Ruim 1,5 miljoen gegevens van mensen die kaartjes hebben gekocht, hebben door een fout van een medewerker van Ticketcounter maandenlang per ongeluk online gestaan. Het gaat om namen, emailadressen en soms ook bankrekeningnummers van mensen die met iDeal betaalden. ,,Er zijn geen wachtwoorden, pasfoto’s of creditcardgegevens gelekt”, meldt Diergaarde Blijdorp, een van de slachtoffers, op een speciale website.
Directeur Sjoerd Bakker van Ticketcounter bevestigt het datalek. ,,Een medewerker heeft per ongeluk gegevens ergens online neergezet waar dat niet moest. Daardoor waren ze daar maandenlang (van 5 augustus 2020 tot 22 februari 2021 – red.) te vinden.” De gegevens werden daarna te koop aangeboden op het darkweb.
Ticketcounter wordt nu ook afgeperst, meldt Bakker. ,,Er is iemand die 7 bitcoins, zo’n 3 ton, van ons wil, anders dreigt hij de informatie openbaar te maken.”
Bakker is niet van plan te gaan betalen. ,,Zeker niet. Daarom treden we er nu ook mee naar buiten. We waarschuwen onze klanten dat dit is gebeurd.” Daarnaast hebben de gegevens al online gestaan, wat het dreigen met openbaar maken minder urgent maakt. ,,Die afperser blijft wel steeds appjes sturen. Hij zegt dat ‘de tijd op is’. In het Engels, dan hè. Hij appt nu weer, maar ik reageer even niet meer.” Het bedrijf heeft aangifte gedaan bij de politie. ,,We hebben al met de afdeling cybercrime in Rotterdam om de tafel gezeten.’’
Ticketcounter heeft nadat ze op het lek werden gewezen direct alles op alles gezet om het te dichten. Dat is inmiddels gebeurd. ,,Daarmee is het lek definitief opgelost en is er geen vervolgactie meer nodig”, aldus Blijdorp. De Apenheul, een van de andere getroffen bedrijven, laat weten: ,,We vinden het natuurlijk heel erg vervelend dat dit is gebeurd en bieden hiervoor mede namens onze partner Ticketcounter onze excuses aan.”
Het verschilt per attractiepark om welke tijdsperiode het gaat. Zo stelt DierenPark Amersfoort dat data zijn gelukt uit de periode tussen 23 juli 2018 en 4 augustus 2020. De Apenheul heeft het in een mail aan haar klanten over de periode van 19 juni 2017 tot 4 augustus 2020.
Ticketcounter heeft tientallen klanten. Volgens de website onder meer ook Duinrell, Kölner Zoo en De Keukenhof. Dat laatste bedrijf wilde niet direct reageren op het datalek. Ook DPG Media, uitgever van onder meer deze nieuwssite, is klant bij Ticketcounter. DPG Media verkoopt via de webshop onder meer kaartjes voor dierenparken en andere attractieparken. ,,We worden vanavond nog op de hoogte gesteld welke klantengegevens van ons mogelijk bij dit lek zijn betrokken. Daarna zullen we zo snel mogelijk de betreffende klanten op de hoogte stellen”, aldus een woordvoerder van DPG Media.
Er is melding gedaan bij de Autoriteit Persoonsgegevens. Er is geen direct gevaar, zo wordt geconcludeerd. ,,Ze kunnen er niets mee. Het is hetzelfde als wanneer je een bonnetje laat liggen bij de geldautomaat’’, vertelt Bakker. Blijdorp neemt echter het zekere voor het onzekere: ‘Wij adviseren om extra alert te zijn op zogenaamde phishing-activiteiten. Een hacker kan zich bijvoorbeeld voordoen als een medewerker van een bank en uw gegevens gebruiken om te bewijzen dat hij ‘echt van de bank’ is.’
Lees meer op ad.nl