ticketscript zet kanttekeningen bij verhaal over lek in database

Verschillende media meldden vanmorgen dat de database van ticketscript lek zou zijn en dat de data van 250.000 klanten op straat zouden liggen. ticketscript laat echter weten dat het weliswaar gaat om hun data, maar dat deze zijn te vinden op het platform van een toeleverancier. Dit platform wordt gebruikt voor de configuratie van scanapparatuur voor bepaalde evenementen. 

De privégegevens van meer dan 250.000 ticketscript-klanten zouden volgens een onderzoek van het televisieprogramma Opgelicht slecht beveiligd zijn. Security-expert Sijmen Ruwhof ontdekte dat de database werd beveiligd door een standaard admin-wachtwoord. 

In de database zouden de volledige namen, e-mailadressen en telefoonnummers van ticketscript-klanten te vinden zijn die een kaartje voor evenementen als Amsterdam Dance Event (ADE), de Dutch Design Week en concerten van Martin Garrix hadden gekocht. Het systeem was via http toegankelijk en met het standaard account konden wachtwoorden en andere accounts gewijzigd worden. 

In een statement laat Ticketscript weten dat het op basis van de informatie die zij hebben ontvangen van de melder en verder intern onderzoek, heeft kunnen vaststellen dat de data op dit platform niet ongeautoriseerd is benaderd. “De data die op dit platform aanwezig is, bestaat uit een beperkte hoeveelheid namen, e-mailadressen en in sommige gevallen telefoonnummers van consumenten. De ethische hacker heeft een sample genomen van data van een evenement uit 2012. Het gaat in geen geval om gevoelige informatie zoals betaalgegevens.”

Ook meldt het ticketbedrijf dat het niet gaat over het eigen platform, maar om een platform van een toeleverancier. “De kwetsbaarheid betrof een onveilige gebruikersnaam/wachtwoord-combinatie. Na de melding hebben wij direct onze leverancier geïnformeerd en de situatie binnen een uur opgelost. Dit incident vertegenwoordigt geenszins de beveiligingsstandaarden van het ticketscript-platform. Hoewel het niet direct om onze eigen software gaat, nemen wij wel de verantwoordelijkheid in deze. Wij hanteren de gebruikelijke standaarden om de aanwezige data te beschermen.”

ticketscript benadrukt in het statement dat “in tegenstelling tot de berichten in het nieuws, de data niet ‘op straat ligt’ en niet in verkeerde handen is gevallen. De ethische hacker heeft slechts een sample genomen om een voorbeeld te stellen. Direct na de melding hebben wij alle passende maatregelen genomen. Het spijt ons zeer dat dit heeft kunnen gebeuren. Het heeft ons extra alert gemaakt en wij zullen met verhoogde aandacht en inzet werken aan een zo veilig mogelijk platform voor onze klanten.”