Deze lessen leerde Ticketcounter na datalek en afpersing
Ticketcounter kwam bijna precies twee jaar geleden groot in het nieuws: het bedrijf werd het slachtoffer van een datadiefstal die leidde tot een datalek. Persoonlijke gegevens van 1,5 miljoen mensen vielen in verkeerde handen, waarna CEO Sjoerd Bakker door de criminelen werd afgeperst. Hij besloot niet te betalen en direct openheid van zaken te geven. Nu zijn drie verdachten gearresteerd en deelt hij zijn verhaal en de lessen die hij leerde.
Ticketcounter is een zogeheten ticketingpartner: het bedrijf regelt in opdracht van dierenparken, pretparken, musea en evenementen reserveringen en betalingen online en on-site. Dat betekent dat het behoorlijk wat persoonlijke gegevens van de klanten van deze partners verwerkt.
Eind februari 2021 komt het bedrijf in een ware nachtmerrie terecht. Op 22 februari kregen we een e-mail van KPN Security, met daarin een screenshot van een hackersforum waar data werd aangeboden en wat bewijslast van wat voor data daarin zat, vertelt CEO Sjoerd Bakker nu aan AG Connect. Uiteindelijk blijkt het te gaan om een backup van een productiedatabase, met daarin e-mailadressen, namen, bankgegevens en geboortedata van 1,5 miljoen Nederlanders.
De bron van die gegevens wordt snel gevonden: een container blijkt publiekelijk toegankelijk via het internet. Als je vroeger een container aanmaakte in Microsoft Azure stond public access daar standaard aan. Als je de URL s naar de bestanden kent, kun je die dan dus direct downloaden, verklaart Bakker. Een aantal jaar geleden hebben we een container aangemaakt die backup heette, waar deze data dus in stond en waar public access dus ook aan stond. Iemand heeft dat gevonden en is dat gaan downloaden. De database staat kortstondig op het hackersforum – waar onder meer Troy Hunt, oprichter van Pwn2Own, hem downloadt en later deelt met Bakker – maar verdwijnt ook al snel weer.
Afpersen via WhatsApp
Ticketcounter meldt het incident bij de Autoriteit Persoonsgegevens en begint een communicatieplan op te stellen voor zijn klanten. Wij zijn de verwerker van de data, maar niet de verwerkingsverantwoordelijke. Onze partners moesten dus zelf de gedupeerden informeren.
Verder lezen bij de bron- Nieuwe toezichthouder voor elektronische patiëntendossiers - 22 september 2026
- Kabinet trekt honderden miljoenen extra uit voor veiligheid - 22 september 2026
- Amerikaanse tak van TikTok schikt voor 400 miljoen in kinderprivacyzaak - 21 september 2026
Nieuwsbrief
Deze versturen we 3-4x per jaar.
Recente blogs
Meer recente berichten
Nieuwe toezichthouder voor elektronische patiëntendossiers | Verder lezen | |
Kabinet trekt honderden miljoenen extra uit voor veiligheid | Verder lezen | |
Amerikaanse tak van TikTok schikt voor 400 miljoen in kinderprivacyzaak | Verder lezen | |
Minder DDoS-aanvallen, maar ze worden wel zwaarder en moeilijker te herkennen | Verder lezen | |
Hoe kun je een onterechte boete van een scanauto aanvechten? | Verder lezen | |
EU Data Act dwingt cloudsector tot transparantie en open deuren | Verder lezen | |
‘DPIA-vrijstellingen voor kleine ondernemers gaan veel te ver’ | Verder lezen | |
NCSC informeert organisaties over gelekte Fortinet-wachtwoorden | Verder lezen | |
AP adviseert Twitch-gebruikers: zet instellingen uit voor delen van data met Amazon AI | Verder lezen | |
Nederland loopt achter op Europa bij AI-cyberdreigingen | Verder lezen |