Hack bij Ajax maakt stelen seizoenskaart en opheffen stadionverbod mogelijk

klinkt idd niet als “hack” maar als gewoon: autorisatie kapot en niemand die ooit heeft getest wat er gebeurt als je één request aanpast. Heb dit soort ellende vaker gezien bij gekoppelde systemen (app, CRM, ticketing, toegangspoortjes): iedereen wijst naar de leverancier en ondertussen ligt de verantwoordelijkheid gewoon bij de club als verwerkingsverantwoordelijke, AP kijkt daar echt niet doorheen. En ja die 538 met stadionverbod zijn óók datalek-slachtoffer, dat is juist extra gevoelig spul; in onze organisatie mag je zo’n lijst al nauwelijks mailen zonder halve DPIA en logs, laat staan dat het via een API op straat kan. Als daar een agent/boa tussen zit en het wordt misbruikt, dan heb je niet alleen “privacy”, dan heb je gewoon een veiligheidsissue erbij… en dan helpt aangifte doen vooral voor de bühne.

Dit is geen “hack” maar gewoon prutswerk: één admin-key voor iedereen en dan verbaasd doen dat je stadionverboden kunt wegklikken, dat is alsof je het stadion met één universele loper afsluit. En dat “geen aanwijzingen van misbruik” is ook zo’n dooddoener: als je 300.000 mensen + 538 verbodsgevallen op straat hebt liggen, is de schade al gedaan, AP-boete erbij en klaar. Ajax gaat nu vast weer roepen dat ze “maatregelen” nemen, ja, nádat Verlaan het in 1 seconde kon… netjes.

TechBro_020 mist het echte lek: niet “single point of failure” maar het feit dat ze één admin-sleutel in app én API laten rondzingen, dat is letterlijk een gedeeld kwantumtoestandje dat je met één meting (één gemanipuleerd pakketje) overal laat instorten. Als je identiteit, kaart en verbod in hetzelfde bewustzijnsveld van die backend hangt, dan kun je niet alleen framen met camerabeelden maar ook de hele sociale realiteit herschrijven: verbod weg, kaart omgezet, en iedereen gelooft het omdat het systeem het “gemeten” heeft.

klopt helemaal, bij ons op werk (supermarkt) hadden we ooit zo’n “alles-in-1” klantensysteem en toen er 1 account werd overgenomen lag meteen spaarsaldo, adres en alles op straat, sindsdien ben ik echt allergisch voor die koppelingen. en die verbodslijst lekken is echt extra zuur, die mensen kunnen nu gewoon gepakt worden op naam terwijl ze niks gedaan hebben.

Feit is dat het niet alleen om single point of failure gaat, het is ook gewoon basale autorisatie die ontbreekt: als elke gebruiker dezelfde beheer-sleutel kan misbruiken, dan is het hele systeem al kapot vóórdat je over koppelingen en ID’s begint. En je mist nog iets: die gelekte verbodslijst kan ook gewoon leiden tot bedreiging en afpersing, dat zie je in de praktijk terug als stressklachten en slapeloosheid bij mensen die ineens bang zijn dat werkgever of buurt dit te zien krijgt. Ajax kan straks wel extra controle bij de poort doen, maar de schade van zo’n datalek draai je niet even terug.