wat mij betreft mag de "CTO" of verantwoordlijke strafrechtelijk vervolgd worden

[vrije_vogel]

Veel speculatie, weinig feiten. Het lijkt me aannemelijk dat het bedrijf een min of meer standaard tekst heeft verstuurd.

Daarbij, ook als je wachtwoorden gehashed opslaat, met een snufje zout wellicht, worden ze op de server wel verwerkt. Als iemand inbreekt en de code aanpast krijgt hij ze zo wel in handen.

[ShadLink]

Plain text wachtwoorden.. en dat in 2026? Hier mogen van mij echt zware straffen op komen te staan.

[hstgnick]

In plaintext opslaan, lekker nostalgisch. Print maar alvast wat bankbiljetten

[The Zep Man]

"Op 5 oktober 2026 ontdekten we dat een onbevoegde derde eind september en begin oktober toegang had gekregen tot een deel van onze systemen en daarbij bepaalde klantgegevens had verkregen"
(...)
Opvallend is echter ook dat er wachtwoorden zijn gestolen. "Als u bij Printerpix inlogt met een wachtwoord, kan ook uw wachtwoord betrokken zijn. Als u inlogt via Google of Facebook, heeft u geen Printerpix-wachtwoord en zijn die inloggegevens niet betrokken", schrijft Printerpix.

Dit houdt niet per se in dat wachtwoorden plain text opgeslagen werden. De onbevoegde kon simpelweg toegang hebben tot alle gegevens die in de website ingevuld werden, inclusief het wachtwoord.

Webshop Printerpix lekt wachtwoorden die mogelijk plaintext te lezen waren

Die titel is niet zozeer onwaar, maar wel suggestief. Mogelijk was er helemaal geen beveiliging. Mogelijk stond de deur wagenwijd open. Mogelijk gebruikten de hackers zilveren kabels gesmeed door elven bij maanlicht.

[edit]
Titel is aangepast.

[Reactie gewijzigd door The Zep Man op 21 oktober 2026 11:25]

[SinergyX]

Erg sterke speculatie T.net, om direct te zeggen dat het 'alleen kan bij plaintext'.

Er staat 'kunnen worden gebruikt', toegang hebben tot hash/salt methode en de database geeft je ook een theoretische methode om een wachtwoord te kraken, praktisch minder, maar in juridische zin zal het voldoende 'afdekken' dat in ieder geval de melding is gemaakt, gevalletje standaard waarschuwing.

[RVervuurt]

Ik heb geprobeerd mijn wachtwoord te resetten, maar er komt geen resetmail, dus ik gok dat ik geen account heb daar. Waarom ik dan wel dezelfde mail heb gekregen als bovenstaande artikel bespreekt snap ik niet. Ik kan ook nergens iets vinden over Printerpix in mijn mailgeschiedenis.

[Soliest]

Gevalletje "fishing"?

[Saven]

Daarom bestel ik nooit bij webshopjes die zelf in elkaar geknutseld zijn. Kan de gemiddelde persoon niet zien natuurlijk, maar het is gewoon recept voor ellende.