Forum Weblog Zoek Actieve Items Nieuws Columns Reviews Previews Specials Archief

'Gegevens niet veilig op site OV-chipkaart'

Harry

Reisgegevens en persoonlijke data worden niet veilig opgeslagen op de site van de OV-chipkaart. Door een technisch probleem kunnen de gegevens zichtbaar zijn voor anderen en deels worden gewijzigd, schrijft NRC Handelsblad zaterdag.

Door een account aan te maken op de site ov-chipkaart.nl kunnen reizigers hun transactiegegevens zien en hun saldo verhogen. Meer dan twee miljoen reizigers hebben er een account. Het lek kwam volgens de krant aan het licht toen een kaarthouder onlangs een nieuw account aanmaakte. Onbedoeld kreeg hij zicht op de reisgegevens van twee andere kaarthouders.

Het ging om een anonieme kaarthouder en een man uit Arnhem. Van de Arnhemmer waren ook zijn adresgegevens, e-mailadres en rekeningnummer zichtbaar. Ook bleek het mogelijk zijn gegevens te wijzigen.

Het bedrijf achter de ov-chipkaart, Trans Link Systems, erkent volgens de krant dat de de nietsvermoedende kaarthouder de gegevens kon inzien en wijzigen. Wel benadrukt het bedrijf dat transactiegegevens niet konden worden gewijzigd.

"De kaarthouder wiens gegevens zichtbaar waren, kon geen financieel nadeel ondervinden", stelt de woordvoerder in de krant. Via de site kunnen kwaadwillenden wellicht niet direct geld van iemands rekening afschrijven, maar de combinatie van naam, rekeningnummer en adresgegevens geeft hen wel andere mogelijkheden waarmee iemand alsnog kan worden gedupeerd.

Het probleem kan zich vaker hebben voorgedaan, al zouden er niet meer klachten zijn binnengekomen. Het bedrijf test momenteel software uit die het probleem moet oplossen. Als dat lukt, wordt het systeem achter de website dinsdag aangepast.

Help ons; deel dit item als je het leuk vond

Heb je een leuk of interessant bericht gevonden dat je graag op FOK! terug ziet? Tip ons dan via de submit!

Zoek jij altijd de leukste nieuwtjes en kun je daar leuk over schrijven? Meld je aan als nieuwsposter!

Lees ook

Font-grootte:
Normaal
Kleiner

regelhoogte :
Normaal
Kleiner

24 reacties

zaterdag 9 augustus 2014, 08:59 uur #2

DuvalBrood

Duval... heerlijk!

^Wat een ongelofelijke onzin! Natuurlijk kan je een website wel veilig houden.

Identiteitsdiefstal wordt elk jaar groter en serieuzer. Het wordt tijd dat dit soort blunders gewoon eens keihard afgestraft gaat worden.

Kunnen de verantwoordelijken, deze amateuristische..... PRUTSERS!!!!! Godverdomme op straat gezet worden???

Dit is geen beginners fout meer, dit is gewoon moedwillig bezuinigen op beveiliging. Moedwillig het risico lopen dat dit gebeurt. Wat een kansloze kut prutser weer, godverdomme.

Heerlijk, helder... Duval!

zaterdag 9 augustus 2014, 08:59 uur #3

Yi-Long

Snorloze Zeiksnor

Ach ja, de zoveelste IT-faal in Nederland in een groot opgedrongen prestige-project.

Voor de 1000ste keer: we hadden gewoon het systeem zoals in Hong Kong 1-op-1 moeten overnemen. Daar werkt het perfect. Vrijwel iedereen loopt gewoon met een anonieme Octopus-card, geen foto of whatever erop, en gewoon overal opladen waar je wilt. Niets geen namen, adressen of bankrekeningenummers gekoppeld aan die kaart ofzo.

... maar nee, wij moesten het weer zo nodig op een eigen manier doen...

zaterdag 9 augustus 2014, 09:12 uur #4

mogsy

quote:
Op zaterdag 9 augustus 2014 @ 08:59 schreef Yi-Long het volgende:
Ach ja, de zoveelste IT-faal in Nederland in een groot opgedrongen prestige-project.

Voor de 1000ste keer: we hadden gewoon het systeem zoals in Hong Kong 1-op-1 moeten overnemen. Daar werkt het perfect. Vrijwel iedereen loopt gewoon met een anonieme Octopus-card, geen foto of whatever erop, en gewoon overal opladen waar je wilt. Niets geen namen, adressen of bankrekeningenummers gekoppeld aan die kaart ofzo.

... maar nee, wij moesten het weer zo nodig op een eigen manier doen...

Kan er in Nederland überhaupt wel een IT project goed gedaan worden

Zelfs in Zweden hebben we een beter systeem, althans in Stockholms län.

zaterdag 9 augustus 2014, 09:13 uur #5

Dannisi

quote:
Op zaterdag 9 augustus 2014 @ 08:59 schreef Yi-Long het volgende:
Ach ja, de zoveelste IT-faal in Nederland in een groot opgedrongen prestige-project.

Voor de 1000ste keer: we hadden gewoon het systeem zoals in Hong Kong 1-op-1 moeten overnemen. Daar werkt het perfect. Vrijwel iedereen loopt gewoon met een anonieme Octopus-card, geen foto of whatever erop, en gewoon overal opladen waar je wilt. Niets geen namen, adressen of bankrekeningenummers gekoppeld aan die kaart ofzo.

... maar nee, wij moesten het weer zo nodig op een eigen manier doen...

Maar, maar, maar...hoe moet de overheid dan iedereen volgen?
Terrorisme en kinderporno enzo.

zaterdag 9 augustus 2014, 09:15 uur #6

Yi-Long

Snorloze Zeiksnor

quote:
Op zaterdag 9 augustus 2014 @ 09:12 schreef mogsy het volgende:
[..]

Kan er in Nederland überhaupt wel een IT project goed gedaan worden

Zelfs in Zweden hebben we een beter systeem, althans in Stockholms län.

Misschien dat er veel meer geld valt te verdienen met falende IT-projecten... !? Geen idee, maar het is natuurlijk wel compleet lachwekkend als je kijkt hoeveel geld er steeds ingestopt wordt door de overheid voor de meest simpele dingen, en hoe vaak het vervolgens misgaat...

... en vervolgens gewoon volhouden dat we een kennis-economie hebben...(!)

zaterdag 9 augustus 2014, 09:29 uur #7

mogsy

quote:
Op zaterdag 9 augustus 2014 @ 09:15 schreef Yi-Long het volgende:
[..]
Misschien dat er veel meer geld valt te verdienen met falende IT-projecten... !? Geen idee, maar het is natuurlijk wel compleet lachwekkend als je kijkt hoeveel geld er steeds ingestopt wordt door de overheid voor de meest simpele dingen, en hoe vaak het vervolgens misgaat...

... en vervolgens gewoon volhouden dat we een kennis-economie hebben...(!)

Van horenzeggen zijn het altijd wel wurgcontracten waarbij de overheid niet kan afdwingen dat het voor de afgesproken prijs gedaan moet worden. Er zijn ook geen boeteclausulen voor het niet op tijd afleveren. Je verdient er dus altijd aan ongeacht wat je aflevert.

Waarom de overheid zoiets zou ondertekenen is mij een raadsel, maargoed we hebben tenslotte een overschot aan incompetente apen in de overheid

.

Ik heb altijd het idee gehad dat als je niet kan meekomen in de grote mensen wereld dat je dan maar voor de overheid gaat werken

zaterdag 9 augustus 2014, 09:40 uur #8

Rijger

I couldn't cat anymore

Ik adviseer de Lexmark Killer chip, die is slimmer en veiliger.
foto

Ik ben inmiddels overleden!
Everyone around you was corrupted, say something!
Hell is empty, the devil is here. We suffer in silence!
It came like Jesus to a child but it left as if raped by Satan.

zaterdag 9 augustus 2014, 09:45 uur #9

hanns

quote:
Op zaterdag 9 augustus 2014 @ 09:29 schreef mogsy het volgende:
[..]

Van horenzeggen zijn het altijd wel wurgcontracten waarbij de overheid niet kan afdwingen dat het voor de afgesproken prijs gedaan moet worden. Er zijn ook geen boeteclausulen voor het niet op tijd afleveren. Je verdient er dus altijd aan ongeacht wat je aflevert.

Waarom de overheid zoiets zou ondertekenen is mij een raadsel, maargoed we hebben tenslotte een overschot aan incompetente apen in de overheid .

Ik heb altijd het idee gehad dat als je niet kan meekomen in de grote mensen wereld dat je dan maar voor de overheid gaat werken .

Dit dus. ICT en overheid. Ergens moet er links en rechts wat aan de strijkstok blijven hangen. Bakken met geld wordt er uitgeven en het werkt geen van alle behoorlijk.

zaterdag 9 augustus 2014, 10:10 uur #13

DuvalBrood

Duval... heerlijk!

quote:
Op zaterdag 9 augustus 2014 @ 10:05 schreef Ugjerke het volgende:
[..]

Kun je ook vertellen waarom je deze mening hebt, of alleen in veel verschillende woorden verkondigen dat je deze mening hebt?

Database gegevens met prive informatie, zoals adresgegevens, dienen met encryptie (versleuteld) opgeslagen te worden in een database. In dit geval wordt er met een simpel GET/POST request via de header van de website met een ID een set gegevens opgehaald uit de database.

Bijvoorbeeld: 'SELECT * FROM tbl_PriveGegevens WHERE KlantNummer = BLAH'

In dit geval wordt 'BLAH' meegegeven als variabele via de URL balk van je browser. Als je het klantnummer dus aanpast, dan krijg je andere gegevens te zien. De meest simpele en banale vorm van SQL Injectie, er wordt niet eens een commando meegegeven, nee de database gegevens liggen gewoon open op straat.

Meer informatie over SQL Injectie
http://nl.wikipedia.org/wiki/SQL-injectie

Column enryptie:
http://msdn.microsoft.com/en-us/library/ms179331.aspx

Dat is slechts het eerste dat ze fout hebben gedaan. Maar mijn punt is wel gemaakt, je gaat verder zelf maar op onderzoek uit. Ik heb niet voor niets 5 jaar gestudeerd als Database analist.

Heerlijk, helder... Duval!

zaterdag 9 augustus 2014, 10:14 uur #15

Ugjerke

God of tits and wine

quote:
Op zaterdag 9 augustus 2014 @ 10:10 schreef DuvalBrood het volgende:
[..]

Database gegevens met prive informatie, zoals adresgegevens, dienen met encryptie (versleuteld) opgeslagen te worden in een database. In dit geval wordt er met een simpel GET/POST request via de header van de website met een ID een set gegevens opgehaald uit de database.

Bijvoorbeeld: 'SELECT * FROM tbl_PriveGegevens WHERE KlantNummer = BLAH'

In dit geval wordt 'BLAH' meegegeven als variabele via de URL balk van je browser. Als je het klantnummer dus aanpast, dan krijg je andere gegevens te zien. De meest simpele en banale vorm van SQL Injectie, er wordt niet eens een commando meegegeven, nee de database gegevens liggen gewoon open op straat.

Meer informatie over SQL Injectie
http://nl.wikipedia.org/wiki/SQL-injectie

Column enryptie:
http://msdn.microsoft.com/en-us/library/ms179331.aspx

Dat is slechts het eerste dat ze fout hebben gedaan. Maar mijn punt is wel gemaakt, je gaat verder zelf maar op onderzoek uit. Ik heb niet voor niets 5 jaar gestudeerd als Database analist.

Dank.

Op maandag 29 april 2013 16:56 schreef Moira. het volgende:
Ug, je bent af en toe een (leuke) mafkees, maar ook een wijs man.

zaterdag 9 augustus 2014, 10:14 uur #16

klappernootopreis

Pleens treens en ottomobile

De NS heeft gekozen voor de elektronische zakkenroller optie, en het is nog steeds een stug bedrijf met staatsnukken. Ze zullen de laatste zijn die hun fouten willen toegeven. Alleen bij de Fyra moesten ze wel, waarop ze op geniepige wijze proberen via het andere faalproject de ov chipkaart dit debacle terug te verdienen. Mijn vriendin moest naar den haag met de trein, checkt netjes in en uit, maar was ineens 35 euro kwijt boven op haar reiskosten. Heel verdacht. Nog verdachter is dat wanneer je vergeet uit te checken je geld per post moet terugvragen, en je daarbij ook nog twee euro administratiekosten moet neertellen. Het buitenland lacht schamper over de NS.

Mag ik je vandaag weer eens irriteren?

zaterdag 9 augustus 2014, 10:27 uur #17

DuvalBrood

Duval... heerlijk!

quote:
Op zaterdag 9 augustus 2014 @ 10:11 schreef Vu het volgende:
[..]
Het is wel overduidelijk dat jij totaal geen benul hebt van ICT en nog sterker, ik denk zelfs dat jij helemaal geen technische kennis hebt.

Dus ga eerst even nadenken voordat je de boel begint op te ruien..

Heerlijk, helder... Duval!

zaterdag 9 augustus 2014, 10:51 uur #18

Nieuwe_Rotterdammer

quote:
"De kaarthouder wiens gegevens zichtbaar waren, kon geen financieel nadeel ondervinden", stelt de woordvoerder in de krant.

Dus als ik iemand anders zijn rekening nummer in kan zien en deze onder mijn eigen gegevens invul waardoor automatisch incasso niet meer van mijn rekening af gaat maar van de ander zijn rekening heeft de ander hier geen financieel nadeel van? Rare redenering hebben ze daar bij Trans Link. Ben blij dat ik het OV de rug heb toegekeerd sinds de introductie van de OV Chipkaart. Heel af en toe gebruik ik nog het OV (als mijn auto naar de garage moet of zo) en gebruik ik een 2 of 3-dagenkaart om van Rotterdam naar Den Haag te gaan met de metro. Is wel veel veiliger en nog veel goedkoper dan reizen op reistegoed ook. En daarnaast maakt het met een wegwerpkaart ook niet uit als je vergeet uit te loggen.

zaterdag 9 augustus 2014, 11:42 uur #19

Yi-Long

Snorloze Zeiksnor

quote:
Op zaterdag 9 augustus 2014 @ 10:09 schreef Ugjerke het volgende:
[..]

Met de octopus card betaal je in de bus altijd een vaste prijs per rit, ongeacht begin- of eindpunt. In de metro en tram betaal je altijd voor het hele traject. Moet ik je echt uitleggen waarom het een enorme fout zou zijn om dit 1-op-1 in Nederland over te nemen? Of was je hier niet eens van op de hoogte?

Is de 1000e keer dat je dit verkondigt dan eindelijk de laatste keer dat je dit doet?

Dat klopt, maar in Hong Kong heb je dusdanig veel bussen dat je wel precies de bus kunt nemen waar je naar toe wilt, en met mini-bussen kun je gewoon een lager bedrag kiezen als je er halverwege uit moet.

De grote bussen betaal je meestal inderdaad de hele rit, maar dan kies je dus gewoon de juiste bus uit voor waar je wilt zijn, en dan is het prima te doen. Als ik in Kowloon Tong moet zijn, dan neem ik dus niet de bus die helemaal doorgaat naar Tsim Sha Tsui.

En bij de grote bussen, als je dan halverwege eruit moet, dan kun je ook gewoon cash een lager bedrag betalen. Als ik vanuit Tai Po (64K) de bus naar Yuen Long pak, maar ik moet eruit bij Kadoori Farm of Lam Tsuen, dan betaal ik cash 5.5 HK$, ipv de 7-9HK$ die ik anders voor de hele rit zou betalen.

Nog even los van het feit dat de prijzen dusdanig laag zijn in HK dat het sowieso niet zoveel uitmaakt of je de hele ritprijs betaalt of niet. Scheelt een paar dubbeltjes ofzo.

zaterdag 9 augustus 2014, 14:01 uur #21

houdeensop

quote:
Op zaterdag 9 augustus 2014 @ 09:15 schreef Yi-Long het volgende:
[..]
Misschien dat er veel meer geld valt te verdienen met falende IT-projecten... !? Geen idee, maar het is natuurlijk wel compleet lachwekkend als je kijkt hoeveel geld er steeds ingestopt wordt door de overheid voor de meest simpele dingen, en hoe vaak het vervolgens misgaat...

... en vervolgens gewoon volhouden dat we een kennis-economie hebben...(!)

Dat idee heb ik ook.
Net als in de wegenbouw hier.
Echt elke verandering, zelfs een verkeersdrempel, moet 2x gedaan worden, omdat hij te hoog, laag, schuin of te vlak is de eerste keer.
Elke keer weer.
Zou best wel eens te maken kunnen hebben met dat er geen garantie op zit, zoals bij consumenten.
En dat de gemeente geld 'bespaart' door de leverancier niet ook als 'expert' in te huren, maar zelf de beslissing neemt of de plannen goed zijn.

zaterdag 9 augustus 2014, 22:38 uur #22

frut666

quote:
Op zaterdag 9 augustus 2014 @ 09:12 schreef mogsy het volgende:
[..]

Kan er in Nederland überhaupt wel een IT project goed gedaan worden

Zelfs in Zweden hebben we een beter systeem, althans in Stockholms län.

Ja, maar niet zolang de overheid zich er op enige wijze mee bemoeit.

zaterdag 9 augustus 2014, 23:20 uur #23

Hurricane

Everything is like the wind

quote:
Op zaterdag 9 augustus 2014 @ 08:59 schreef DuvalBrood het volgende:
Kunnen de verantwoordelijken, deze amateuristische..... PRUTSERS!!!!! Godverdomme op straat gezet worden???

Dit is geen beginners fout meer, dit is gewoon moedwillig bezuinigen op beveiliging. Moedwillig het risico lopen dat dit gebeurt. Wat een kansloze kut prutser weer, godverdomme.

Moet dat nou zo grof, of ben je echt zo frustie.

Je heb ook de keuze om niet met het ov te gaan en de hele ov zooi links te laten liggen. Daarnaast is het OV met hun schurkenprijzen al helemaal niet meer openbaar, eerder elitair.

Whoesj

zondag 10 augustus 2014, 00:49 uur #24

Ugjerke

God of tits and wine

quote:
Op zaterdag 9 augustus 2014 @ 11:42 schreef Yi-Long het volgende:
[..]
Dat klopt, maar in Hong Kong heb je dusdanig veel bussen dat je wel precies de bus kunt nemen waar je naar toe wilt, en met mini-bussen kun je gewoon een lager bedrag kiezen als je er halverwege uit moet.

De grote bussen betaal je meestal inderdaad de hele rit, maar dan kies je dus gewoon de juiste bus uit voor waar je wilt zijn, en dan is het prima te doen. Als ik in Kowloon Tong moet zijn, dan neem ik dus niet de bus die helemaal doorgaat naar Tsim Sha Tsui.

En bij de grote bussen, als je dan halverwege eruit moet, dan kun je ook gewoon cash een lager bedrag betalen. Als ik vanuit Tai Po (64K) de bus naar Yuen Long pak, maar ik moet eruit bij Kadoori Farm of Lam Tsuen, dan betaal ik cash 5.5 HK$, ipv de 7-9HK$ die ik anders voor de hele rit zou betalen.

Nog even los van het feit dat de prijzen dusdanig laag zijn in HK dat het sowieso niet zoveel uitmaakt of je de hele ritprijs betaalt of niet. Scheelt een paar dubbeltjes ofzo.

Je vergeet of negeert dat je in Nederland met aanzienlijk langere trajecten te maken hebt.