Deze lessen leerde Ticketcounter na datalek en afpersing
Ticketcounter kwam bijna precies twee jaar geleden groot in het nieuws: het bedrijf werd het slachtoffer van een datadiefstal die leidde tot een datalek. Persoonlijke gegevens van 1,5 miljoen mensen vielen in verkeerde handen, waarna CEO Sjoerd Bakker door de criminelen werd afgeperst. Hij besloot niet te betalen en direct openheid van zaken te geven. Nu zijn drie verdachten gearresteerd en deelt hij zijn verhaal en de lessen die hij leerde.
Ticketcounter is een zogeheten ticketingpartner: het bedrijf regelt in opdracht van dierenparken, pretparken, musea en evenementen reserveringen en betalingen online en on-site. Dat betekent dat het behoorlijk wat persoonlijke gegevens van de klanten van deze partners verwerkt.
Eind februari 2021 komt het bedrijf in een ware nachtmerrie terecht. Op 22 februari kregen we een e-mail van KPN Security, met daarin een screenshot van een hackersforum waar data werd aangeboden en wat bewijslast van wat voor data daarin zat, vertelt CEO Sjoerd Bakker nu aan AG Connect. Uiteindelijk blijkt het te gaan om een backup van een productiedatabase, met daarin e-mailadressen, namen, bankgegevens en geboortedata van 1,5 miljoen Nederlanders.
De bron van die gegevens wordt snel gevonden: een container blijkt publiekelijk toegankelijk via het internet. Als je vroeger een container aanmaakte in Microsoft Azure stond public access daar standaard aan. Als je de URL s naar de bestanden kent, kun je die dan dus direct downloaden, verklaart Bakker. Een aantal jaar geleden hebben we een container aangemaakt die backup heette, waar deze data dus in stond en waar public access dus ook aan stond. Iemand heeft dat gevonden en is dat gaan downloaden. De database staat kortstondig op het hackersforum – waar onder meer Troy Hunt, oprichter van Pwn2Own, hem downloadt en later deelt met Bakker – maar verdwijnt ook al snel weer.
Afpersen via WhatsApp
Ticketcounter meldt het incident bij de Autoriteit Persoonsgegevens en begint een communicatieplan op te stellen voor zijn klanten. Wij zijn de verwerker van de data, maar niet de verwerkingsverantwoordelijke. Onze partners moesten dus zelf de gedupeerden informeren.
Verder lezen bij de bronLees ons boek
Gemeenten. Bewustzijn. Privacy.
Nieuwsbrief
Deze versturen we 3-4x per jaar.
Recente blogs
Meer recente berichten
NSA slaat alarm over risico s van AI voor cybersecurity | Verder lezen | |
Aanmeldplicht voor Dodenherdenking op de Dam, organisatie zegt bezoekers niet te screenen | Verder lezen | |
Eerste Hulp bij Datalek: bewaar minder persoonlijke gegevens | Verder lezen | |
Europese bedrijven niet opgezet met minder strenge cloudwetgeving | Verder lezen | |
Cyberaanval op gemeenten Voorschoten en Wassenaar afgeslagen | Verder lezen | |
EDPB: Toestemmings of betalen modellen moeten echte keuze bieden | Verder lezen | |
Zoom lost laatste privacyrisico s op voor gebruik in onderwijs | Verder lezen | |
Blijf waakzaam op infiltratiepogingen van open source projecten | Verder lezen | |
MIVD: vpn apparatuur steeds vaker doelwit Chinese spionagecampagnes | Verder lezen | |
AP waarschuwt: risico s cyberaanvallen vaak veel te laag ingeschat | Verder lezen |