Hack bij Ajax maakt stelen seizoenskaart en opheffen stadionverbod mogelijk
De hack maakt het mogelijk om privégegevens van de meer dan 300.000 geregistreerde Ajax-fans in te zien en de ruim 42.000 seizoenskaarten te stelen of onbruikbaar te maken. De seizoenskaarthouder kan niets doen tegen het stelen, want de kaart verdwijnt plotseling uit het account en kan niet meer worden gebruikt.
Ook kun je door de hack zien welke 538 Ajax-supporters een actief stadionverbod hebben. Doordat de digitale beveiliging van Ajax niet op orde is, is het mogelijk om hun privégegevens te wijzigen en zelfs stadionverboden te verwijderen.
Hier zie je hoe we de seizoenkaart van Ajax-directeur Menno Geelen konden 'stelen' via de hack:
Ajax bevestigt aan RTL Nieuws te zijn gehackt en gaat getroffen supporters op de hoogte stellen. Ook zijn er maatregelen genomen om de digitale beveiliging aan te scherpen, zegt Ajax.
Seizoenskaart directeur Geelen
RTL Nieuws nam de proef om de som en zette de seizoenskaart van Ajax-directeur Menno Geelen op naam van de auteur van dit stuk, Daniël Verlaan. Binnen een seconde was dit geregeld en hadden we een kaart die toegang geeft tot een plek op de eretribune, vak 106 om precies te zijn, voor de aankomende wedstrijd Ajax - PSV op 2 mei.
Op het ticket staat dat het toegang geeft tot de VIP-bestuursbox en The Captain's Club, een exclusieve club waar alleen genodigden toegang tot hebben. Na melding door RTL Nieuws heeft Ajax het ticket weer teruggehaald naar het account van Geelen.
Stadionverboden
Ook zijn de privégegevens van Ajax-fans met een stadionverbod in te zien. Dat is gevoelige informatie, omdat van deze mensen niet bekend is dat ze een verbod hebben. RTL Nieuws heeft bij meerdere Ajax-supporters geverifieerd dat ze een actief stadionverbod hebben. Een groot deel van de stadionverboden is afkomstig uit de vakken 125, 126, 128 en 129, ook wel bekend als de F-Side, de harde kern van Ajax.
Eén van die mensen heeft sinds vorig jaar een stadionverbod omdat hij is gepakt met cocaïne. Een ander had een handgemeen met een beveiliger. De mensen die RTL Nieuws sprak, zijn geschrokken dat hun naam open en bloot te vinden is: "Dit kan mijn carrière schaden", zegt een supporter die als gemeenteambtenaar werkt. Een ander werkt als veiligheidsmedewerker bij een grote organisatie, een derde werkt bij de politie.
"Deze informatie kan tegen je worden gebruikt", zegt Bart Schermer, hoogleraar Privacy en Cybercrime bij de Universiteit Leiden. "Potentiële werkgevers zullen niet snel iemand aannemen die een stadionverbod heeft, vooral niet in specifieke functies. Het zegt toch indirect iets over een persoon." Ook wijst hij erop dat kwaadwillenden dit soort gevoelige informatie kunnen misbruiken om mensen af te persen.
Zo werkt de hack bij Ajax
Het is mogelijk om Ajax-seizoenskaarten te stelen door een lek in de app. Elke app-gebruiker heeft dezelfde digitale sleutel om zijn of haar account aan te passen. Door een verstuurd datapakketje te manipuleren kun je namens iemand anders acties uitvoeren, bijvoorbeeld het overzetten van een ticket.
De lijst met stadionverboden is te zien via een lek in de website. Ajax gebruikt verschillende softwarekoppelingen (zogeheten api's) waarin de digitale sleutel van de beheerder is te vinden. Op die manier kan een onbevoegde toegang krijgen tot allerlei gevoelige data van Ajax-fans en acties uitvoeren, bijvoorbeeld accounts aanpassen of een stadionverbod opheffen.
RTL Nieuws is door een hacker op de hoogte gesteld van de lekken.
Misbruik gevoelige gegevens
Frank Kriellaars, voorzitter van het Supporterscollectief Nederland, zegt geschrokken te zijn dat seizoenskaarten en andere gevoelige gegevens zo makkelijk door kwaadwillenden te misbruiken zijn. "Wij waarschuwen al langer voor het aan elkaar knopen van allerlei gegevens aan je seizoenskaart. Dit laat weer precies zien waarom het koppelen van bijvoorbeeld je identiteitsbewijs aan je kaart enorm gevoelig is."
Ook vindt Kriellaars het heel vervelend voor de mensen met een stadionverbod dat hun namen voor iedereen in te zien zijn. "Je hebt gewoon recht op je privacy, want veel van deze verboden vallen buiten het strafrecht. Het is te schokkend voor woorden dat deze gegevens zo makkelijk buit te maken zijn, want je wilt niet dat deze informatie in verkeerde handen komt."
Zwarte markt
Het is niet bekend of er door kwaadwillenden misbruik is gemaakt van het lek, bijvoorbeeld door stadionverboden op te heffen of seizoenskaarten te stelen. Er zou wel vraag naar zijn, zegt iemand van de F-Side tegen RTL Nieuws: "Dit kan een hacker op de zwarte markt veel geld opleveren, er zijn genoeg mensen die er veel geld voor over hebben om hun seizoenskaart weer terug te krijgen."
Volgens Ajax-watcher Lentin Goodijk van Voetbal International is er nog nooit zo'n groot lek bij Ajax of een andere eredivisieclub geweest. "Dit is echt slecht", zegt Goodijk. "Ajax is verantwoordelijk voor de veiligheid en privacy van zijn supporters, ook op digitaal gebied. Daar is iets enorm misgegaan."
Ajax doet aangifte
"Er zijn kwetsbaarheden in een aantal van onze systemen blootgelegd", zegt Ajax-directeur Menno Geelen tegen RTL Nieuws. "Het is voor onze supporters en de club heel vervelend dat dit is voorgevallen. Wij hebben direct externe expertise ingeschakeld en zijn samen een onderzoek gestart naar de oorzaak en de omvang. Daarnaast hebben we onze beveiliging verder aangescherpt en zijn de bekende lekken gedicht. Ook hebben wij melding bij de Autoriteit Persoonsgegevens en aangifte gedaan."
"Wat betreft het onrechtmatig kunnen doorzetten van kaarten en inzage in stadionverboden weten we nu dat dat niet meer mogelijk is op de manier zoals door jullie onderzoek is aangetoond. Ondanks dat de omvang van het aantal mensen dat getroffen is beperkt lijkt, hebben wij niet alleen hen, maar álle kaarthouders een e-mail gestuurd om hen te attenderen op dit voorval, excuses aan te bieden en gevraagd alert te zijn en te blijven op verdachte e-mails. Daarnaast hebben wij de KNVB en andere clubs geïnformeerd over dit voorval om het niveau van alertheid nog verder te verhogen."
"Wij kunnen ons voorstellen dat onze supporters zich nu afvragen of hun gegevens wel veilig zijn. Deze vraag begrijpen we. Het antwoord is dat honderd procent dataveiligheid helaas niet bestaat. Maar het is onze verantwoordelijkheid om deze kans op datalekken zo klein mogelijk te maken."
Weet jij meer?
RTL Nieuws komt graag in contact met mensen die bij Ajax werken of hebben gewerkt. Je kunt ons bereiken via WhatsApp op dit nummer: +31641663754. Mailen kan naar daniel.verlaan@rtl.nl of veilig en anoniem via Signal: danielverlaan.01. Je anonimiteit wordt gewaarborgd.
