Wie voor 5 augustus 2020 een dagkaart kocht, liep risico. © Frank de Roo

Afpersers willen 7 bitcoin (3 ton) na datalek bij attractieparken

Gegevens van bezoekers van Diergaarde Blijdorp, Apenheul, Dierenpark Amersfoort en tientallen andere attractieparken zijn onbedoeld verspreid door een datalek bij het bedrijf Ticketcounter. Dat bedrijf wordt nu ook nog eens afgeperst voor 3 ton.

Marcel Potters en Cyril Rosman 01-03-21, 14:32 Laatste update: 01-03-21, 18:33

Die afperser blijft wel steeds appjes sturen. Ik reageer nu maar even niet meer
Sjoerd Bakker

Ruim 1,5 miljoen gegevens van mensen die kaartjes hebben gekocht, hebben door een fout van een medewerker van Ticketcounter maandenlang per ongeluk online gestaan. Het gaat om namen, emailadressen en soms ook bankrekeningnummers van mensen die met iDeal betaalden. ,,Er zijn geen wachtwoorden, pasfoto’s of creditcardgegevens gelekt”, meldt Diergaarde Blijdorp, een van de slachtoffers, op een speciale website.

Directeur Sjoerd Bakker van Ticketcounter bevestigt het datalek. ,,Een medewerker heeft per ongeluk gegevens ergens online neergezet waar dat niet moest. Daardoor waren ze daar maandenlang (van 5 augustus 2020 tot 22 februari 2021 - red.) te vinden.” De gegevens werden daarna te koop aangeboden op het darkweb.

Afpersing

Ticketcounter wordt nu ook afgeperst, meldt Bakker. ,,Er is iemand die 7 bitcoins, zo’n 3 ton, van ons wil, anders dreigt hij de informatie openbaar te maken.”

Bakker is niet van plan te gaan betalen. ,,Zeker niet. Daarom treden we er nu ook mee naar buiten. We waarschuwen onze klanten dat dit is gebeurd.” Daarnaast hebben de gegevens al online gestaan, wat het dreigen met openbaar maken minder urgent maakt. ,,Die afperser blijft wel steeds appjes sturen. Hij zegt dat ‘de tijd op is'. In het Engels, dan hè. Hij appt nu weer, maar ik reageer even niet meer.” Het bedrijf heeft aangifte gedaan bij de politie. ,,We hebben al met de afdeling cybercrime in Rotterdam om de tafel gezeten.’’

Ticketcounter heeft nadat ze op het lek werden gewezen direct alles op alles gezet om het te dichten. Dat is inmiddels gebeurd. ,,Daarmee is het lek definitief opgelost en is er geen vervolgactie meer nodig”, aldus Blijdorp. De Apenheul, een van de andere getroffen bedrijven, laat weten: ,,We vinden het natuurlijk heel erg vervelend dat dit is gebeurd en bieden hiervoor mede namens onze partner Ticketcounter onze excuses aan.”

Het verschilt per attractiepark om welke tijdsperiode het gaat. Zo stelt DierenPark Amersfoort dat data zijn gelukt uit de periode tussen 23 juli 2018 en 4 augustus 2020. De Apenheul heeft het in een mail aan haar klanten over de periode van 19 juni 2017 tot 4 augustus 2020.

Wij adviseren om extra alert te zijn op zogenaamde phishing-activiteiten
Diergaarde Blijdorp

Ticketcounter heeft tientallen klanten. Volgens de website onder meer ook Duinrell, Kölner Zoo en De Keukenhof. Dat laatste bedrijf wilde niet direct reageren op het datalek. Ook DPG Media, uitgever van onder meer deze nieuwssite, is klant bij Ticketcounter. DPG Media verkoopt via de webshop onder meer kaartjes voor dierenparken en andere attractieparken. ,,We worden vanavond nog op de hoogte gesteld welke klantengegevens van ons mogelijk bij dit lek zijn betrokken. Daarna zullen we zo snel mogelijk de betreffende klanten op de hoogte stellen", aldus een woordvoerder van DPG Media.

Hacker

Er is melding gedaan bij de Autoriteit Persoonsgegevens. Er is geen direct gevaar, zo wordt geconcludeerd. ,,Ze kunnen er niets mee. Het is hetzelfde als wanneer je een bonnetje laat liggen bij de geldautomaat’’, vertelt Bakker. Blijdorp neemt echter het zekere voor het onzekere: ‘Wij adviseren om extra alert te zijn op zogenaamde phishing-activiteiten. Een hacker kan zich bijvoorbeeld voordoen als een medewerker van een bank en uw gegevens gebruiken om te bewijzen dat hij ‘echt van de bank’ is.’

Reageren kan onderaan dit artikel. Alleen reacties voorzien van een volledige naam worden geplaatst. We doen dat niet als censuur, maar omdat we een debat willen met mensen die staan voor wat ze zeggen, en daar dus ook hun naam bij zetten. Wie zijn naam nog moet invullen, kan dat doen door rechts bovenaan op onze site op ‘Login’ te klikken.

Bekijk onze trending nieuwsvideo’s in onderstaande playlist:

window.addEventListener('message', function(e) { var iframe = document.getElementById(e.data[2]); var eventName = e.data[0]; switch(eventName) { case 'setHeight': iframe.height = e.data[1]; break; } }, false);

8 reacties

Ron de Kock

8 maanden geleden

Jaren terug had je een telefoon boek waar de meeste van ons in stonden. Met naam, adres, postcode en telefoon nummer. Later stond dit ook online bij de kpn. Ik weet niet wat er allemaal oprnbaar is geworden maar hoe drukker we ons om dit soort dingen maken hoe meer ‘hacker’ gebruik maken van onrust om niks.
R Laman

8 maanden geleden

Bij een ideale betaling betaal je via je banksite/app. Een webshop hoefft dus niet je rekeningnummer op slaan in een database. Naam, foto's van vakanties, van kinderen en puppies delen we maar al te graag op Facebook of dochters daar van. TC moet zijn zaakjes op orde hebben en hoort zorgvuldig om te gaan met onze data. Maar klim nu niet direct in de hoogste boom...
A.L. Brand

8 maanden geleden

Ik snap niet waarom een ticket-bemiddelaar na het verstrekken van het ticket de gegevens van de klanten moet bewaren. Dan was er veel leed bespaard gebleven.
jan erwich

8 maanden geleden

Dit is wel een zeer lauwe reactie van de parken. Het gaat om een periode van 3 jaar volgens De Apenheul. Waar zijn de protocollen van Ticketcounter en de controle hierop? Zo te lezen doen de parken zaken met een bedrijf dat niet is gecertificeerd of deze niet naleeft. Kan je vraagtekens zetten bij de parken over de manier van zaken doen, betreft tenslotte wel gegevens van hun klanten waar zeer slordig mee wordt omgegaan.
De Barbaar

8 maanden geleden

Zouden ze die meneer Sjoerd Bakker niet een enorme swiep moeten geven en hem vandaag nog op no actief stellen? In elk geval nooit meer zaken doen met dit bedrijf. De domoor claimt dat niemand iets met de data kan doen. Interessant, bankrekening, naam, adres, email. De webcrawler zoekt de rest van de gegevens wel bij. Ik wil meneer Bakker graag laten zien dat ik er wel wat mee kan. Ik steel een ton met zijn gegevens, meneer bakker verdubbeld dat en hij geeft het geld terug aan de gedupeerden.