Door een fout in de website van kredietverstrekker AutoCash was het mogelijk om de maandsalarissen, woonlasten en andere gevoelige gegevens van 20.000 Nederlandse autokopers in te zien. Slachtoffers reageren geschokt: “Hoe weet jij dit allemaal?”
AutoCash wordt door zo’n 80 autodealers in Nederland ingezet om financiering aan te bieden voor het kopen of leasen van een auto. Het is onderdeel van Volkswagen Pon Financial Services, een samenwerking tussen Volkswagen en de Nederlandse auto-importeur Pon. In het datalek komen niet alleen de privé gegevens van AutoCash klanten voor, maar ook van mensen die enkel een kredietaanvraag hebben ingediend. Volgens het bedrijf waren de gegevens van 20.000 klanten in te zien door het lek.
Het lek bevindt zich in het online portaal van AutoCash, waar autodealers klanten met een krediet kunnen toevoegen en beheren. Na het inloggen kun je door een cijfertje in de URL aan te passen de privé gegevens van andere mensen met een AutoCash krediet inzien. De tipgever heeft naar eigen zeggen het lek al maanden geleden aangekaart bij de softwareleverancier, maar met zijn melding is niets gedaan. Naast de volledige naam, het woonadres en telefoonnummer waren ook de maandelijkse krediet of leasekosten en het IBAN rekeningnummer in te zien. Bij een deel van de klanten werd ook het netto maandsalaris getoond, de hoogte van de huur of hypotheek en of ze alimentatie betalen.
Dit soort privé gegevens zijn een goudmijn voor criminelen, vertelt beveiligingsonderzoeker Sijmen Ruwhof, die het lek bij AutoCash “ernstig” vindt: “Door dit soort gegevens aan een phishing mail toe te voegen zijn mensen sneller geneigd om bijlagen te openen of op linkjes te drukken, waarna de computer met bijvoorbeeld ransomware wordt besmet”. Dat gevaar ziet ook Andre Vermeulen, woordvoerder van Fraude helpdesk. Volgens hem is het gebruiken van gestolen privé gegevens voor phishing mails “een trend die absoluut groter gaat worden”. Criminelen hebben bijvoorbeeld een gestolen klantenbestand van een Valet parking bedrijf bij Schiphol gebruikt om 3 dure auto’s te stelen door zich voor te doen als de eigenaar, vertelt hij.
Inmiddels is het lek in het portaal van AutoCash gedicht. Het datalek wordt bij de Autoriteit Persoonsgegevens gemeld, bevestigt een woordvoerder van Volkswagen Pon Financial Services. Volgens het bedrijf is er op dit moment “geen aanleiding om aan te nemen dat klantgegevens niet veilig zouden zijn geweest. De internet veiligheidsprocedures ten aanzien van het beschermen van klantgegevens worden naar aanleiding hiervan aangescherpt. We betreuren het dat buitenstaanders ons hierop heeft moeten wijzen”, aldus een woordvoerder.
Eerder deze maand lagen de gegevens van 100.000 Nederlandse leaserijders op straat na een lek bij softwarepartij CarWise ICT. Volkswagen Pon Financial Services reageerde toen in een inmiddels verwijderd bericht dat de klantgegevens “veilig zijn” en dat er “continu wordt getoetst of er kwetsbaarheden zijn”. Daar gelooft Ruwhof niets van: “Het eerste dat je bij zo’n onderzoek test is of je toegang hebt tot gegevens waar je eigenlijk geen toegang tot zou moeten hebben”. Dit soort lekken komt volgens hem ook vaak voor. “Dit is meestal een teken dat een bedrijf zijn algehele databeveiliging niet op orde heeft”.