Wie het lidnummer en de achternaam van een NS-klant kent, kan op het klantendeel van de website van de NS eenvoudig toegang krijgen tot diens persoonlijke gegevens.
De klantgegevens van een NS-klant zijn in te zien door iedereen die het lidnummer en de achternaam van deze klant kent. Op de website is het namelijk mogelijk zich aan te melden voor een nieuw online NS-account, zonder dat wordt gecontroleerd of die al bestaat.
Kwaadwillenden hoeven alleen het lidnummer en de achternaam van een NS-klant te kennen om een nieuw NS-account aan te maken. Vervolgens kunnen ze zelf een nieuwe gebruikersnaam invoeren, een nieuw wachtwoord en een nieuw mailadres. Naar dit nieuwe mailadres wordt vervolgens een link gemaild waarop de nepklant kan klikken om zijn nieuwe account te activeren.
Het oude account blijft overigens nog steeds in gebruik, maar via deze methode kunnen ook anderen toegang krijgen tot klantgegevens. Ze kunnen vervolgens zien waar iemand woont, wat zijn telefoonnummer is en diensten aanvragen, zoals een OV-chipkaart, een nieuw abonnement of een verhuizing.
UPDATE (4-10-2007):
Volgens de site Security.nl heeft NS het probleem inmiddels verholpen.
Wie heeft er nu een zevencijferig nummer en een achternaam. Noem dat maar eenvoudig. En NS niet in staat te reageren? Zeker niet gebeld.
De achternaam en het lidnummer zijn beide vermeld op de NS- abonnementskaart. Wie zo’n kaart onder ogen krijgt, kan dus de klantgegevens van de kaarthouder inzien en wijzigen, zonder dat hij of zij daarvoor technische kennis nodig heeft. NS is wel degelijk gebeld, en gemaild, maar heeft tot op dit moment niet gereageerd.
Een klacht in de trant van : iemand die mijn telefoonummer heeft kan me zomaar bellen en thuis lastig vallen !
Dit is niet het enige probleem met NS. Als je bij NS Internationaal een ticket koopt en met je creditkaart wilt betalen gaat dat over een niet beveiligde internet(http)-verbinding. En NS reageert niet op de klacht die ik daarover heb ingediend.
Nu maar hopen dat ik mijn jaartrajectkaart niet kwijt raak… Dit kan gewoon niet! Dit moet gemeld worden bij Centraal Bureau Persoonsgegevens. Het lijkt erop dat de NS niet voldoaat aan de Wet bescherming persoonsgegevens (Wbp). Ik eis dat dit z.s.m. opgelost wordt.