Wie voor 5 augustus 2020 een dagkaart kocht, liep risico. © Frank de Roo

Afpersers willen 7 bitcoin (3 ton) na datalek bij attractieparken

Gegevens van bezoekers van Diergaarde Blijdorp, Apenheul, Dierenpark Amersfoort en tientallen andere attractieparken zijn onbedoeld verspreid door een datalek bij het bedrijf Ticketcounter. Dat bedrijf wordt nu ook nog eens afgeperst voor 3 ton.

Marcel Potters en Cyril Rosman 01-03-21, 14:32 Laatste update: 01-03-21, 18:33

Die afperser blijft wel steeds appjes sturen. Ik reageer nu maar even niet meer
Sjoerd Bakker

Ruim 1,5 miljoen gegevens van mensen die kaartjes hebben gekocht, hebben door een fout van een medewerker van Ticketcounter maandenlang per ongeluk online gestaan. Het gaat om namen, emailadressen en soms ook bankrekeningnummers van mensen die met iDeal betaalden. ,,Er zijn geen wachtwoorden, pasfoto’s of creditcardgegevens gelekt”, meldt Diergaarde Blijdorp, een van de slachtoffers, op een speciale website.

Directeur Sjoerd Bakker van Ticketcounter bevestigt het datalek. ,,Een medewerker heeft per ongeluk gegevens ergens online neergezet waar dat niet moest. Daardoor waren ze daar maandenlang (van 5 augustus 2020 tot 22 februari 2021 - red.) te vinden.” De gegevens werden daarna te koop aangeboden op het darkweb.

Afpersing

Ticketcounter wordt nu ook afgeperst, meldt Bakker. ,,Er is iemand die 7 bitcoins, zo’n 3 ton, van ons wil, anders dreigt hij de informatie openbaar te maken.”

Bakker is niet van plan te gaan betalen. ,,Zeker niet. Daarom treden we er nu ook mee naar buiten. We waarschuwen onze klanten dat dit is gebeurd.” Daarnaast hebben de gegevens al online gestaan, wat het dreigen met openbaar maken minder urgent maakt. ,,Die afperser blijft wel steeds appjes sturen. Hij zegt dat ‘de tijd op is'. In het Engels, dan hè. Hij appt nu weer, maar ik reageer even niet meer.” Het bedrijf heeft aangifte gedaan bij de politie. ,,We hebben al met de afdeling cybercrime in Rotterdam om de tafel gezeten.’’

Ticketcounter heeft nadat ze op het lek werden gewezen direct alles op alles gezet om het te dichten. Dat is inmiddels gebeurd. ,,Daarmee is het lek definitief opgelost en is er geen vervolgactie meer nodig”, aldus Blijdorp. De Apenheul, een van de andere getroffen bedrijven, laat weten: ,,We vinden het natuurlijk heel erg vervelend dat dit is gebeurd en bieden hiervoor mede namens onze partner Ticketcounter onze excuses aan.”

Het verschilt per attractiepark om welke tijdsperiode het gaat. Zo stelt DierenPark Amersfoort dat data zijn gelukt uit de periode tussen 23 juli 2018 en 4 augustus 2020. De Apenheul heeft het in een mail aan haar klanten over de periode van 19 juni 2017 tot 4 augustus 2020.

Wij adviseren om extra alert te zijn op zogenaamde phishing-activiteiten
Diergaarde Blijdorp

Ticketcounter heeft tientallen klanten. Volgens de website onder meer ook Duinrell, Kölner Zoo en De Keukenhof. Dat laatste bedrijf wilde niet direct reageren op het datalek. Ook DPG Media, uitgever van onder meer deze nieuwssite, is klant bij Ticketcounter. DPG Media verkoopt via de webshop onder meer kaartjes voor dierenparken en andere attractieparken. ,,We worden vanavond nog op de hoogte gesteld welke klantengegevens van ons mogelijk bij dit lek zijn betrokken. Daarna zullen we zo snel mogelijk de betreffende klanten op de hoogte stellen", aldus een woordvoerder van DPG Media.

Hacker

Er is melding gedaan bij de Autoriteit Persoonsgegevens. Er is geen direct gevaar, zo wordt geconcludeerd. ,,Ze kunnen er niets mee. Het is hetzelfde als wanneer je een bonnetje laat liggen bij de geldautomaat’’, vertelt Bakker. Blijdorp neemt echter het zekere voor het onzekere: ‘Wij adviseren om extra alert te zijn op zogenaamde phishing-activiteiten. Een hacker kan zich bijvoorbeeld voordoen als een medewerker van een bank en uw gegevens gebruiken om te bewijzen dat hij ‘echt van de bank’ is.’

Reageren kan onderaan dit artikel. Alleen reacties voorzien van een volledige naam worden geplaatst. We doen dat niet als censuur, maar omdat we een debat willen met mensen die staan voor wat ze zeggen, en daar dus ook hun naam bij zetten. Wie zijn naam nog moet invullen, kan dat doen door rechts bovenaan op onze site op ‘Login’ te klikken.

Bekijk onze trending nieuwsvideo’s in onderstaande playlist:

window.addEventListener('message', function(e) { var iframe = document.getElementById(e.data[2]); var eventName = e.data[0]; switch(eventName) { case 'setHeight': iframe.height = e.data[1]; break; } }, false);

10 reacties

Ron de Kock

2 maanden geleden

Jaren terug had je een telefoon boek waar de meeste van ons in stonden. Met naam, adres, postcode en telefoon nummer. Later stond dit ook online bij de kpn. Ik weet niet wat er allemaal oprnbaar is geworden maar hoe drukker we ons om dit soort dingen maken hoe meer ‘hacker’ gebruik maken van onrust om niks.
R Laman

2 maanden geleden

Bij een ideale betaling betaal je via je banksite/app. Een webshop hoefft dus niet je rekeningnummer op slaan in een database. Naam, foto's van vakanties, van kinderen en puppies delen we maar al te graag op Facebook of dochters daar van. TC moet zijn zaakjes op orde hebben en hoort zorgvuldig om te gaan met onze data. Maar klim nu niet direct in de hoogste boom...
Anneke Dijk

2 maanden geleden

Hierom koop ik dus alleen via Paypal, ook omdat dat veel sneller werkt.
A.L. Brand

2 maanden geleden

Ik snap niet waarom een ticket-bemiddelaar na het verstrekken van het ticket de gegevens van de klanten moet bewaren. Dan was er veel leed bespaard gebleven.
Anneke Dijk

2 maanden geleden

Waarom moet data met betaalgegevens worden bewaard? Waarom zette die medewerker de data even ergens neer? Dit soort datafraude en zogenaamde diefstal moeten we kei keihard aanpakken. Het zou niet eens mogelijk moeten zijn. Ik wil ook niet dat Amazon mijn creditcardgegevens opslaat maar ze doen het ongevraagd.