Forum over MS gehackt, privégegevens duizenden Nederlanders op straat

Het forum van MSweb, een website over zenuwziekte multiple sclerose, is gehackt. De volledige database van het forum, met daarin de e-mailadressen van zo'n 6000 veelal anonieme gebruikers, ligt op straat.

Dat blijkt uit onderzoek van RTL Nieuws, dat de database via een anonieme tip via Publeaks ontving. Naast e-mailadressen zijn ook IP-adressen en versleutelde wachtwoorden gelekt. Omdat de wachtwoorden zijn versleuteld, zijn ze niet zomaar te kraken en misbruiken.

Schuilnaam

Op het forum van MSweb praten mensen over MS en over de problemen die de ziekte oplevert in hun familie, werk of het dagelijks leven, maar ook over bijkomende psychische problematiek als paniekaanvallen en depressies. 

Veel gebruikers van het forum gebruiken een schuilnaam om niet onder hun eigen naam over hun problemen te praten. Ze gebruiken namen als 'mamavan3', 'poeky' of enkel hun voornaam. Uit de gelekte e-mailadressen is veelal hun echte naam te halen.

Niet geüpdatet

De hacker stelt dat MSweb zijn forumsoftware niet heeft geüpdatet, waardoor de volledige database voor iedereen te stelen was. Hij stelt dat hij MSweb heeft proberen te bereiken over de verouderde forumsoftware, maar geen gehoor krijgt. De database zou op 26 september van dit jaar zijn gestolen.

Een woordvoerder van de MS Vereniging, die verantwoordelijk is voor het forum, bevestigt de hack. "Dit is stikvervelend. We bestaan al bijna twintig jaar en dit is de eerste keer dat dit gebeurt. Maar elke keer dat zoiets gebeurt, is het al één keer te veel."

De forumsoftware is inmiddels geüpdatet en de MS Vereniging heeft een melding bij de Autoriteit Persoonsgegevens gedaan. Ook worden de gebruikers 'zo spoedig mogelijk' over de hack en hun gestolen gegevens geïnformeerd.

Hoe heeft RTL Nieuws de data gecontroleerd?

RTL Nieuws heeft van de duizenden gelekte e-mailadressen drie stuks ingevoerd bij de 'wachtwoord vergeten-functie'. Deze drie e-mailadressen werden herkend door het systeem. Een e-mailadres dat niet in het systeem staat, wordt niet herkend.

Hierdoor hebben drie gebruikers een e-mail ontvangen met daarin de vraag of zij hun wachtwoord zijn vergeten. Dit was nodig om uit te sluiten dat het om andere gelekte data gaat. 

Na publicatie zijn alle gegevens verwijderd.

Datalek

Het is onduidelijk wat er met de gestolen gegevens van het forum gebeurt. Voor zover bekend worden de data niet te koop aangeboden. De hacker heeft de volledige database wel geüpload naar Anonfile, een website waar je anoniem bestanden kunt delen. Daarvoor heb je wel een link naar het bestand nodig, net als bij de populaire deeldienst WeTransfer.

Het lek in de forumsoftware, het zogeten vBulletin, zorgde vorige week ook voor een datalek. Toen werd bekend dat 250.000 e-mailadressen van bezoekers van de prostitutiewebsite Hookers.nl worden doorverkocht op het internet. Uit de mailadressen is af te leiden wie de site actief bezoeken.