Gegevens van ruim honderdduizend bezoekers van technofestival DGTL uitgelekt

Privégegevens en wachtwoorden van 130.000 bezoekers van technofestival DGTL zijn uitgelekt. De inloggegevens van een database zijn door de organisaties per ongeluk online gezet. De gegevens waren hierdoor inzichtelijk voor iedereen die deze inloggegevens wist te bemachtigen.

Dit blijkt uit onderzoek van RTL Nieuws, dat een anonieme tip kreeg over het lek. Het lek is inmiddels door DGTL gedicht. Jasper Goossen, CEO van DGTL-organisator Apenkooi Events meldt alle getroffen bezoekers op de hoogte te stellen van het datalek. Ook doet de organisatie melding van het lek bij de Autoriteit Persoonsgegevens.

Namen, e-mailadressen en adresgegevens uitgelekt

In de database staan onder meer de volledige namen, e-mailadressen, geboortedatums, woonadressen en in sommige gevallen ook mobiele telefoonnummers opgeslagen. Deze gegevens zijn afkomstig van bezoekers van DGTL tussen 2015 en 2018. Na dit jaar is DGTL overgestapt op een extern ticketsysteem. De getroffen database wordt hierbij niet meer gebruikt.

Ook waren in totaal 109.390 wachtwoorden van DGTL-bezoekers toegankelijk. RTL Nieuws meldt dat deze wachtwoorden weliswaar versleuteld waren, maar hierbij een zwakke encryptie is toegepast. De wachtwoorden zijn daardoor relatief eenvoudig te ontsleutelen.

Naast gegevens van DGTL-bezoekers waren ook alle ruim 100.000 e-mailadressen van bezoekers van Pleinvrees toegankelijk. Pleinvrees is een ander evenement dat door Apenkooi Events wordt georganiseerd. Ook was het mogelijk de website van DGTL aan te passen en onder meer nieuwsberichten toe te voegen.

'Data zijn stom genoeg online blijven staan'

"Deze data zijn stom genoeg online blijven staan", zegt Goossen tegen RTL Nieuws. "De privégegevens van onze bezoekers zijn heel belangrijk voor ons en hadden niet op deze manier nog toegankelijk mogen zijn." DGTL onderzoekt nog of onbevoegden toegang hebben gehad tot de database.  

De tip die RTL Nieuws kreeg is afkomstig van een Nederlandse hacker, die het lek in afgelopen zomer meldde bij zowel DGTL als de ontwikkelaar van de site. De partijen zouden volgens de hacker echter naar elkaar hebben gewezen. Toen het lek na enkele maanden nog niet was gedicht, stapte de hacker naar de media. Goossen stelt in een reactie hierop dat hij de database toentertijd heeft laten verwijderen en melding heeft gedaan bij de Autoriteit Persoonsgegevens. Bezoekers zijn toen niet geïnformeerd, aangezien dit volgens de organisatie een 'te zwaar' middel zou zijn. De database bleek later echter niet daadwerkelijk offline te zijn gehaald; er waren nog steeds kopieën te vinden.