Gegevens 13.000 kinderen toegankelijk door beveiligingslek in sinterklaaswebsite omroep (11/11/22)

Beoordeling
Organisatie
Betrokkenen
Soort (persoons)gegevens
Type incident
Omschrijving van het incident
Respons van de organisatie
Bronnen

Beoordeling

★★★ (het datalek is opgenomen in de overzichten van BoF, Karin Spaink en / of Rejo Zenger)

Organisatie

NTR.

Betrokkenen

"De hacker claimt dat hij de gegevens van duizenden kinderen heeft kunnen inzien. De publieke omroep NTR bevestigt dat; het ging om de gegevens van 13.000 kinderen." (Tweakers.net, 11/11/22)

Soort (persoons)gegevens

"Onder andere naam, e-mailadres en leeftijd werden in de database opgeslagen. [...] een tabel met administratieve logingegevens." (Tweakers.net, 11/11/22)

Type incident

Inbreuk op de vertrouwelijkheid van de verwerkte gegevens.

Omschrijving van het incident

"Als gevolg van een beveiligingsprobleem in de website van het Sinterklaasjournaal kon een hacker gegevens van 13.000 kinderen opvragen. Het lek zou te maken hebben met een tool die al sinds 2005 werd gebruikt en onvoldoende was beveiligd. [...] De tool gaf kinderen de mogelijkheid om bijvoorbeeld tekeningen in te sturen en kleurplaten te downloaden, maar bleek ongewild tot meer in staat. Via sql-injectie, een vaak voorkomende methode om beveiligingen te omzeilen, kon een databasedump worden gemaakt. Onder andere naam, e-mailadres en leeftijd werden in de database opgeslagen. De hacker, die anoniem wil blijven, plaatste op het internet een gedeeltelijke en gecensureerde dump van een tabel met administratieve logingegevens. Hij zegt dat hij bewust niet meer dan die informatie uit de database heeft gedownload. 'Dat zou niet netjes zijn', zegt hij. Volgens de hacker ging het trouwens om een tabel met de naam 'verlanglijstjes', maar [de woordvoerder van NTR] zegt dat dergelijke functionaliteit niet op de website van het Sinterklaasjournaal te vinden is. Die functionaliteit zat aanvankelijk wel in de gehackte tool, maar is inmiddels verdwenen. Het Sinterklaasjournaal riep de jonge kijkers op om hun naam en e-mailadres op de website in te vullen, omdat ze anders 'geen cadeautjes zouden krijgen'." (Tweakers.net, 11/11/22)

Respons van de organisatie

"Het gaat om een tool die sinds 2005 online staat", zegt [een woordvoerster] van de NTR. 'Die tool bleek niet beveiligd op de wijze waarop we de rest hebben beveiligd.' De tool werd, ondanks de slechte beveiliging, ook dit jaar nog gebruikt." (Tweakers.net, 11/11/22)

Bronnen

Eerste publicatie:
Tweakers.net: Gegevens 13.000 kinderen toegankelijk door lek Sinterklaasjournaal.nl (11/11/22)

Eerdere berichten over het verzamelen van e-mailadressen via de website:
Ouders Online: Sinterklaasjournaal zet ouders voor het blok (11/11/14)
Internetrecht: Sinterklaasjournaal zet ouders voor het blok, mag dat? (11/11/22)