Gegevens 22 EUR-reizigers gelekt via boekingen van DGI Travel

Gevoelige data van minstens 22 EUR-medewerkers zijn begin augustus uitgelekt via DGI Travel. Het onderliggende Travelport-platform waar DGI gebruik van maakt, bleek niet goed beveiligd. Daardoor kon informatie worden ingezien door een onbekende partij. Mogelijk zaten er telefoonnummers en e-mailadressen in de data.

Volgens een woordvoerder van de universiteit heeft DGI Travel laten weten dat het om 22 reizen van 22 verschillende personen in de periode juli en augustus gaat. Die personen zijn persoonlijk geïnformeerd door de universiteit. Alle medewerkers die gebruikmaken van DGI hebben een bericht ontvangen over het lek.

Of de gegevens ook opgeslagen zijn of verspreid worden is niet bekend, zeker is wel dat een onbekende partij de gegevens van minstens tienduizenden reizen heeft ingezien op 6 en 7 augustus. Travelport ontdekte het lek op 20 augustus; de universiteit werd hierover op 3 september op de hoogte gesteld door DGI.

‘Onderzoek loopt’

Het duurde dus zo’n vier weken voordat de universiteit haar medewerkers kon waarschuwen. “We vinden dat we zo snel mogelijk geïnformeerd moeten worden over een datalek, en hebben hier ook vragen over openstaan bij DGI. Verder onderzoek loopt nog. De collega’s die op 4 september, of vlak daarna zijn gaan reizen zijn proactief geïnformeerd over het lek en DGI gebruikers zijn gevraagd extra alert te zijn op verdachte mails of berichten”, schrijft de woordvoerder.

Het lek zat niet bij DGI zelf, maar bij een platform voor boekingen waar DGI gebruik van maakt. Dat platform is van het bedrijf Travelport. Bij Travelport waren op basis van een referentienummer bestaande uit slechts zes hoofdletters en cijfers tijdelijk gegevens over trips in te zien. Dit was een configuratiefout: eigenlijk zou dat alleen mogelijk zijn via een combinatie van het boekingsnummer en de achternaam van de boeker.

Speciale wensen in de data

Hoeveel reizen precies uitgelekt zijn, hebben Travelport en DGI niet bekendgemaakt. Zeker is dat het om minstens tienduizenden gevallen gaat. Een Turkse toezichthouder deelt op zijn website mee dat er 73.958 mensen zijn getroffen, gebaseerd op in Turkije aangemaakte referentienummers. Van andere landen zoals Nederland zijn de cijfers niet bekendgemaakt. EM kreeg van Travelport en DGI geen antwoord op vragen over specifieke cijfers voor Nederland.

Wel deelt Travelport op zijn website mee welke gegevens mogelijk zijn ingezien. Daarbij gaat het om de namen op de boekingen, reserveringsnummers, e-mailadressen, telefoonnummers, informatie over vluchten, hotels, autohuur en treintickets, speciale wensen voor bijvoorbeeld mensen met een beperking of dieetwensen en loyaltyprogramme-kaartnummers. Nummers van paspoorten, id-kaarten of creditcards  zijn volgens het bedrijf niet uitgelekt, omdat die op de ‘gehackte’ service niet beschikbaar waren.