Lek in gemeentenwebsites maakte afspraken tussen burgers en gemeenten zichtbaar
De websites van 20 tot 25% van alle Nederlandse gemeenten heeft een beveiligingslek bevat waardoor afspraken van burgers met de gemeenten konden worden ingezien. Ook persoonlijke gegevens van burgers waren zichtbaar. Het lek zat in een webapplicatie die wordt gebruikt voor het maken van afspraken.
De kwetsbaarheid is ontdekt door beveiligingsonderzoeker Guido Vranken, die tegenover Tweakers zijn verhaal doet. Inmiddels zijn maatregelen genomen om het beveiligingsgat te dichten. Het lek zat in de webapplicatie 'Afspraken en Reserveringen’, die is ontwikkeld door JCC Software. De Informatiebeveiligingsdienst voor gemeenten (IBD) geeft tegenover Vranken aan dat deze webapplicatie door 20 tot 25% van alle Nederlandse gemeenten wordt gebruikt.
Persoonlijke gegevens inzien
Door de kwetsbaarheid konden onbevoegden toekomstige afspraken van burgers met gemeenten inzien. Hierbij waren persoonlijke gegevens van betrokken burgers zichtbaar, waaronder de naam, adres, telefoonnummer en in sommige gevallen ook het burgerservicenummer (BSN). Ook konden aanvallers gemaakte afspraken uit het systeem verwijderen. Vranken benadrukt het lek uitsluitend te hebben getest bij afspraken die hij zelf bij gemeenten heeft gemaakt. Het testen van het lek bij afspraken van derden is in strijd met de responsible disclosure richtlijnen.
Het lek is veroorzaakt door een fout in de webapplicatie 'Afspraken en Reserveringen’. Zodra een afspraak wordt aangemaakt via deze applicatie wordt deze afspraak gekoppeld aan een ‘AppointmentID’ en een e-mailadres. Burgers krijgen vervolgens een link toegestuurd waarmee zij toegang krijgen tot hun afspraak. Door een fout werd echter de AppointmentID en het e-mailadres van gebruikers in platte tekst meegestuurd. Op basis van deze informatie wist Vranken te ontdekken dat het ID van afspraken een oplopend nummer was. Hierdoor kon hij eenvoudig de ID’s van andere afspraken achterhalen, wat het mogelijk maakt afspraken van derden in te zien.
Video
In de onderstaande video demonstreert Vranken het beveiligingslek.
Meer over
Lees ook
Kaspersky’s privacy-voorspellingen voor 2021: Gedragsanalyses, dataverzameling en hardhandig optreden van de overheid tegen encryptie
Kaspersky voorspellingen op het gebied van privacy in 2021. Eén van deze uitdagingen is de grote afstand tussen de verschillende belanghebbenden: verkopers van elke omvang zullen steeds meer diverse gegevens gaan verzamelen; terwijl regeringen reageren met nieuwe regelgeving; en gebruikers beginnen privacy te zien als een waarde-propositie waarvoo1
NGI deelt concrete alternatieven voor instant messaging
Sinds de uitbraak van de COVID-19-pandemie realiseren we ons allemaal hoe belangrijk het is over de juiste communicatietools te beschikken om contact met elkaar te blijven houden. Nu we ons steeds meer bewust worden van onze privacyrechten en hier meer waarde aan hechten, letten we echter ook meer op de gebruiksvoorwaarden
Acronis waarschuwt voor kritieke privacyrisico's in 2021
Acronis, wereldwijd leider op het gebied van cyberbescherming, waarschuwt vandaag dat uit eigen onderzoek naar recente trends in cyberaanvallen en bestaande bedrijfspraktijken is gebleken dat organisaties overal ter wereld momenteel te maken hebben met een bedreiging van de privacy en beveiliging van gegevens