RTL stuit op veiligheidsproblemen bij bijna helft webwinkels

‘Grote lekken bij webwinkels ontdekt’, meldde RTL Nieuws gisteravond na een steekproef bij 25 webwinkels. Bij 11 van de shops bleek de veiligheid niet op orde. Een expert verkreeg onder meer toegang tot bijna honderdduizend klantgegevens van Perry Sport.

Van de 25 willekeurige webwinkels die RTL liet onderzoeken, vertoonden er vijf ‘serieuze beveiligingsproblemen’. Werkmakers.nl, dat verouderde software gebruikte, is inmiddels uit de lucht. De sites van de andere probleemgevallen Perrysport.nl, Grandcruwijnen.nl, Hethobbypakhuis.nl en Webfietsen.nl draaien zonder enige mededeling aan de klant door. De expert kon volgens RTL alle klantgegevens van deze webwinkels inzien.

Kleinere onregelmatigheden
De deskundige stuitte bij nog eens zes shops op ‘kleinere onregelmatigheden’. In enkele gevallen was er toegang tot namen, adressen en wachtwoorden. Die wachtwoorden waren weliswaar gecodeerd, maar het decoderen nam slechts minuten in beslag volgens RTL. Het nieuwsitem van gisteravond vindt u hier.

Perry Sport: 'Geen rekening- of creditcardnummers'
Perry Sport heeft RTL inmiddels laten weten ‘dankbaar’ te zijn voor de verstrekte informatie en graag verdere informatie te ontvangen om het lek te dichten. De sportartikelenverkoper schrijft in een reactie: ‘Uit uw berichten en onze bevindingen tot op dit moment blijkt dat het in onderliggend geval om NAW-gegevens gaat. Gegevens als rekeningnummers en creditcardnummers van onze klanten zijn niet inzichtelijk. Dat wil niet zeggen dat wij hierdoor lichter over deze kwestie denken of handelen.’ 

WinkelSlim: 'Gedeelde databases'
De expert van RTL constateerde dat veel webwinkels die software van WinkelSlim gebruiken, lekken vertoonden. Via een niet nader genoemde klant van het bedrijf konden de klantgegevens van ruim 25 andere webwinkels worden ingezien. De reactie van WinkelSlim: ‘Enkele winkels draaien nog op deze versie waarbij ook gedeelde databases worden gebruikt. Dit verklaart de verschillende databases welke getoond werden na de SQL-injection. In de nieuwere versies zijn alle winkels volledig zelfstandig. Los hiervan heeft u ons gewezen op een fout welke in al onze versies terug komt waardoor deze SQL-injection mogelijk is. Deze fout zal zo spoedig mogelijk worden verholpen in al onze versies waarna we verwachten weer veilige webwinkels te leveren.’

Thuiswinkel Waarborg
Leden van Thuiswinkel.org, de branchevereniging die vorig jaar ernstig in verlegenheid werd gebracht door ‘lekke leden’, kwamen relatief goed uit de test: 'Bij de meeste webwinkels met het Thuiswinkel Waarborg was niets aan de hand', aldus RTL. Perry Sport verloor het keurmerk een jaar geleden. Thuiswinkel.org maakt niet kenbaar waarom.