Ov-chipkaartproducent Trans Link Systems heeft de realiteitszin verloren, aldus onderzoeksjournalist Brenno de Winter in een interview met Security.nl. Vier jaar geleden begon hij met een onderzoek naar de beveiliging van de OV-chipkaart. "Er was van alles met dat project aan de hand dat niet in de haak was." In de Kamer werd toen veel geroepen over wat er technisch mogelijk was, maar iedere keer werd dat weggewuifd. "Het zou alleen om een theoretische dreiging gaan."
Vorig jaar wilde De Winter daar iets mee gaan doen. Samen met computermagazine PC Active startte hij een onderzoek. Het begon met een beschrijving van de kaart en alle aanloopproblemen. Niet veel later verscheen er ook een website met een beschrijving waarop stond hoe de kaart te kraken is. Op die website stonden ook links naar software om de kaart te kraken. "Toen was het vrij evident dat het uitlezen van de kaart onder Linux vrij eenvoudig was." De Winter ontving ook signalen dat er al met gekraakte OV-chipkaarten werd zwartgereden.
Samen met het blad verscheen er toen een artikel over het uitlezen van de kaart, dat aardig wat media-aandacht genereerde. "Toen was de kritiek dat alleen nerds dit konden doen, omdat je Linux moest gebruiken." Ondertussen werd er ook al aan Windows software gewerkt voor het kraken van de kaart. Om te demonstreren dat ook Windows-gebruikers de kaart konden kraken, begon De Winter in januari met het reizen op een gekraakte OV-chipkaart. Hij wilde hiermee aantonen dat fraude niet gedetecteerd werd. Zelfs op een geblokkeerde kaart was het mogelijk om te blijven reizen. "Daarvoor moet je de backoffice testen en dat zul je enige tijd moeten doen. Ze moeten bij Trans Link wel een eerlijke kans hebben omdat te detecteren.
Zwartrijden
Het zwartrijden met de gekraakte OV-chipkaarten zorgde voor een ware media hype, gevolgd door een spoeddebat. Daarop werd de uitrol in de regio Haaglanden stopgezet. Trans Link had echter aangifte van misbruik gedaan. Iets waar De Winter wel rekening mee had gehouden toen hij het project begon. "Het vervelende is dat je te maken hebt met een bedrijf, dat één ding kan doen: geen antwoord geven op vragen en je elke keer van het kastje naar de muur sturen. En dus zul je zo'n backoffice op een andere manier moeten testen."
Voor De Winter speelde vooral dat het hier om 3 miljard euro aan publiek geld ging. "Dan heb je een meer dan gemiddeld recht om dat te toetsen." Het dossier werd volgens de journalist steeds gekker. Overschreden budgetten, een privacyprobleem waarbij reisgegevens zeven jaar zouden worden opgeslagen. "Elke keer kwam er iets naar boven dat dit dossier mijn dossier maakte."
Het torpederen van de OV-chipkaart was nooit de inzet van De Winter geweest, toch waren er momenten dat hij dacht dat het project gestopt zou worden of dat bewindslieden hierover zouden vallen. "Het was geen doel, maar het zou wel logisch zijn." Toch ging het project door en bleven alle ministers gewoon zitten. "Daarom ging ik door met het vergaren van nieuws. Ik heb niet veel meer gedaan." Trans Link zou echter bewust de journalist hinderen. "Zij spelen het heel erg op de man. Je kunt nergens in mijn dossier vinden dat ik iets op de man heb gespeeld."
De acties van de ov-chipkaartproducent noemt De Winter tekenend. "Dit bedrijf neemt zichzelf zeer serieus, maar de rest gewoon niet. Ze nemen de burger en journalistiek niet serieus. Ze denken dat ze een soort godheid zelf zijn. Dat blijkt uit de manier waarop ze geen openheid over privacy willen geven. Wat gewoon een verplichting in de WBP is." Burgers hebben het recht om te weten wat er met de opgeslagen gegevens gebeurt, maar Trans Link zou dit niet willen zeggen. "Maar ook de journalistiek actief hinderen. Voor iets dat van publiek geld wordt betaald is dat vrij ongehoord."
Opgeven
De Winter kan zich niet voorstellen dat de affaire voor één van beide partijen zonder gevolgen blijft. "Ik denk dat ik binnen de marges van de wet heb gehandeld. Daar ben ik heilig van overtuigd. Als ik zie wat Alberto Stegeman heeft gedaan versus wat ik heb gedaan en de openheid die ik hierbij heb betracht." Het is dan ook vooral de directie van Trans Link die zich erg zorgen over het eigen aanblijven moet maken. "Ik heb iets in mijn werk gedaan, wat in mijn privésfeer wordt uitgespeeld. En dat kan niet waar wezen en ook niet zonder gevolgen blijven."
Vanwege de juridische stappen heeft De Winter er serieus over nagedacht om ermee te stoppen, zeker ten tijde van het verhoor. "Ik heb uiteindelijk besloten het niet te doen, maar het was zeker een optie geweest." Bij het onderzoek naar de OV-chipkaart en de software bouwde De Winter zijn zaak geleidelijk op. "Je kunt niet zeggen dat ik zoals andere journalisten even een snelle scoop heb proberen te scoren. Ik heb gewaarschuwd, gewaarschuwd, gewaarschuwd, maar dan komt er een moment dat je het moet laten zien."
De Winter voelde zich erg gesteund door alle reacties en het geld voor zijn advocaat dat zeer snel werd ingezameld. "Ik weet niet wat het OM nu wel en niet ziet. Ik heb niet het gevoel dat het OM de zaak aan het versnellen is, maar ze hebben het ook niet geseponeerd. Het is heel onduidelijk." Toch heeft de journalist vertrouwen in de rechtstaat en denkt niet dat hier foute dingen gaan gebeuren. Door het optreden van Trans Link Systems heeft De Winter niet alleen een soort cultstatus verworven, "geen enkele Nederlander neemt dit bedrijf met deze directie nog serieus. Hun geloofwaardigheid is nu heel minimaal geworden."
Mocht er in de toekomst een soortgelijk systeem komen dat vol kwetsbaarheden zit, zegt De Winter nog steeds op dezelfde manier te zullen handelen. "En als het nodig is en je moet de wet iets overtreden om dat hard aan te tonen en het kan niet anders, dan doe ik het weer."
Rechtszaak
Wat betreft de afwikkeling van de huidige aanklacht denkt De Winter niet dat het tot een rechtszaak zal komen. "Het is de houding van Trans Link dat dit tot een slepende affaire heeft gemaakt." De NS geeft bijvoorbeeld wel openheid over zaken als privacy. Bedrijven moeten dan ook naar eerlijke, open en transparante communicatie toe. "Daar hebben hun klanten en de burgerij recht op, zeker als je met publiek geld omgaat. Mensen betalen een enorme berg belasting en dat geeft een enorme verantwoordelijkheid."
De Winter heeft het gevoel dat bij Trans Link een groep mensen zit die deze verantwoording niet voelt. "Dat blijkt wel uit het feit dat ze denken dat ze zo goed functioneren dat ze boven de Balkenende norm horen te verdienen. Dat getuigt niet van realiteitszin. En het is de rol van een journalist om hier heel kritisch tegenover te staan."
Deze posting is gelocked. Reageren is niet meer mogelijk.
Security-engineer IAM
Krijg jij energie van technische vraagstukken op het vlak van Security en Risk? En steek je graag je handen uit de mouwen om zelf een bijdrage te leveren aan een veilige digitale omgeving waarin de data en euro’s van onze klanten worden beheerd. Dan komen we graag met jou in contact.
Senior Security Consultant
Als security consultant bij Cegeka speel je een uitermate belangrijke rol in het veilig houden van de bedrijven in Nederland en de Nederlandse maatschappij. Vandaar ook dat Cegeka dit hoog op de agenda heeft staan. Wij doen dit door, in close cooperation, onze klanten advies te geven op strategisch, tactisch en operationeel niveau.
Juridische vraag: Bij ons bedrijf is gekozen voor bring-your-own-device, waarbij mensen zelf privé een laptop mogen kopen en ...
Een digitaal paspoort, recht op betaalbaar en snel internet, 'digitale inburgering' of digitaal stemmen, het zijn slechts een ...
Wanneer je hieronder het e-mailadres van je account opgeeft wordt er een nieuwe activatielink naar je gestuurd. Deze link kun je gebruiken om een nieuw wachtwoord in te stellen.
Wanneer je het juiste e-mailadres hebt opgegeven ontvang je automatisch een nieuwe activatielink. Deze link kan je gebruiken om een nieuw wachtwoord in te stellen.
Geef je e-mailadres op en kies een alias van maximaal 30 karakters.
Je hebt je succesvol aangemeld. Voordat je je account kunt gebruiken moet deze eerst geactiveerd worden. Dit kan je zelf doen middels de activatielink die naar het opgegeven e-mailadres is verstuurd.