Ashley Madison: datalek maakte 36 miljoen gebruikersaccounts openbaar

Hackers publiceerden in 2015 gegevens van ongeveer 36 miljoen Ashley Madison-accounts. Toezichthouders in Canada en Australië stelden onvoldoende beveiliging vast, en de exploitant betaalde 1,6 miljoen dollar in een Amerikaanse schikking.

Wat er gebeurde

In juli 2015 maakte een groep die zichzelf "The Impact Team" noemde bekend dat zij Avid Life Media, het bedrijf achter Ashley Madison, had gehackt. In augustus 2015 publiceerde zij gegevens van ongeveer 36 miljoen gebruikersaccounts, waaronder profielgegevens, e-mailadressen en enkele factuurgegevens. Een gezamenlijk onderzoek van de privacytoezichthouders van Canada en Australië stelde vast dat het bedrijf geen gedocumenteerd beveiligingsbeleid, geen risicobeheerproces en onvoldoende personeelstraining had. Het gebruikte ook toegang op afstand met één factor en bewaarde wachtwoorden en sleutels in platte tekst. De toezichthouders bekritiseerden het bedrijf ook omdat het gegevens onbeperkt bewaarde en gebruikers liet betalen om ze te verwijderen. In december 2016 troffen de exploitanten een schikking in zaken van de Amerikaanse Federal Trade Commission (FTC) en van deelstaten. Zij stemden in met een beveiligingsprogramma en betaalden 1,6 miljoen dollar.

Wat is gedocumenteerd

• Office of the Privacy Commissioner of Canada en de Australian Information Commissioner: beveiligingsmaatregelen onvoldoende; schendingen van de Canadese en Australische privacywetgeving; een nalevingsovereenkomst en een afdwingbare toezegging werden aanvaard (augustus 2016).
• Hetzelfde rapport: getroffen gebruikers ontvingen na het lek afpersingsmails.
• FTC: de exploitanten troffen een schikking over beschuldigingen van misleidende en oneerlijke beveiligingspraktijken, waaronder het bewaren van gegevens van gebruikers die 19 dollar hadden betaald voor een "Full Delete"; in totaal 1,6 miljoen dollar betaald (december 2016).

Wat is niet vastgesteld

• Wie achter de aanval zat.
• De volledige omvang van waartoe de aanvallers toegang hadden, omdat logbestanden waren gewist.

Wat dit voor jou betekent

1. Meld je aan voor gevoelige diensten met een apart e-mailadres dat je naam niet prijsgeeft.
2. Controleer voordat je je aanmeldt hoe een dienst je gegevens verwijdert en of verwijderen geld kost.
3. Als je na een lek een chantagemail ontvangt, betaal dan niet; doe aangifte bij de politie.