Stadgenoot waarschuwt 15.000 huurders voor datalek bij marktonderzoeksbureau
De Amsterdamse woningcorporatie Stadgenoot waarschuwt vijftienduizend huurders voor een datalek dat zich heeft voorgedaan bij marktonderzoeksbureau USP Marketing Consultancy. Dit bedrijf voert voor klanten tevredenheidsonderzoeken uit en maakt hierbij gebruik van bepaalde software. De leverancier van deze software heeft te maken gekregen met een datalek.
"Op 24 maart kregen wij schriftelijk bericht dat er sprake was van onbevoegde toegang tot het netwerk van de softwareleverancier. Op 28 maart bevestigde deze leverancier dat er daadwerkelijk data is ontvreemd. Dit betreuren wij zeer en wij hebben onze opdrachtgevers hierover ingelicht. Wij weten nog niet wat er exact is ontvreemd", zo laat het marktonderzoeksbureau weten.
Een van de klanten van USP Marketing Consultancy is Stadgenoot. Vanwege het datalek bij het marktonderzoeksbureau kunnen ook gegevens zijn gelekt van huurders die in het verleden voor één of meer tevredenheidsonderzoeken van Stadgenoot zijn uitgenodigd. Het gaat dus ook om de gegevens van mensen die alleen zijn uitgenodigd en niet hebben deelgenomen.
De mogelijk gelekte gegevens bestaan uit namen, e-mailadressen en telefoonnummers. Zowel USP Marketing Consultancy als Stadgenoot hebben melding bij de Autoriteit Persoonsgegevens gedaan. Eerder deze week meldde ook marktonderzoeker Blauw dat het te maken heeft gekregen met een datalek dat zich bij een softwareleverancier heeft voorgedaan.
Het gaat hier om ketens van uitbesteding van verwerking, en een ketting is niet sterker dan de zwakste schakel. In dit geval is (aangenomen dat dit inderdaad hetzelfde lek is) die zwakste schakel het eindpunt van meerdere ketens, het is één plek waar heel veel verwerking bij elkaar komt. Dat is riskant, en de vraag die nu gesteld mag worden is of het wel verantwoord is om zo te werken.
Volgens de AVG blijven de verwerkingsverantwoordelijken (NS, VodafoneZiggo, Stadgenoot) verantwoordelijk voor verwerking die ze uitbesteden. Als dit inderdaad als een riskante manier van werken moet worden gezien zijn zij verantwoordelijk voor het nemen van dat risico. Het is aan hun om de organisatorische en technische maatregelen te nemen die nodig zijn om een passende beveiliging te waarborgen, en je kan redeneren dat een risicoverhogende maatregel nooit passend kan zijn.
--Anonymouse
Andere beperking is dat nog steeds onduidelijk is welke gegevens 'uitgelekt' zijn bij Nebu. Gaat het om de kantooromgeving, of echt om de SaaS diensten die zijn aanbieden? Volgens mij is dat nog onduidelijk.
Aan de andere kant zal het 'lek' nog wel groter worden. Er zijn er meer bedrijven dan Blauw Research en USP Marketing Consultancy die gebruik maken van de software van Nebu. En die zullen ook meerdere opdrachtgevers hebben, die op hun beurt weer alle betrokkenen moeten informeren.
--Anonymouse
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
