Website CheapTickets.nl gehackt

De persoonlijke gegevens van 715.000 mensen die samen 1,2 miljoen vliegtickets boekten bij webwinkel CheapTickets.nl zijn in handen van een hacker.

Het gaat onder meer om naam- en adresgegevens, wachtwoorden, maar ook bestemmingen, details over speciale diëten en in sommige gevallen paspoortnummers. De klantgegevens zijn uit 2008 en 2009.

Vegetarische maaltijd

De onbekende hacker misbruikte een bekende fout in een test-webserver van CheapTickets.nl en kon een back-up van de database met alle transacties kopiëren. De server was niet voorzien van de laatste software waarin dit lek is gedicht.

Ook over verslaggever Jeroen Wollaars waren bij de hacker gegevens bekend. "Ik boekte in 2009 een vlucht via CheapTickets.nl. De hacker liet me zien dat hij de beschikking heeft over mijn naam- en adresgegevens, mijn e-mailadres, het wachtwoord dat ik gebruikte en de naam van mijn reisgenote. Hij kon zien dat we naar Tokyo gingen en dat zij een vegetarische maaltijd bestelde", aldus Wollaars.

Ongekend

Voor zover bekend heeft de hacker geen misbruik gemaakt van de gegevens. Hij stapte met zijn ontdekking naar IT-journalist Brenno de Winter die de maand oktober heeft omgedoopt tot 'lektober' en via de site webwereld.nl elke dag bericht over slecht beveiligde computersystemen.

Volgens De Winter is de omvang van dit lek ongekend en is het goed dat dit nu aan het licht komt voordat er mensen zijn die wél misbruik van de gegevens maken.

Waarborg

De kraak is des te opmerkelijk omdat CheapTickets.nl lid is van de Thuiswinkel Waarborg. Leden van de Thuiswinkel Waarborg laten de consument zien dat zij "een betrouwbare en veilige manier van winkelen online bieden", is op de website van het bedrijf te lezen.

Thuiswinkel Waarborg controleerde de site van CheapTickets.nl op 24 maart nog onder meer op veiligheid en privacy en gaf een certificaat af.

Maar ze blijken slechts te kijken of een site een SSL-verbinding heeft, een slotje bij het webadres. De veiligheid van de achterliggende systemen wordt niet beoordeeld. De vraag is wat het waarborg eigenlijk waard is waar het veiligheid en privacy betreft.

Offline

CheapTickets (.pdf) geeft toe dat er is ingebroken en dat dat niet had mogen gebeuren. Ze wijzen er op dat het systeem inmiddels offline is en dat niet is bewezen dat andere hackers de gegevens ook in handen hebben.