Kamernet lekt 1,3 miljoen persoonlijke berichten van gebruikers

Ruim 1,3 miljoen persoonlijke berichten van Kamernet gebruikers zijn toegankelijk geweest voor onbevoegden. Het lek is inmiddels gedicht. De Autoriteit Persoonsgegevens is door Kamernet van het incident op de hoogte gesteld.

Het beveiligingsprobleem is ontdekt door Nelson Berg, die het probleem aantrof toen hij de website zelf gebruikte om een kamer te vinden. Op de website worden berichten via een ID gekoppeld aan gebruikers. Door verschillende autorisatieproblemen werd echter niet goed gecontroleerd of het ID dat door een gebruiker wordt aangeleverd ook daadwerkelijk aan deze gebruiker toebehoort. Dit stelde onbevoegden in staat persoonlijke berichten van gebruikers in te zien.

Om de omvang van het probleem in kaart te brengen schreef Berg een script, waarmee hij geautomatiseerd persoonlijke berichten kon downloaden. In totaal wist hij op deze manier zo’n 1,1 tot 1,3 miljoen berichten in handen te krijgen. Het lek werd door Berg op 25 januari ontdekt, waarna Kamernet op 26 februari over het probleem is geïnformeerd. Het lek is vervolgens door Kamernet dezelfde dag nog verholpen. Berg benadrukt dat Kamernet het probleem efficiënt en professioneel heeft opgelost. Na een analyse van de logbestanden meldt Kamernet dat de kwetsbaarheid alleen is uitgebuit door Berg. Er zijn dus geen aanwijzingen dat de persoonlijke berichten in handen zijn gevallen van aanvallers.