Het datalek bij ticketverkoper Ticketcounter in 2021, waar de gegevens van 1,9 miljoen gebruikers werden gestolen, had kinderlijk eenvoudig voorkomen kunnen worden, zo stelt de directeur van het bedrijf. Ticketcounter verzorgt online kaartverkoop voor allerlei evenementen, musea, pretparken en dierentuinen. Een back-up van het bedrijf was door een fout voor iedereen op internet toegankelijk en werd in februari 2021 gedownload.

De aanvallers dreigden de gestolen gegevens openbaar te maken, tenzij het bedrijf zou betalen. Gisteren maakte de politie bekend dat in deze zaak drie verdachten zijn aangehouden, die worden verdacht van het stelen van miljoenen persoonsgegevens bij meer dan duizend bedrijven. Tegenover BNR stelt Ticketcounter-directeur Sjoerd Bakker dat het datalek door "onzorgvuldigheid" aan de kant van het bedrijf is ontstaan en het kinderlijk eenvoudig voorkomen had kunnen worden.

"Het is eigenlijk kinderlijk eenvoudig. Negentig procent van de datadiefstallen, datalekken vindt plaats doordat je toch net wat onzorgvuldig omgaat met gegevens en bij ons was het zo dat die [de back-up - red] op een plek stond die publiek beschikbaar was. Hadden we daar een wachtwoord op gezet was het nooit gebeurd of is de kans kleiner. Wees je bewust van de data. Zodra een computer is gekoppeld aan het internet is die kwetsbaar."

Ticketcounter werkt met Microsoft Azure en maakt gebruik van containers voor de opslag van gegevens. In een publiek toegankelijke container werd de back-up geplaatst die vervolgens door de aanvallers werd gedownload. "Vroeger was het zo dat bij het aanmaken van een container publieke toegang standaard aan stond. Tegenwoordig staat het standaard uit en moet je mensen expliciete toegang geven. De container is jaren geleden aangemaakt, dus met publieke toegang aan. Daar is even een back-up neergezet, en door trial en error, het lukraak gokken van bestandsnamen, hebben ze uiteindelijk dat bestand te pakken gekregen", liet Bakker weten.