T-mobile-klanten mailen privédata naar verkeerde 'klanteservice'
Klanten van telecomprovider T-Mobile die de klantenservice wilden bereiken hebben persoonlijke en gevoelige gegevens naar een andere klant gestuurd omdat ze het e-mailadres "klanteservice@" gebruikten. Dit adres was jaren geleden door beveiligingsonderzoeker Sander Lentink geregistreerd.
Lentink had al die tijd niet meer naar het account gekeken, maar besloot dat onlangs te doen. De mailbox bleek inmiddels 137 megabyte groot te zijn. "Dit kwam omdat veel e-mails die verstuurd werden documenten bevatten, zoals ingescande identiteitsbewijzen, bankgegevens, huur/koop-contracten en andere gevoelige informatie", zo laat de onderzoeker aan Security.NL weten. Zelf ontving de onderzoeker meer dan 200 e-mails op het adres klanteservice@vodafonethuis.nl, dat later overging in tmobilethuis.nl en t-mobilethuis.nl.
Volgens Lentink valt T-Mobile niets te verwijten, maar zijn het de klanten die de fout ingingen. "Deze typo is echter snel gemaakt, net zoals suport in plaats van support", zo laat de onderzoeker in een blog op zijn eigen website weten. Na de ontdekking waarschuwde hij T-Mobile, dat liet weten het e-mailadres te zullen gaan blokkeren. Tevens ontving de onderzoeker een bluetooth-speaker als bedankje voor zijn melding.
dit soort alliasses zou je eigenlijk al op de core moeten blokkeren dat aanmaken al niet mogelijk is.
Uiteraard niet.
Zoals persoonlijke gegevens...
Nee, want er is geen data gelekt.
T-Mobile is geen eigenaar van deze mailbox, en de onderzoeker heeft de data niet openbaar gemaakt.
Als iemand anders dan hijzelf zichzelf toegang had verschaft tot die mailbox DAN was er sprake van een datalek. Maar zelfs dan is het onwaarschijnlijk dat hij een melding moet doen, omdat hij een privepersoon is, en geen bedrijf (of handelde namens een bedrijf)
Dit valt gewoon onder het kopje "beter kijken de volgende keer".
Eigenlijk zouden klantenservice etc. sowieso niet bereikbaar moeten zijn per mail.
Richt een webportal in met een formulier, dan kan de eindgebruiker ook geen typfout maken, en kan het ook niet uitkomen bij klatneservice@ (typfout die ik alleen in dit bericht al twee keer gemaakt heb), klanteservice@, etc etc.
Hoe de mail dan bij Sander Lentink terecht komt is mij een raadsel, of het hele verhaal slaat nergens op of ontbreekt er nog ergens cruciale informatie?
Eigenlijk hadden ze toen dergelijke adressen moeten blokkeren voor eindgebruikers, maar blijkbaar hebben ze dat niet gedaan :)
Dat had in ieder geval dit issue voorkomen
Hoe de mail dan bij Sander Lentink terecht komt is mij een raadsel, of het hele verhaal slaat nergens op of ontbreekt er nog ergens cruciale informatie?
Niets raars. Hij heeft dat e-mail adres gewoon aangemaakt. Ik kan bij mijn provider ook gewoon een alias aanmaken als die naam nog niet bestaat.
Net even getest: klanteservice@ziggo.nl bestaat al. (:-
T-Mobile had direct alle foute variaties op "klantenservice" moeten blokkeren zodat die die te kiezen waren door klanten.
dit soort alliasses zou je eigenlijk al op de core moeten blokkeren dat aanmaken al niet mogelijk is.
Het beste is om geen domein wat gebruikt wordt voor mail van- en naar het bedrijf zelf tevens te gebruiken als domein
voor mail voor klanten. Dus klanten geeft je een ander domein, waarvan het duidelijk is dat dat niet bedoeld is voor
mails naar het bedrijf zelf.
Maar dat is ook "met de kennis va nu", de meeste internetproviders hebben daar indertijd niet aan gedacht.
op https://thuisservice.t-mobile.nl/ vind je o.a. de volgende tekst.
Momenteel ervaren we problemen met TMobsile Klantvoordeel.
TMobsile... Wat een mob.
Lachuh hoor. ;)
dit soort alliasses zou je eigenlijk al op de core moeten blokkeren dat aanmaken al niet mogelijk is.
Het beste is om geen domein wat gebruikt wordt voor mail van- en naar het bedrijf zelf tevens te gebruiken als domein
voor mail voor klanten. Dus klanten geeft je een ander domein, waarvan het duidelijk is dat dat niet bedoeld is voor
mails naar het bedrijf zelf.
Maar dat is ook "met de kennis va nu", de meeste internetproviders hebben daar indertijd niet aan gedacht.
ok, dat is ook weer waar.
De AVG gaat alleen over ondernemingen (rechtspersonen) die data kunnen lekken.
De ontvanger is wel gehouden al deze gegevens te verwijderen, ze zijn niet voor hem bedoeld.
Wat de ontvanger wel kan doen is hier een melding van maken bij de autoriteit.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?