Skip to main content

Deze lessen leerde Ticketcounter na datalek en afpersing

Ticketcounter kwam bijna precies twee jaar geleden groot in het nieuws: het bedrijf werd het slachtoffer van een datadiefstal die leidde tot een datalek. Persoonlijke gegevens van 1,5 miljoen mensen vielen in verkeerde handen, waarna CEO Sjoerd Bakker door de criminelen werd afgeperst. Hij besloot niet te betalen en direct openheid van zaken te geven. Nu zijn drie verdachten gearresteerd en deelt hij zijn verhaal en de lessen die hij leerde.

Ticketcounter is een zogeheten ticketingpartner: het bedrijf regelt in opdracht van dierenparken, pretparken, musea en evenementen reserveringen en betalingen online en on-site. Dat betekent dat het behoorlijk wat persoonlijke gegevens van de klanten van deze partners verwerkt.

Eind februari 2021 komt het bedrijf in een ware nachtmerrie terecht. Op 22 februari kregen we een e-mail van KPN Security, met daarin een screenshot van een hackersforum waar data werd aangeboden en wat bewijslast van wat voor data daarin zat, vertelt CEO Sjoerd Bakker nu aan AG Connect. Uiteindelijk blijkt het te gaan om een backup van een productiedatabase, met daarin e-mailadressen, namen, bankgegevens en geboortedata van 1,5 miljoen Nederlanders.

De bron van die gegevens wordt snel gevonden: een container blijkt publiekelijk toegankelijk via het internet. Als je vroeger een container aanmaakte in Microsoft Azure stond public access daar standaard aan. Als je de URL s naar de bestanden kent, kun je die dan dus direct downloaden, verklaart Bakker. Een aantal jaar geleden hebben we een container aangemaakt die backup heette, waar deze data dus in stond en waar public access dus ook aan stond. Iemand heeft dat gevonden en is dat gaan downloaden. De database staat kortstondig op het hackersforum – waar onder meer Troy Hunt, oprichter van Pwn2Own, hem downloadt en later deelt met Bakker – maar verdwijnt ook al snel weer.

Afpersen via WhatsApp

Ticketcounter meldt het incident bij de Autoriteit Persoonsgegevens en begint een communicatieplan op te stellen voor zijn klanten. Wij zijn de verwerker van de data, maar niet de verwerkingsverantwoordelijke. Onze partners moesten dus zelf de gedupeerden informeren.

Verder lezen bij de bron
IB&P

Lees ons boek

Gemeenten. Bewustzijn. Privacy.

Het handboek voor informatiebewustzijn bij de lokale overheid.

Nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

De rol van de lijnmanager op het gebied van privacy
In onze wereld, met alle informatietechnologie, is privacy belangrijker dan ooit. Als lijnmanager heb je een belangrijke rol om ervoor te zorgen dat iedereen zich aan de regels van de van de organisatie houdt. Maar wat houdt deze rol precies in en welke verantwoordelijkheden komen daarbij kijken? Dat lees je in deze blog.
Waarom is contractmanagement ook belangrijk voor informatiebeveiliging?
Contractmanagement speelt een belangrijke rol in het kader van informatiebeveiliging. Het is namelijk niet alleen een manier om zakelijke overeenkomsten te beheren; het vormt ook de basis voor een goede informatiebeveiligingsstrategie. Waarom dat zo is lees je in deze blog.
Een verwerkersovereenkomst afgesloten, en dan?
Een van de belangrijkste eisen uit de AVG is dat je een verwerkersovereenkomst moet opstellen wanneer je persoonsgegevens laat verwerken door anderen. In deze blog lees je meer over wat er moet gebeuren nadat je een verwerkersovereenkomst hebt afgesloten, om te zorgen dat je blijft voldoen aan de AVG.

Meer recente berichten

ChatGPT krijgt een belangrijke nieuwe functie: dit betekent het voor je privacy
Verder lezen
Nederland trekt 122 miljoen Euro uit voor munitie, materieel en cybersecurity in Oekraine
Verder lezen
Securitydreigingen in de lift door AI, voorspellen niet alleen security en AI bedrijven
Verder lezen
AP: privacy is een grondrecht, niet alleen voor rijke mensen
Verder lezen
Uber krijgt boete van 10 miljoen euro voor overtreden privacyregels
Verder lezen
Centric en NFIR samen gemeentelijke cybersecuritymarkt op
Verder lezen
Cyberincidenten vormen groot zakelijke risico
Verder lezen
Privacy autisme Rotterdamse D66 boert weer op
Verder lezen
Slimme auto s, zegen of privacy nachtmerrie?
Verder lezen
Expert: Accountant kan alleen vanuit zorgplicht kijken naar EU cyberveiligheidsrichtlijn NIS2
Verder lezen