Nederlandse app Omapost meldt datalek bij Autoriteit Persoonsgegevens
De Nederlandse app Omapost heeft melding bij de Autoriteit Persoonsgegevens gedaan van een datalek nadat tienduizenden gebruikers pushmeldingen ontvingen met de namen van opa's en oma's die zij niet kennen. Er zijn geen adresgegevens bij andere mensen terecht gekomen, zo laat de stichting weten
Met Omapost is het mogelijk om van foto's op smartphone of computer een echt kaartje te laten maken en dat fysiek naar iemand te laten versturen. Gebruikers kunnen ook instellen dat ze een notificatie ontvangen wanneer iemand bijna jarig is. "Zojuist hebben er een flink aantal mensen pushmeldingen ontvangen, met de naam van iemand die je niet kent. Sorry daarvoor! We waren een test aan het draaien waarbij iets fout ging", aldus Omapost op Twitter.
Het ging om namen van drie personen die niet meer aan een gebruiker waren gekoppeld, zo zegt Omapost tegenover RTL Nieuws. Doordat de koppeling ontbrak stuurde het systeem van Omapost de notificatie naar alle gebruikers van de postdienst in plaats van één ontvanger. Omapost maakt excuses voor het datalek en laat weten dat de fout bij de Autoriteit Persoonsgegevens is gemeld.
Laatst een opmerking van een millennial die z'n facebook-account had opgezegd. Kreeg ineens geen felicitaties meer want z'n vriendjes waren daarvoor afhankelijk van de facebook-notificaties. Ik ben echt vreselijk slecht met verjaardagen maar ik zorg wel dat ik ze ergens zelf opgeslagen heb. Feliciteren doe ik dus ook zelf, bewust, en niet als Pavlovhondje op commando van facebook. Of op commando van "omapost".
We zijn geen machines of trekpoppen, en sommige dingen moet je echt gewoon zelf doen. Of zelf vergeten te doen, of "vergeten" te doen. Zolang je het maar zelf doet.
...
Feliciteren doe ik dus ook zelf, bewust, en niet als Pavlovhondje op commando van facebook. Of op commando van "omapost".
We zijn geen machines of trekpoppen, en sommige dingen moet je echt gewoon zelf doen. Of zelf vergeten te doen, of "vergeten" te doen. Zolang je het maar zelf doet.
Amen!
%%
Kennelijk heeft men daar niet beseft, of het besef genegeerd, dat dit een garantie is dat er ooit een datalek optreedt of iets anders ernstig misgaat. Je test immers dingen waarvan je per definitie nog niet zeker weet dat ze goed werken, want waarom zou je anders testen?
Dergelijke abstractielagen kunnen, behalve het leven makkelijker te maken, ook voor allerlei gedrag zorgen waar je als ontwikkelaar niet bij had stilgestaan omdat je minder zicht hebt op wat er eigenlijk gebeurt naarmate er meer abstractielagen toegepast worden. Ik heb bij "rijke" frameworks en ontwikkelhulpmiddelen meer dan eens het gevoel gekregen dat er een soort wet van behoud van ellende van toepassing is, dat de ogenschijnlijke vereenvoudiging vooral een verplaatsing van het ene soort problemen naar het andere is.
Je kan namelijk een constraint aan je tabel toevoegen dat als de laatste referentie (gekoppelde gebruiker) verdwijnt, dat dan de dataregel (naam van oma en/of opa) uit de tabel wordt gehaald. Maarja, dan moet je wel snappen dat dat kan, hoe je dat kan doen, en welke databases dat wel doen en welke niet.
Kanttekening: Dit is één van de redenen waarom mysql+afgeleiden niet "ACID compliant" zijn: De constraints worden wel gelezen, maar vervolgens gewoon genegeerd. Staat ook zo in de handleiding. Met als direct gevolg dat een hele letter van ACID het raam uit gaat. Welke? Oefening voor de lezer. Einde kanttekening.
Maargoed, dit had dus zelfs nog eerder dan dat voorkomen kunnen worden door zorgvuldig data-ontwerp en keuze van gereedschappen. Een extra regel in je tabeldefinitie had deze melding moeten doen bij de AP kunnen schelen.
Kennelijk heeft men daar niet beseft, of het besef genegeerd, dat dit een garantie is dat er ooit een datalek optreedt of iets anders ernstig misgaat. Je test immers dingen waarvan je per definitie nog niet zeker weet dat ze goed werken, want waarom zou je anders testen?
Dergelijke abstractielagen kunnen, behalve het leven makkelijker te maken, ook voor allerlei gedrag zorgen waar je als ontwikkelaar niet bij had stilgestaan omdat je minder zicht hebt op wat er eigenlijk gebeurt naarmate er meer abstractielagen toegepast worden. Ik heb bij "rijke" frameworks en ontwikkelhulpmiddelen meer dan eens het gevoel gekregen dat er een soort wet van behoud van ellende van toepassing is, dat de ogenschijnlijke vereenvoudiging vooral een verplaatsing van het ene soort problemen naar het andere is.
Ik lees nergens dat men aan het testen was?
Een test omgeving bouwen is makkelijk. Goede test scenarios bedenken niet.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
