PCextreme.nl slordig met gegevens
Het ticketsysteem van de website PCextreme.nl is zo lek als een mandje. De website, die zowel particuliere als zakelijke webhostingdiensten aanbiedt, heeft een klantenbestand van circa 35.000 klanten, en het ticketsysteem bevat op dit moment ongeveer 13.000 tickets. Hier komen er dagelijks ongeveer 500 bij. Deze worden echter bewaard in afzonderlijke systemen, binnen het eigen ontwikkelde domeinbeheersysteem van de provider.
FOK!ker BBQSausage, die zelf klant is bij PCextreme, kwam er achter hoe hij in het ticketsysteem tickets van andere klanten kon inzien. Je kon pas in het ticketsysteem komen zodra je een klantnummer en wachtwoord hebt, maar daar is relatief makkelijk aan te komen. Je krijgt deze namelijk toegewezen op het moment dat je een (gratis) bestelling plaatst op de website en daarmee een account hebt aangemaakt.
De tickets en hun bijlagen bevatten veelal informatie met privcaygevoelige gegevens, zoals NAW-gegevens, scans van contracten en/of ID-bewijzen. Ook inloggegevens voor dedicated servers waren op deze manier vrij toegankelijk. Ook is in 99 procent van de gevallen het e-mailadres van de klant zichtbaar.
User BBQSausage zegt het volgende over zijn bevindingen: "Ik wil duidelijk maken dat veel hostingbedrijven (die meestal klein beginnen) denken dat ze alles netjes op orde hebben, en hun klanten van een veilige en betrouwbare service kunnen voorzien, terwijl het tegendeel waar is. Ook wil ik laten zien dat je als klant erg voorzichtig moet zijn met het verspreiden van gegevens online (Zelfs richting een -naar jouw weten- betrouwbaar bedrijf). In dit geval dus login-gegevens, codes, kopieën van ID-bewijzen. Het lijkt er op dat je in dit geval nog beter terug had kunnen grijpen naar de oude vertrouwde brief in envelop.”
Om te voorkomen dat er misbruik van het lek gemaakt zou worden, is besloten te wachten met het publiceren ervan om schade te voorkomen. FOK! heeft PCextreme benaderd en gevraagd om opheldering over het lek. In een reactie laat Jeroen van Brink van PCextreme weten dat de betreffende fout in de automatisering is gelokaliseerd en dat er een noodoplossing is toegepast waardoor de gegevens niet langer zichtbaar zijn. Ook laat hij nog weten dat het lek zich beperkte tot het ticketsysteem, dat strikt gescheiden zou zijn van andere onderdelen van de website.
Ticketsysteem zo lek als een mandje
