Arriva zegt dat er een Datalek heeft plaatsgevonden. De oorzaak is een lek in een contactformulier op de website van de vervoersorganisatie. Alle gedupeerden zijn op de hoogte gebracht van Het Datalek en de Autoriteit Persoonsgegevens is geïnformeerd over de gebeurtenissen.
Arriva heeft het datalek kenbaar gemaakt via een persbericht op zijn website.
Deze gegevens zijn gelekt
De stad- en streekvervoerder zegt dat het datalek op dinsdag 19 september aan het licht kwam. Het lek ontstond bij het contactformulier op de website. Onbevoegden hebben daardoor mogelijk persoonsgegevens ingezien van mensen die het formulier hebben gebruikt om contact op te nemen met de organisatie. Naar eigen zeggen gaat het om namen, telefoonnummers, geboortedata en e-mailadressen van 195.000 klanten.
De vervoerder zegt dat alle gedupeerden op de hoogte zijn gebracht van de gebeurtenissen. Ook mensen die het contactformulier nooit hebben ingevuld, maar zich bijvoorbeeld wel hebben ingeschreven voor een nieuwsbrief, hebben een bericht ontvangen van Arriva. De Autoriteit Persoonsgegevens is eveneens ingelicht over het datalek.
Om herhaling te voorkomen is het contactformulier offline gehaald. Daarnaast is er een onderzoek ingesteld naar de aard en omvang van het datalek. Tot slot wordt er naar eigen zeggen alles aan gedaan om ervoor te zorgen dat de beveiliging wordt hersteld.
Arriva: ‘Onbekende ethische hacker verantwoordelijk voor datalek’
Reizigers die vragen hebben over het datalek, kunnen terecht op de FAQ-pagina over deze kwestie. Daar schrijft Arriva onder meer dat de gelekte persoonsgegevens bij een ethische hacker zijn beland.
“Deze persoon heeft zich via de e-mail bij ons gemeld dat deze gegevens kon achterhalen op onze website”, aldus de stad- en streekvervoerder. Tegelijkertijd zegt de organisatie dat de identiteit van de hacker onbekend en dat het onduidelijk is wat de betreffende persoon met de buitgemaakte gegevens heeft gedaan.
Tot slot zegt Arriva dat reizigers de organisatie aansprakelijk kunnen stellen voor het datalek. “Alleen is het in de geschiedenis nog nooit voorgekomen dat vanuit een specifiek datalek iemand schade heeft ondervonden”, zo stelt de vervoersorganisatie.
Gedupeerden die willen weten wat zij kunnen doen om de impact van het lek te minimaliseren, kunnen terecht op de website van de Autoriteit Persoonsgegevens. De toezichthouder adviseert onder meer om je wachtwoord te wijzigen (zeker als je deze voor meerdere online accounts gebruikt) en alert te zijn voor phishing. Slachtoffers van identiteitsfraude kunnen terecht bij het Centraal Meldpunt Identiteitsfraude en -fouten (CMI).
Reizigers zitten met vragen
Op X, dat tot voorheen door het leven ging als Twitter, stellen reizigers vragen over de gebeurtenissen. Zo vraagt iemand zich af hoe hij geld kan terugvragen als hij vertraging oploopt nu het contactformulier offline is gehaald. Arriva antwoordt dat hij zijn verzoek in één keer kan indienen als het formulier weer beschikbaar is, of hij kan een privébericht versturen via sociale media.
Een ander klaagt dat ze het contactformulier voor het laatst in april 2017 heeft gebruikt. Ze vraagt zich af waarom Arriva haar privé-e-mailadres na al die jaren nog heeft. Een medewerker zegt dat klantgegevens ‘na de geldende termijn’ automatisch worden verwijderd. Bovendien gebruikte Arriva in 2017 een ander formulier en systeem dan nu.
