beantwoord

Melding, fout in omgang met persoonsgegevens Mijn NS.

  • 8 oktober 2015
  • 39 reacties
  • 1247 Bekeken

  • Anonymous
  • 0 reacties
Ik wil graag melding maken van een 'lek' in jullie omgang met persoonsgegevens in Mijn NS in combinatie met webformulieren. Het was mij namelijk opgevallen dat wanneer, tijdens het invullen van het webformulier voor de Spoordeelweken, een ander e-mailadres wordt ingevuld, deze wijziging automatisch wordt doorgevoerd in Mijn NS. Maar nu blijkt dat ook te gebeuren bij andere adresgegevens. Het enige wat je op deze manier nodig hebt om zaken te wijzigen in een Mijn NS-account is de geboortedatum en de naam van een persoon. Als je op die manier de gegevens van een ander gebruikt, kun je dus eenvoudig het e-mailadres dat aan het account is gekoppeld wijzigen. Ook is het mogelijk om, met dat 'nieuwe' e-mailadres, een nieuw paswoord aan te vragen. Op die manier kun je toegang krijgen tot het gehele account van een ander. Vervolgens kun je gegevens van die persoon inzien en bijvoorbeeld abonnementen beëindigen. Dit lijkt me niet de bedoeling.
icon

Beste antwoord door Sivan NS 21 oktober 2015, 10:50

Ik heb begrepen dat onze mensen deze zaak heel serieus nemen. Onze Privacy Officer is reeds op de hoogte.
Bekijk origineel

39 reacties

Dat van een ander e-mailadres klopt inderdaad, ik kreeg na een aankoop ook gelijk een mailtje binnen dat ik een ander e-mailadres had ingevuld voor Mijn NS.

Erg vreemd ja
En als je dus even een Gmail/Hotmail/weetikveel-adresje aanmaakt en de naam en geboortedatum van een abonnementhouder weet, dan kun je dus het account van die persoon kapen met behulp van dat e-mailadres. De eigenaar ontvangt wel een waarschuwing (niet meteen overigens, in de gevallen dat ik het testte), maar als die persoon de mailbox niet voortdurend checkt, dan kan een ander van alles met dat account uitspoken.

Sowieso ontzettend vreemd dat het überhaupt mogelijk is om instellingen en gegevens te wijzigen van buiten de Mijn NS-omgeving.
Ik heb het direct aangegeven bij de juiste afdeling. Als dit echt zo is moet er snel actie worden ondernomen.
In de e-mail die jullie sturen, om de klant te wijzen op de wijziging van het mailadres, staat dat het e-mailadres waarmee ingelogd wordt niet gewijzigd wordt. Dat klopt echter niet. Want je kunt wel met het 'nieuwe' e-mailadres inloggen. Ook is het gewoon mogelijk om via het genoemde formulier een adres te wijzigen.
Ik heb het direct aangegeven bij de juiste afdeling. Als dit echt zo is moet er snel actie worden ondernomen.
En hebben jullie al geconstateerd dat dit inderdaad zo werkt. Hopelijk kunnen jullie snel actie ondernemen, persoonlijk zou ik de posters in dit topic een privé bericht sturen met uitleg wanneer het opgelost is en dit topic verwijderen.
Het is niet handig om dit soort informatie op je eigen openbare forum te plaatsen 🙂
Ik heb in elk geval niets meer gehoord van Klaas-Jan of iemand anders van NS. Dat is jammer, want ik had exact kunnen aangeven welke accounts ik allemaal heb gebruikt om te constateren dat de boel niet deugt.
Een volgende keer dat ik een soortgelijke fout aantref, stap ik dus gewoon naar de pers. Grote kans dat er dan wel snel een oplossing komt.
Volgens de gebruikelijke maatstaven van NS hebben ze nog zeker een week of tien om snel tot een oplossing te komen.
Ach ja, ik heb het ook wel meegemaakt dat ik een soortgelijke fout bij een ander bedrijf ontdekte, het vervolgens netjes meldde en ze daarna begonnen te dreigen met aangifte, schadeclaims en dergelijke. Terwijl de fout gewoon bleef bestaan.
Ik ken die situatie natuurlijk niet, maar in het algemeen is het aan te raden om dergelijke meldingen zo discreet mogelijk te doen, dus altijd (eerst) via een niet-openbaar kanaal. Een openbare melding kan mensen op verkeerde ideeën brengen. Het is voor mij onbegrijpelijk dat NS zelfs na de suggestie van Marv87 nog niet op het idee is gekomen om tenminste de instructies voor het misbruiken van deze kwetsbaarheid van het forum te verwijderen zolang er nog geen echte oplossing is. Dat is voor moderatoren een kleine moeite.

Misschien haalt een melding bij het College Bescherming Persoonsgegevens wel iets uit.
Ik ben nog steeds in afwachting van een officiële terugkoppeling. Ik deel jullie zorgen, maar vooralsnog kan ik nog niet meer melden.
Ik ben nog steeds in afwachting van een officiële terugkoppeling. Ik deel jullie zorgen, maar vooralsnog kan ik nog niet meer melden.
Ik neem aan dat jullie ook kunnen escaleren, maar zo het sowieso niet handig zijn om in ieder geval de eerste paar post waar het 'Lek' uitgelegd wordt leeg te maken. Het is namelijk niet handig om dit om een openbaar forum te posten en zeker niet handig om het daar te laten staan.
Ik heb het direct aangegeven bij de juiste afdeling. Als dit echt zo is moet er snel actie worden ondernomen.

Misschien kan je het nog een keer "aangeven" bij de "juiste" afdeling..
@marv87. In de beschrijving van de fout die ik hier heb beschreven mist een stap. Zonder die stap kun je wel gegevens wijzigen in het account van een ander (iets wat macca ook al was opgevallen), maar kun je geen account overnemen.

Twee dagen voordat ik het verhaal hier postte, heb ik gepoogd telefonisch contact op te nemen met NS, wat niet vlot lukte. Ik heb een e-mail gestuurd via Eva en een e-mail naar de adressen die ik ooit heb ontvangen van mensen van NS. Op geen enkele manier is er richting mij gereageerd op mijn berichten. Er is ook nooit om aanvullende informatie gevraagd.
@marv87.
Twee dagen voordat ik het verhaal hier postte, heb ik gepoogd telefonisch contact op te nemen met NS, wat niet vlot lukte. Ik heb een e-mail gestuurd via Eva en een e-mail naar de adressen die ik ooit heb ontvangen van mensen van NS. Op geen enkele manier is er richting mij gereageerd op mijn berichten. Er is ook nooit om aanvullende informatie gevraagd.


Dat had ik niet uit je eerste bericht gehaald, het is idd wel netjes om het eerst direct te melden. Maar een bedrijf moet daar wel voor open staan. Persoonlijk zou ik via Eva een bericht gestuurd hebben met een termijn van 2 weken om actie te ondernemen.
Iemand die, voor het bedrijf waar ik werk, na 2 dagen een lek op het forum gooit zou van mij ook een aangifte kunnen verwachten. Echter had je dan binnen 1 dag al een telefoontje van een collega van mij gehad om de details te bekijken en te overleggen wat de vervolg stappen zouden zijn.
Aangifte doen tegen iemand die een lek openbaar maakt, is belachelijk en volstrekt kansloos. Het is immers de publicist zelf die het lek in het openbare domein toegankelijk maakt en daarvoor de volledige verantwoording draagt.

Als NS contact met mij had opgenomen, had ik alle informatie die ik hierover heb volledig met hen gedeeld. Daar is blijkbaar geen behoefte aan.
Ik heb het direct aangegeven bij de juiste afdeling. Als dit echt zo is moet er snel actie worden ondernomen.

Aan welke termijn moeten we denken bij snel actie ondernemen ?
Klaas-Jan heeft dit signaal netjes en direct bij de juiste afdeling uitgezet.

Onze collega's zijn bezig geweest met dit issue, en tot een voorlopige conclusie gekomen. Wanneer de klant zich inschrijft voor een nieuwsbrief, dan wordt er in ons systeem gekeken of er al een klant bestaat met deze gegevens. Als dit het geval is, dan worden de nieuwe gegevens overgenomen en bijgewerkt. Deze informatie wordt vervolgens ook doorgestuurd naar Mijn NS zodat daar de nieuwe gegevens getoond worden.

Dit geldt in ieder geval voor het e-mailadres, dit is een bewuste keuze geweest vanuit NS. Het is echter niet zo dat de inlog voor Mijn NS ook automatisch gewijzigd wordt als de klant zich aanmeldt voor een nieuwsbrief. Hier wordt de klant ook over geïnformeerd in de e-mail die wij versturen. Als de klant in Mijn NS het e-mailadres wijzigt, dan is de wijziging wel direct van toepassing voor de inlog van het Mijn NS account.

Voor de adresgegevens zullen onze collega's extra onderzoek doen om zeker te weten dat we de goede informatie doorgeven. Hier kom ik nog op terug.
--- Reactie op het bericht van Sivan dat inmiddels alweer verwijderd is ---

Het was handig geweest als je collega's even contact met mij hadden opgenomen, want het is wel degelijk mogelijk om via het webformulier het account van een ander over te nemen.

Het is bovendien belachelijk dat het zonder problemen mogelijk is om van buiten de Mijn NS-omgeving wijzigingen in het e-mailadres, huisadres en permissies door te voeren. Terwijl daarvoor uitsluitend de naam en geboortedatum van de klant nodig zijn. Edit: Sivan gaf in haar reactie aan dat gekeken wordt of een klant al bestaat en wijzigingen vervolgens over worden genomen.

Ik stel voor dat je dit gehele topic voorlegt aan jullie Privacy Officer die volgens jullie privacybeleid de goede naleving van de privacyspelregels door NS bewaakt. Doe jij dat niet, dan doe ik het.
@Luchmacht, denk dat er iets is misgegaan. Mijn bericht staat er als het goed is nog? Ik heb dit verder niet bewerkt.

De collega die ik heb gesproken, hoort graag aanvullende feedback op het bericht dat ik heb geplaatst. Ik zal jouw reactie dan ook direct doorspelen.
@Luchmacht, denk dat er iets is misgegaan. Mijn bericht staat er als het goed is nog? Ik heb dit verder niet bewerkt.

Toen ik net keek stond jouw reactie er niet maar de reactie van Luchmacht wel.
Nu zie ik jouw reactie van 09:25 wel.
Sivan, leg je het nu voor aan jullie Privacy Officer of niet?
Ik heb begrepen dat onze mensen deze zaak heel serieus nemen. Onze Privacy Officer is reeds op de hoogte.
Maar blijkbaar niet zo serieus dat ze even bij mij informeren wat ik allemaal heb uitgespookt.
Als je wil, mag je mij een privébericht sturen met deze informatie.

Reageer