Dankzij de Consumentenbond is een groot datalek ontdekt bij het Nederlands Woning Waarde Instituut (NWWI). Honderdduizenden taxatierapporten en miljoenen andere privédocumenten van Nederlandse consumenten lagen hierdoor op straat. Inmiddels is het lek gedicht.
Het NWWI valideert taxatierapporten van woningen van aangesloten taxateurs en ziet erop toe dat elke taxatie uniform en volgens duidelijk richtlijnen is opgesteld. Zo’n 4650 van de ongeveer 7000 taxateurs die zijn aangesloten bij het Nederlands Register Vastgoed Taxateurs maakt gebruik van de diensten van het NWWI.
Begin maart wist een onderzoeker van de Consumentenbond via een gat in de beveiliging toegang te krijgen tot de broncode en de logbestanden van het NWWI. Daar vond hij onder andere wachtwoorden en IP-adressen van banken en verzekeraars. En zo’n 20 miljoen verwijzingen waaruit werkende url’s te herleiden waren.
Via deze url’s kon de onderzoeker verscheidene taxatierapporten, kadastergegevens, eigendoms- en splitsingsaktes en foto’s (onder andere van gebreken aan huizen) inzien en downloaden. In enkele gevallen kon hij ook kopieën van identiteitsbewijzen inzien en downloaden.
Naast het lek in de beveiliging bleken veel pagina’s door Google geïndexeerd en dus vindbaar via de zoekmachine.
Lek gedicht
Op aandringen van de Consumentenbond heeft het NWWI het lek gedicht. Ook werkt het bedrijf niet meer met statische url’s en is de indexering in Google verwijderd. Het NWWI zegt het lek te hebben gemeld bij de Autoriteit Persoonsgegevens.
Slechte beveiliging
Het NWWI ging al eerder in de fout vanwege slechte beveiliging. In 2018 ontdekte de Consumentenbond dat het bedrijf zogenoemde raadbare url’s gebruikte, die bestonden uit een vast deel en een getal van 14 cijfers.
Kwaadwillenden konden oneindig getallen raden tot ze werkende links vonden, waarna ze de taxatierapporten en andere documenten konden bekijken. Na de waarschuwing beperkte het NWWI het aantal toegestane pogingen.
Elke werkdag het belangrijkste financiële nieuws in uw mailbox? Meld u gratis aan voor InFinance Daily.
