PAC en V.O.C. melden gelekte ledengegevens bij AllUnited

PAC Rotterdam noemt IBAN- en accountgegevens als mogelijk buitgemaakte ledengegevens, terwijl V.O.C. ook versleutelde beheerderswachtwoorden en mogelijk nog leesbare tijdelijke wachtwoorden meldt bij het AllUnited-lek.

De ledenwaarschuwing moet daarom aansluiten op de velden en accounttypen in de administratie van elke club. Een algemeen bericht van de softwareleverancier vertelt niet vanzelf welke persoonsgegevens bij elk lid of elke beheerder horen.

PAC noemt IBAN en gegevens uit ledenrecords

De melding van PAC, gedateerd woensdag 11 november, noemt namen, adressen en woonplaatsen, e-mailadressen, telefoonnummers, geboortegegevens en rekeningnummers. Voor leden met een AllUnited-account noemt de club ook inloggegevens. Verder kunnen andere velden uit het ledenrecord zijn gekopieerd, zoals lidnummer, team, functie of opmerkingen. De club schrijft dat ook gegevens van jeugdleden en hun ouders of verzorgers in de administratie kunnen staan.

PAC waarschuwt leden om betaalverzoeken en berichten die van de vereniging of AllUnited lijken te komen extra te controleren. Wie het wachtwoord van AllUnited, de ClubApp of het ledenportaal elders hergebruikt, moet dat wachtwoord daar ook vervangen. De club meldt dat AllUnited de wachtwoorden opnieuw instelt. Dat is een waarschuwing voor mogelijke accountmisleiding; PAC zegt niet dat een aanvaller een betaling heeft gedaan of een account heeft gebruikt.

V.O.C. onderscheidt versleutelde en tijdelijke wachtwoorden

De melding van V.O.C., gedateerd dinsdag 10 november, noemt vergelijkbare persoonsgegevens en ook IBAN-nummers en vrije notities. De vereniging schrijft op basis van informatie van AllUnited dat wachtwoorden van gebruikers van de administratie versleuteld waren opgeslagen. V.O.C. meldt ook dat informatie over de gebruikte versleuteling is buitgemaakt. Daarom zijn bestaande wachtwoorden ongeldig gemaakt. De club noemt versleutelde beheerderswachtwoorden en mogelijk nog leesbare tijdelijke wachtwoorden als verschillende categorieën.

In bepaalde gevallen kan een tijdelijk wachtwoord zijn geraakt dat de gebruiker nog niet had gewijzigd. Volgens V.O.C. zijn zulke leesbaar opgeslagen tijdelijke wachtwoorden verwijderd. De melding zegt niet dat reguliere wachtwoorden zijn ontsleuteld. Leden moeten bij hun volgende login via ‘wachtwoord vergeten’ een nieuw wachtwoord instellen. Gebruiken zij hetzelfde of een vergelijkbaar wachtwoord bij een andere dienst, dan adviseert V.O.C. dat ook daar te vervangen.

De club waarschuwt verder voor onverwachte berichten waarin iemand vraagt op een link te klikken, in te loggen, een wachtwoord of verificatiecode door te geven, bankgegevens te bevestigen of te betalen. V.O.C. zegt nooit via een link in een onverwacht bericht om een wachtwoord of code te vragen. Daarmee geeft de vereniging leden ook een herkenningspunt voor berichten die zich als clubcommunicatie voordoen.

Rotterdam voegt twee clubmeldingen toe

Rijnmond meldde donderdag dat PAC en V.O.C. hun leden over het incident informeren en dat bank- en inloggegevens onderdeel van de waarschuwingen zijn. De Rotterdamse meldingen voegen twee clubs toe aan de eerdere berichten van KNDB, KNBB, VV Katwijk en HBS Craeyenhout over mogelijk gekopieerde ledengegevens. Ze maken ook duidelijk waarom een algemene opsomming van velden geen volledige beschrijving per vereniging is: de meldingen verschillen in de accountgegevens en wachtwoorddetails die ze noemen.

Een vergelijkbare afhankelijkheid van gedeelde software speelde in augustus bij Metabase. Het bedrijf waarschuwde dat een uitgebuite kwetsbaarheid in zelf-gehoste versies een aanvaller beheerrechten en toegang tot gekoppelde databases kon geven. Een Metabase-zeroday legde klantgegevens bij Framework bloot, via een andere route dan het AllUnited-incident. In beide gevallen kan een fout in een softwarelaag gevolgen hebben voor gegevens die organisaties daar zelf hebben ondergebracht.

De veldlijst is geen overzicht per lid

De openbare berichten beschrijven categorieën die mogelijk zijn geraakt, maar geven geen uitsplitsing per individueel lid. PAC koppelt inloggegevens aan mensen met een AllUnited-account. V.O.C. noemt tijdelijke wachtwoorden alleen als mogelijk betrokken wanneer een gebruiker ze nog niet had gewijzigd. Geen van beide meldingen geeft aan welke specifieke leden elk veld in hun record hadden, hoeveel records zijn gekopieerd of welke individuele accounts met een tijdelijk wachtwoord werkten.

Dat onderscheid begrenst wat de meldingen bewijzen. Een lijst met IBAN, geboortegegevens en wachtwoorden betekent niet dat elk lid al die velden had opgeslagen of dat elk wachtwoord leesbaar was. Omgekeerd is “versleuteld” op zichzelf geen volledige beschrijving van de blootstelling wanneer tijdelijke wachtwoorden en gegevens over de versleuteling apart worden genoemd.

De technische reactie loopt via AllUnited, maar de inhoud van het ledenbericht komt uit de administratie van elke vereniging. De PAC- en V.O.C.-meldingen laten zien dat leveranciersinformatie pas per organisatie bruikbaar wordt wanneer gegevensvelden en accounttypen aan de eigen ledenrecords zijn gekoppeld. Voor organisaties die klant- of personeelsgegevens in software van een leverancier bewaren, bepaalt die uitsplitsing hoeveel zij betrokkenen feitelijk kunnen vertellen.