Artikel top billede

Dansk virksomhed lækker kundernes private oplysninger

Ved at udføre en simpel Google-søgning vælter det frem med personfølsomme oplysninger om virksomheden Danlands kunder, fortæller frustreret bruger.

Virksomheden Danland, der ifølge deres egen hjemmeside har Danmarks største udbud af feriecentre, sjusker med kundernes private oplysninger.

Det drejer sig om oplysninger, som virksomhedens kunder afgiver ved booking af Danlands udlejningsejendomme, og derudover drejer det sig samtidig om fakturerings-oplysninger.

Med lidt teknisk snilde eller blot en simpel Google-søgning kan enhver derfor udtrække alle virksomhedens booking-informationer, der eksisterer i den bagvedliggende database.

Det drejer sig om kundens navn, adresse, e-mail, telefonnummer, lejlighedstype, lejeperiode, lejlighedens beliggenhed, lejlighedens ejer, pris for udlejning og betalingsinformationer.

Det fortæller en af virksomhedens kunder, der opdagede problemet på grund af en bestilling.

"Jeg fik tilsendt en e-mail med en kvittering og information om, at jeg nu kunne finde mine oplysninger bag et link. Her så jeg, at jeg bare kunne klikke på linket uden at skulle identificere mig med en kode," fortæller Troels Kjems til Computerworld.

Men på trods af flere henvendelser fra Troels Kjems vil Danland tilsyneladende ikke ændre deres praksis omkring hjemmesiden.

"Ved at kende adressen på linket kan du klikke dig frem til oplysningerne, der ikke er gemt bag et login eller anden form for validering."

Google fortæller dig alt

Ved at kende adressen på linket kan du klikke dig frem til oplysningerne, der ikke er gemt bag et login eller anden form for validering.

Det betyder samtidig, at søgegiganten Google har fri adgang til oplysningerne, og flere kunder må nu sande, at deres personfølsomme oplysninger kan findes ved en simpel Google-søgning.

"Hvis du eksempelvis afgrænser din Google-søgning til kun at søge informationer fra Danlands booking-hjemmeside, kommer der mange private informationer frem," siger Troels Kjems.

Ifølge Troels Kjems indekserer Google informationerne og gør dem søgbare, hvis kunderne eksempelvis modtager sit booking-link til deres Gmail-konto, eller hvis kunden har installeret Google Toolbar i sin browser.

"Jeg kunne se, at Google havde indekseret andre kunders oplysninger, men jeg tror dog ikke, at mine egne oplysninger ligger tilgængeligt på Google endnu," fortæller Troels Kjems.

Simpelt værktøj kan trække alle oplysningerne ud

Men Troels Kjems ser ikke Googles indeksering som den største trussel, når det handler om kompromitteringen af de personfølsomme oplysninger.

"Det største problem er, at én gennemsnitlig programmør vil kunne lave et lille program, der skyder forespørgsler af sted mod hjemmesiden, og på den måde kan vedkommende trække alle informationer ud på alle, der har gennemført bookinger gennem hjemmesiden." siger Troels Kjems.

Problemet består i, at udefrakommende blot kan ændre i det link, som får webserveren til at vise de personfølsomme data.

"Du kan simpelthen bare ændre linket, og på den måde er det muligt at indhente andres fakturaer." fortæller Troels Kjems.

Troels Kjems: Danland giver kriminelle frit slag

Selvom det største problem omkring de personfølsomme oplysninger umiddelbart er, at det er muligt for udefra kommende at skaffe sig adgang til informationerne, så er det ikke kun det, som Troels Kjems bekymrer sig om.

"I mine øjne er det værste, at man kan se, hvornår jeg er på ferie. Det betyder jo, at tyveknægte kan regne ud, hvornår de kan begå indbrud i min privatbolig, hvis adresse også fremgår af fakturaen," siger Troels Kjems.

Han fremhæver samtidig, at oplysningerne, der kan indhentes via hjemmesiden, også kan afslører helt andre detaljer, som ikke burde være tilgængelige.

"Man kan også forestille sig, at fakturaerne indeholder hemmelige adresser på personer, der ønsker at skjule disse oplysninger af den ene eller anden grund."

Danland ser ingen grund til at ændre systemet

Troels Kjems kontaktede Danland omkring problematikken tirsdag den 18. juni og fik i første omgang fat i virksomhedens kundeservice.

"Kundeservice kontaktede mig igen en time derefter, hvor jeg fik en besked om, at de ville undersøge problemet, og at sagen havde virksomhedens højeste prioritet," siger Troels Kjems.

Selv om kundeservice behandlede sagen med "højeste prioritet", betyder det tilsyneladende ikke, at virksomheden vil ændre sin praksis.

"Der gik yderligere én dag, hvor der ikke skete noget. Jeg skrev til dem igen, hvor jeg blev kontaktet af deres online-salgschef, der sagde, at han ikke umiddelbart kunne se, hvad problemet egentlig var, men jeg blev dog takket for mit input."

Læs også:

Danland erkender: Følsomme kundedata er frit tilgængelige

Efter det store CSC-hack: Flere sager på vej

Så følsomme data ligger gemt i hacket politisystem




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Jobindex Media A/S
Salg af telemarketing og research for it-branchen, it-kurser og konferencer

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Datadrevet forretning 2022: Sæt data på den strategiske dagsorden

Lær hvordan du tænker automatisering, data og digitalisering ind i dagligdagen, over for kunderne og hvordan du får skabt ny forretning.

31. maj 2022 | Læs mere


Sådan gør du din forsyningskæde mere robust

Vi sætter fokus på standardværktøjer og tillægsløsninger til Microsoft Dynamics 365 FO i produktionsvirksomheder, som vil planlægge og drive en effektiv supply chain.

31. maj 2022 | Læs mere


Kom hackerne i forkøbet: Sådan gør du din cybersikkerhed kampklar

Kom hackerne i forkøbet. Eksperter deler de bedste erfaring til, hvordan du øger din cybersikkerhed.

01. juni 2022 | Læs mere






CIO
Årets CIO 2022: Nu skal Danmarks dygtigste CIO findes - er det dig? Eller kender du en, du vil indstille?