Onderwerp: Ticketsysteem PCextreme.nl niet waterdicht

aldus fok.nl: http://frontpage.fok.nl/nieuws/53294...-gegevens.html

Het ticketsysteem van de website PCextreme.nl is zo lek als een mandje. De website, die zowel particuliere als zakelijke webhostingdiensten aanbiedt, heeft een klantenbestand van circa 35.000 klanten, en het ticketsysteem bevat op dit moment ongeveer 13.000 tickets. Hier komen er dagelijks ongeveer 500 bij. Deze worden bewaard in één systeem, binnen het eigen ontwikkelde domeinbeheersysteem van de provider.

FOK!ker BBQSausage, die zelf klant is bij PCextreme, kwam er achter hoe hij in het ticketsysteem tickets van andere klanten kon inzien. Je kon pas in het ticketsysteem komen zodra je een klantnummer en wachtwoord hebt, maar daar is relatief makkelijk aan te komen. Je krijgt deze namelijk toegewezen op het moment dat je een (gratis) bestelling plaatst op de website en daarmee een account hebt aangemaakt.

De tickets en hun bijlagen bevatten veelal informatie met privcaygevoelige gegevens, zoals NAW-gegevens, scans van contracten en/of ID-bewijzen. Ook inloggegevens voor dedicated servers waren op deze manier vrij toegankelijk. Ook is in 99 procent van de gevallen het e-mailadres van de klant zichtbaar.

User BBQSausage zegt het volgende over zijn bevindingen: "Ik wil duidelijk maken dat veel hostingbedrijven (die meestal klein beginnen) denken dat ze alles netjes op orde hebben, en hun klanten van een veilige en betrouwbare service kunnen voorzien, terwijl het tegendeel waar is. Ook wil ik laten zien dat je als klant erg voorzichtig moet zijn met het verspreiden van gegevens online (Zelfs richting een -naar jouw weten- betrouwbaar bedrijf). In dit geval dus login-gegevens, codes, kopieën van ID-bewijzen. Het lijkt er op dat je in dit geval nog beter terug had kunnen grijpen naar de oude vertrouwde brief in envelop.”

Om te voorkomen dat er misbruik van het lek gemaakt zou worden, is besloten te wachten met het publiceren ervan om schade te voorkomen. FOK! heeft PCextreme benaderd en gevraagd om opheldering over het lek. In een reactie laat Jeroen van Brink van PCextreme weten dat de betreffende fout in de automatisering is gelokaliseerd en dat er een noodoplossing is toegepast waardoor de gegevens niet langer zichtbaar zijn. Ook laat hij nog weten dat het lek zich beperkte tot het ticketsysteem, dat strikt gescheiden zou zijn van andere onderdelen van de website.

Geen goede zaak en bovenal slordig voor een ISP, en zeker als en ik quote:

"De tickets en hun bijlagen bevatten veelal informatie met privcaygevoelige gegevens, zoals NAW-gegevens, scans van contracten en/of ID-bewijzen. Ook inloggegevens voor dedicated servers waren op deze manier vrij toegankelijk. Ook is in 99 procent van de gevallen het e-mailadres van de klant zichtbaar"

Dit lek is bij ons vanmiddag om 16:00 gemeld en daarna ook gedicht. Er zat inderdaad een bug in onze koppeling tussen onze controle paneel en ticket systeem waardoor een selecte hoeveelheid data kon worden uitgelezen.

Directe toegang tot de database (zoals SQL injection) was hier niet aan de orde, het is dus niet het geval dat alle tickets met informatie uitgelekt zijn.

De hoeveelheden die er gemeld worden in het bericht op Fok, zoals 500 tickets per dag en 13.000 tickets waar toegang tot was klopt niet.

In de Apache logs hebben we inmiddels al bekeken wat er geraadpleegd is en dit is een selecte hoeveelheid (<50) tickets geweest.

In het ticketsysteem staan geen wachtwoorden, enkel opleveringen van een dedicated server, maar dit zijn tijdelijke wachtwoorden die een klant na oplevering direct zelf kan veranderen.

Er is nooit en te nimmer toegang geweest tot onze klanten database, wachtwoorden van klanten en de NAW gegevens van onze klanten. Het betrof hier een API lek waarmee een selectie aan data kon worden geraadpleegd.

Oorspronkelijk geplaatst door Wido

Dit lek is bij ons vanmiddag om 16:00 gemeld en daarna ook gedicht. Er zat inderdaad een bug in onze koppeling tussen onze controle paneel en ticket systeem waardoor een selecte hoeveelheid data kon worden uitgelezen.

Directe toegang tot de database (zoals SQL injection) was hier niet aan de orde, het is dus niet het geval dat alle tickets met informatie uitgelekt zijn.

De hoeveelheden die er gemeld worden in het bericht op Fok, zoals 500 tickets per dag en 13.000 tickets waar toegang tot was klopt niet.

In de Apache logs hebben we inmiddels al bekeken wat er geraadpleegd is en dit is een selecte hoeveelheid (<50) tickets geweest.

In het ticketsysteem staan geen wachtwoorden, enkel opleveringen van een dedicated server, maar dit zijn tijdelijke wachtwoorden die een klant na oplevering direct zelf kan veranderen.

Er is nooit en te nimmer toegang geweest tot onze klanten database, wachtwoorden van klanten en de NAW gegevens van onze klanten. Het betrof hier een API lek waarmee een selectie aan data kon worden geraadpleegd.

Netjes opgelost, zou ik zeggen... Jammer, helaas. 't Gebeurd nou eenmaal.

Netjes dat Fok dit zo gespeeld heeft, dat gaat soms wel anders!

Oorspronkelijk geplaatst door Eflicta

Netjes opgelost, zou ik zeggen... Jammer, helaas. 't Gebeurd nou eenmaal.

Netjes dat Fok dit zo gespeeld heeft, dat gaat soms wel anders!

Wat ik er nog wil bij melden, in totaal zijn 3 tickets geraadpleegd die van klanten waren.

De overige tickets waren allemaal status notificaties van ons systeem intern waar geen NAW gegevens, klantgegevens of andere zaken in staan. Puur transactie meldingen van interne systemen.

Netjes Wido.

Toch weer jammer dat er klanten zijn die contact opnemen met de media en niet met de desbetreffende host om het probleem intern te kunnen oplossen. In dit geval heeft fok zelf de tijd gegeven om het te repareren maar eigenlijk zou de klant zelf dit moeten doen, uiteindelijk zijn het ook zijn gegevens die daarmee beschikbaar kunnen komen zover dat mogelijk is.

De 13.000 tickets lijken mij inderdaad niet in verhouding te staan met de dagelijkse 500 tickets. Ik ben benieuwd waar ze die informatie vandaan gehaald hebben.

Waar mensen werken, worden fouten gemaakt, helaas, niks aan te doen. Echter vermeld jij dat er geen toegang was tot de NAW, FOK! vermeld wat anders en heeft een screenshot van een ID?

Oorspronkelijk geplaatst door xaban

Waar mensen werken, worden fouten gemaakt, helaas, niks aan te doen. Echter vermeld jij dat er geen toegang was tot de NAW, FOK! vermeld wat anders en heeft een screenshot van een ID?

Dat klopt. Als een klant zijn login gegevens vergeten is dan kan deze ze aanvragen met een kopie van zijn ID. Er is één ticket wat te raadplegen was waar een scan van een ID-card in zat.

Het verhaal is uit proporties geblazen en de indruk wordt gewekt dat er honderden ID-cards konden worden ingezien. Dat is niet zo.

Wij weten precies welke tickets er geraadpleegd zijn en die zijn ook allemaal handmatig nagelopen.

Oorspronkelijk geplaatst door Wido

Dat klopt. Als een klant zijn login gegevens vergeten is dan kan deze ze aanvragen met een kopie van zijn ID. Er is één ticket wat te raadplegen was waar een scan van een ID-card in zat.

Het verhaal is uit proporties geblazen en de indruk wordt gewekt dat er honderden ID-cards konden worden ingezien. Dat is niet zo.

Wij weten precies welke tickets er geraadpleegd zijn en die zijn ook allemaal handmatig nagelopen.

Een verhaal heeft altijd twee kanten, en die van de media is vaak (helaas) de grootste kant...

Oorspronkelijk geplaatst door Yourwebhoster

Netjes Wido.

Toch weer jammer dat er klanten zijn die contact opnemen met de media en niet met de desbetreffende host om het probleem intern te kunnen oplossen. In dit geval heeft fok zelf de tijd gegeven om het te repareren maar eigenlijk zou de klant zelf dit moeten doen, uiteindelijk zijn het ook zijn gegevens die daarmee beschikbaar kunnen komen zover dat mogelijk is.

De 13.000 tickets lijken mij inderdaad niet in verhouding te staan met de dagelijkse 500 tickets. Ik ben benieuwd waar ze die informatie vandaan gehaald hebben.

De melding is gisteren (zondag) om 16:00 bij ons binnen gekomen. Onze support desk heeft dit (op zondag) om 17:47 gezien en gevraagd aan de betreffende klant hoe deze fout werkte.

In het originele bericht werd er aan ons alleen verteld dat er de mogelijkheid er was, maar niet hoe.

Vervolgens is dit bericht op Fok! geplaatst, maar in de tussentijd hadden wij het probleem al gevonden.

Het is allemaal in zo'n korte tijdspanne gegaan dat we amper tijd hebben gehad hier op te reageren. (In welke zin dan ook)

Het belangrijkste is dat dit opgelost is denk ik. En zoals men reeds aanhaalde : vauten maken is mensenlijk, toch?

Oorspronkelijk geplaatst door IT-worX

Het belangrijkste is dat dit opgelost is denk ik. En zoals men reeds aanhaalde : vauten maken is mensenlijk, toch?

Het is alleen zo jammer dat ze het onder de tafel proberen te schuiven.
Ook ik heb ingelogd in het systeem en ook printscreens gemaakt! en oké niet bij iedere ticket zat een legitimatiebewijs maar ben er verscheidene tegengekomen!

Wat vindt je belangrijker Nieuwegein? dat men bezig is het probleem zsm op te lossen, of dat ze eerst de mensen te woord staan.

Wat PCExtreme heeft gedaan is zeer goed, het probleem na de melding gelijk oplossen.
Meeste bedrijven blijven dat probleem weeken of zelfs nog maanden houden.

Wat jij nu hebt gedaan is misbruik maken van een lek.
Jij wist dat dat ook strafbaar was ?

Oorspronkelijk geplaatst door Nieuwegein

Het is alleen zo jammer dat ze het onder de tafel proberen te schuiven.

Want? Ik zie Wido toch gewoon toegeven dat er een fout zat in het systeem. En okay misschien had een kwaadwillende wel meer toegang kunnen hebben dan Wido nu doet vermoeden maar dat valt toch zeker niet onder het onder de tafel proberen te schuiven.

Ook ik heb ingelogd in het systeem en ook printscreens gemaakt! en oké niet bij iedere ticket zat een legitimatiebewijs maar ben er verscheidene tegengekomen!

En waarom vond je dat nodig om te doen?

Oorspronkelijk geplaatst door Nieuwegein

Het is alleen zo jammer dat ze het onder de tafel proberen te schuiven.
Ook ik heb ingelogd in het systeem en ook printscreens gemaakt! en oké niet bij iedere ticket zat een legitimatiebewijs maar ben er verscheidene tegengekomen!

En uiteraard heb je dit zoals elke burger van goede wil, direct doorgegeven naar pcextreme zelf, inclusief hoe je het gevonden hebt en wat de oorzaak kan zijn? Eventueel met de bereidwilligheid om hulp te bieden, ook al is het tegen betaling?