Ejere af årskort til Københavns Zoo har haft persondata knyttet til kortet dårligt beskyttet.
En softwareingeniør, Søren Louv-Jansen, har nemlig påvist, at det var relativt nemt at få adgang til årsabonnenternes persondata om navn, adresse, email, og telefon - samt mulighed for at ændre i abonnementet.
Miseren er, at Københavns Zoo ifølge Søren Louv-Jansen automatisk tildeler alle brugere deres lokale postnummer som adgangskode, uden mulighed for at ændre den.
I hvert fald indtil i går aftes:
»Da brugernavnene er fortløbende numre, er det utrolig simpelt enten manuelt eller automatisk at løbe en række brugernavne igennem og forsøge med postnumre fra københavnsområdet som adgangskode,« skriver Søren Louv-Jansen i en mail til Version2.
»Jeg skrev et lille program på et kvarters tid, og i løbet af et par minutter fandt det de første 100 medlemmers login - herefter stoppede jeg programmet,« skriver han videre til Version2.
Testede hypotese
Søren Louv-Jansen fik mistanken om den tyndbenede beskyttelse, da han var i Zoo før jul.
»Jeg kom på sporet af det, fordi jeg selv har årskort. Jeg ville ændre i mine oplysninger, og kunne ikke finde ud af at logge ind. Efter lidt graveri fandt jeg frem til, at mit postnummer var min adgangskode. Dette virkede som en utrolig dårlig adgangskode, og jeg skrev et program, der testede min hypotese om, at alle andre brugeres adgangskode også var deres postnummer. Og det var det,« skriver han til Version2.
Tager det meget alvorligt
Zoos presse- og kommunikationsansvarlige, Jacob Munkholm Hoeck, skriver i en mail til Version2, at ingen persondata har været eksponeret:
»Jeg vil gerne som det første slå en streg under, at der IKKE har været en datalækage – databasen ligger ikke ’frit tilgængeligt’, som beskrevet på Twitter.«
»Vi er ganske rigtigt blevet kontaktet af Søren Louv-Jansen, der har gjort opmærksom på en potentiel sikkerhedsbrist, og han har i den forbindelse gjort os opmærksom på sin fremgangsmåde. Han har understreget over for os, at han ikke har benyttet sig af adgangen, men blot ønsker at gøre os opmærksomme på problemet. Det tager vi selvfølgelig meget alvorligt, og vores it-afdeling er på sagen her til aften (i går, torsdag, red.),« skriver Jacob Munkholm Hoeck.
Københavns Zoo har ikke svaret på, om hvordan selskabet, jf. ovenstående svar, kan garantere at der ikke er tale om et databrud. Altså om dokumentation for, at uvedkommende ikke har haft adgang til årskortindehaveres persondata.
Rykker hurtigt
Zoo tilføjede en captcha på deres loginside i går aftes.
»De rykker hurtigt,« bemærker Søren Louv-Jansen. »Det gør jo brute force en del mere besværligt.«
Version2 har som politik ikke at omtale sikkerhedsbrister, der medfører svag beskyttelse eller læk af persondata, før der er strammet op på sikkerheden.
Dagbladet Politiken har dog her til morgen valgt at omtale sagen, og på den baggrund - sammen med at Zoo har iværksat de første tiltag til bedre beskyttelse - har vi valgt at gå ud med historien nu.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
