Voor de tweede keer in korte tijd constateert het Instituut Mijnbouwschade Groningen (IMG) dat er sprake is van een datalek. Een bemiddelingsbureau heeft brieven verstuurd naar mensen die geen aardbevingsschade hebben gemeld. Dat roept de vraag op hoe dat bedrijf aan deze adresgegevens is gekomen.
Het nieuws werd naar buiten gebracht door de Groningse blog Sikkom.
Bemiddelingsbureau stuurt brieven naar Groningers die geen bevingsschade hebben gemeld
De site schrijft over het Groningse Tweede Kamerlid Sandra Beckerman (SP). Net als tienduizenden anderen heeft zij een huis in het aardbevingsgebied. De politica heeft echter nooit een melding gedaan van aardbevingsschade. “Straks verschijnt mijn naam op een lijstje. Dat komt wat gek over. Daarom heb ik geen schade gemeld en zet ik me puur in voor andere gedupeerden”, ze zegt ze.
Haar verontwaardiging was dan ook groot toen ze een brief van Loket Bevingsschade op haar deurmat zag liggen. De brief is van een bemiddelingsbureau die, voor een deel van de opbrengst, bevingsschade voor mensen in het aardbevingsgebied afhandelen. Daarin staat dat ze nog geen schade heeft gemeld en dat het verstandig is om daar zo snel mogelijk werk van te maken.
Omdat de huisstijl en de kleuren in het logo sterk overeenkomen met het IMG, lijkt het net alsof de brief afkomstig is van de instantie. Beckerman is erg boos. “Aan de ene kant heb je al die Groningers die volledig klem zitten dankzij de bevingsschade en het daar erg moeilijk mee hebben. Aan de andere kant heb je bedrijven als deze die daar op een listige wijze gebruik van maken”, zo vertelt ze tegenover Sikkom.
Sikkom: ‘Eigenaar bemiddelingsbureau schuldig aan identiteitsfraude’
Roelof Bleeker, eigenaar van het Loket Bevingsschade, vertelt aan de Groningse blog dat hij via eigen onderzoek aan de gegevens is gekomen van mensen die geen bevingsschade hebben gemeld. Namen en woonadressen zijn afkomstig uit de database van het Kadaster, informatie dat er geen schade is gemeld zijn afkomstig van IMG. Bleeker claimt dat het IMG hiervoor toestemming heeft gegeven.
Volgens Sikkom maakt het bemiddelingsbureau van Bleeker zich schuldig aan identiteitsfraude. Om te achterhalen of er melding is gedaan van bevingsschade, moet er met DigiD of e-herkenning voor bedrijven worden ingelogd bij IMG. “En dat is precies wat Loket Bevingsschade doet. Ze doen zich voor als eigenaar van een huis, maar loggen wel met de eigen DigiD in. Op die manier ontfutselen ze informatie die eigenlijk niet voor anderen dan de woningeigenaar bestemd is en waarmee ze dus hun verdienmodel vervolgens een push geven”, zo schrijft de blog.
IMG dreigt met juridische stappen
Het IMG is niet blij met de gang van zaken. De organisatie zegt dat het kennis heeft genomen dat een bemiddelingsbureau voor aardbevingsschade brieven heeft verzonden naar adressen waar geen schade is gemeld. “Dit roept vragen op over hoe dat bureau aan deze informatie is gekomen.” Het lijkt erop dat deze gegevens onrechtmatig zijn verkregen.
Het IMG belooft te onderzoeken of iemand zich heeft voorgedaan als eigenaar, erfgenaam of gemachtigde, terwijl dat niet het geval is. “Als blijkt dat er op onrechtmatige wijze gegevens zijn verkregen, neemt het IMG vervolgstappen.”
Het IMG zegt dat het onmiddellijk voorzorgsmaatregelen heeft getroffen zodat persoonsgegevens niet langer verspreid kunnen worden. “ Wanneer nu een aanvraag wordt gestart voor vaste vergoeding en er eerder op het betreffende adres al schade is gemeld, worden deze gegevens niet meer getoond, maar wordt de aanvraag intern afgewezen”, aldus het IMG. De komende weken werkt de organisatie aan een structurele oplossing. De instantie heeft melding gedaan bij de Autoriteit Persoonsgegevens.
Tweede datalek in korte tijd
Dit is het tweede datalek in korte tijd bij het IMG. Door een technische storing konden tientallen klanten tijdelijk de gegevens van anderen inzien. Dat was het geval bij Groningers die een aanvraag wilden doen voor Bijkomende Kosten.
“Uit onze data blijkt dat van woensdag 19 oktober 13.00 uur tot en met vrijdag 21 oktober 13.00 uur maximaal 60 aanvragers onterecht gegevens van andere aanvragers hebben kunnen inzien”, zo schreef het IMG in een persverklaring. Door de storing waren schadenummers, schadeadressen, indieningsdata, schadezaken en de status van de schadezaken korte tijd zichtbaar.
De oorzaak van de technische storing is inmiddels achterhaald. Het datalek komt door een fout in een nieuwe versie van de software Mira/MijnDossier. “De software is op de dag van de ontdekking van het datalek hersteld met een verbeterde versie”, zegt het IMG op haar website. Door deze fout konden aanvragers van Bijkomende Kosten informatie koppelen aan schadezaken van andere personen. “Zo’n koppeling zou niet mogelijk moeten zijn. Deze fout is hersteld en niet meer mogelijk”, aldus het IMG.
Om herhaling in de toekomst te voorkomen, heeft de organisatie een verbetering doorgevoerd in de testprocedure van haar software.
