Lek Just-Eat treft mogelijk veertig andere bedrijven

Een beveiligingslek bij de Deense payment service provider (psp) Dibs treft mogelijk veertig Nederlandse bedrijven. Het lek kwam boven toen bleek dat studenten anderhalve maand lang voor een paar cent maaltijden bestelden op bezorgsite Justeat.nl.

Behalve Just-Eat maken nog zo’n veertig andere Nederlandse bedrijven gebruik van de diensten van Dibs. Die bedrijven worden allemaal op de hoogte gesteld van de risico’s, aldus Jisper Lohmann van de psp tegen Tweakers.net: ‘Ook proberen we het lek zo snel mogelijk overal te dichten.’

Html-code
Tweakers.net zocht uit hoe het kon gebeuren dat studenten in onder meer Utrecht en Groningen maaltijden lieten bezorgen voor slechts een paar eurocent. De site schrijft: ‘Het aanpassen van de html-code bleek genoeg om goedkoop pizza of shoarma te bestellen. Het lek zat bij Just-Eat op de pagina, waar de bestellingsmethode gekozen kon worden. Daar werden in verborgen input-velden de parameters voor de betaling doorgegeven, waaronder het bedrag in centen.’

‘Door dat bedrag terug te brengen tot een paar cent, konden de studenten via de betaalmethode iDeal een klein bedrag afrekenen. Paymentprovider Dibs uit Denemarken, die de betalingen voor Just-Eat afhandelt, stuurde vervolgens een seintje terug naar Just-Eat dat het hele bedrag was voldaan. Volgens Dibs werkte die methode alleen in verschillende versies van de Firefox-browsers.’

Publiciteitstunt
Door de hand in de boezem van Lohmann lijkt uitgesloten dat het lek een publiciteitsstunt is van Just-Eat, zoals weblog Hyped.nl opperde. Just-Eat heeft die suggestie naar het rijk der fabelen verwezen, maar greep de aandacht rondom de site wel aan om een e-mailing uit te sturen naar zijn klantenbestand. Daarin schrijft Just-Eat: ‘Eten bestellen doe je dus nog steeds zonder zorgen, maar helaas niet meer voor 1 cent. Het is daarom wel zo eerlijk om juist nu de kosten voor de echte Just-Eat members te verlagen.’ Een kortingscode bij de mail geeft recht op 10 procent korting bij een bestelling.