Het datalek bij Ticketcounter had nooit mogen gebeuren. Als het bedrijf een wachtwoord had ingesteld voor de container in clouddienst Microsoft Azure, waar een back-up met klantgegevens was opgeslagen, had het voorval voorkomen kunnen worden. Andere ondernemers dienen zich bewust te zijn van de gegevens waarover zij beschikken.
Dat zegt Sjoerd Bakker, directeur van Ticketcounter, in een interview met BNR.
Klantgegevens maandenlang toegankelijk voor hackers
In maart 2021 kreeg Ticketcounter te maken met een datalek. Een medewerker had per ongeluk klantgegevens van anderhalf tot twee miljoen Nederlanders op een onbeveiligde server geplaatst. Deze back-up bevatte onder meer namen, woonadressen, geboortedata, telefoonnummers, e-mailadressen en bankrekeningnummers.
Doordat de server niet was beveiligd met een wachtwoord, hadden hackers maandenlang toegang tot de privégegevens van klanten van Ticketcounter. De aanvaller eiste een bedrag van zeven Bitcoin, wat destijds een waarde had van 285.000 euro. Algemeen directeur Sjoerd Bakker weigerde om het losgeld te betalen. Daarop publiceerde de dader de buitgemaakte gegevens op het dark web.
Ticketcounter ging ‘onzorgvuldig’ om met klantgegevens
Donderdag deden zich nieuwe ontwikkelingen voor. De politie meldde toen dat ze drie Nederlandse verdachten had gearresteerd wegens computervredebreuk, datadiefstal, afpersing en witwassen. In de afgelopen jaren wisten de mannen de hand te leggen op privégegevens van tientallen miljoenen mensen wereldwijd. De hoofdverdachte, een 21-jarige man uit Zandvoort, zou zo’n 2,5 miljoen euro hebben verdiend door persoonlijke gegevens van anderen te verhandelen.
Een van de gedupeerden was Ticketcounter. BNR nodigde Sjoerd Bakker uit voor een vraaggesprek over het voorval. De CEO benadrukte dat zijn bedrijf nooit is gehackt, maar dat data door “onzorgvuldigheid vanuit hun kant” beschikbaar was voor hackers.
Bakker vertelt dat hij door KPN en de Australische beveiligingsexpert Troy Hunt is gewaarschuwd voor het datalek. Zo kreeg hij een beeld van de omvang van het lek en welke gegevens online waren gepubliceerd.
Losgeld betalen was nooit een optie
Tegenover BNR vertelt de CEO dat hij nooit heeft overwogen om het losgeld te betalen. Wat in zijn overweging meespeelde was dat zijn bedrijfsvoering nooit in het geding was. Voor Ticketcounter was het ‘business as usual’. Als het bedrijf was stilgevallen doordat de digitale infrastructuur was aangetast, bijvoorbeeld door ransomware, dan was het een ander verhaal geweest.
De hacker gaf Bakker 72 uur de tijd om met het losgeld over de brug te komen. De algemeen directeur zegt deze tijd te hebben gebruikt om open kaart te spelen en iedereen op de hoogte te brengen van de datadiefstal.
‘Lukraak gokken’
Bakker steekt de boezem in eigen zak en erkent dat er fouten zijn gemaakt. Het datalek was volgens hem “kinderlijk eenvoudig” te voorkomen. “Negentig procent van de datalekken vindt plaats doordat je toch net wat onzorgvuldig omgaat met gegevens en bij ons was het zo dat de back-up van klantgegevens op een plek stond die publiek beschikbaar was. Hadden we daar een wachtwoord op gezet, dan was dit gewoon nooit gebeurd, of was de kans een stuk kleiner”, zo vertelt hij.
Om kantgegevens te bewaren maakt Ticketcounter gebruik van Microsoft Azure. Bakker legt uit dat je vroeger een container aanmaakte in de cloud die standaard zodanig was ingesteld dat deze voor iedereen toegankelijk was. Microsoft heeft dat aangepast, wat betekent dat mensen expliciet toestemming moeten hebben alvorens zij bij de bestanden in de container kunnen.
“Deze container is jaren geleden aangemaakt, dus met publieke toegang aan. Daar is even een back-up neergezet. Door lukraak te gokken naar bestandsnamen, hebben de hackers uiteindelijk dat bestand te pakken gekregen”, aldus Bakker.
Hij adviseert andere ondernemers om zich bewust te zijn van de data die zij beheren. “Zodra een computer gekoppeld is aan internet, is die kwetsbaar”, benadrukt hij. Verder raadt de CEO iedereen aan om updates te installeren.
