Beoordeling

★★ (de informatie over het datalek komt uit meerdere bronnen)

Organisatie

Dienst Uitvoering Onderwijs (DUO).

Betrokkenen

Cliënten van DUO.

Soort (persoons)gegevens

"De hacker liet ook zien dat er relatief eenvoudig een pagina kan worden gemaakt waar mensen met iDeal kunnen betalen of in kunnen loggen met hun DigiD. Het is volgens hem denkbaar dat mensen een mail krijgen om een achterstand in de aflossing van de studieschuld per iDeal te voldoen, om zo bankgegevens te stelen. Het zou zelfs mogelijk zijn om daadwerkelijk een betaling naar een andere rekening te laten uitvoeren." (AG, 11/06/08)

Type incident

Ontoereikende beveiliging van de verwerkte persoonsgegevens.

Omschrijving van het incident

"RTL Nieuws kwam het lek op het spoor na een tip van een hacker. De DUO-site is kwetsbaar voor een zogenaamde Cross Site Scripting-hack (XSS). Daarbij kan iemand een eigen website laden in de website van een ander. Als die eigen website maar genoeg lijkt op het origineel, valt dit niet op. Extra gevaarlijk is dat het adres in de adresbalk op het eerste gezicht wel lijkt te kloppen." (AG, 11/06/08)

Respons van de organisatie

"Een woordvoerder van DUO zei gisteren verrast te zijn. 'We stellen een onderzoek in en gaan het gat per ommegaande dichten', aldus de woordvoerder. Toch noemt de woordvoerder het risico laag. 'Maar de site van DUO moet wel een betrouwbare omgeving zijn.' Inmiddels heeft de organisatie laten weten dat het lek gedicht is." (AG, 11/06/08)

Bronnen

Eerste publicatie:
AG: Opnieuw lek in site studiefinanciering (11/06/08)

Zie verder:
PrivacyNieuws: Site v/d dienst studiefinanciering (DUO) weer lek! (11/06/08)
PrivacyNieuws: Kamervragen; Het bericht dat de website van DUO onveilig is (11/06/14)

Site uitvoeringsorganisatie kwetsbaar voor XSS (11/06/08)