Mogelijk miljoenen gebruikersgegevens gelekt bij Amerikaanse bakkerijketen

De website van Amerikaanse bakkerijketen Panera heeft maandenlang data onbeschermd opgeslagen. Zo zouden mogelijk miljoenen gebruikersgegevens zijn gelekt.

Volgens securityonderzoeker Brian Krebs lekte de website van bakkerijketen Panera gedurende minstens acht maanden gebruikersgegevens. Door een fout in de opbouw van de site, kon iemand met een beetje moeite klantennamen opzoeken, met e-mailadressen, fysieke adressen, telefoonnummers, verjaardagen en de laatste vier cijfers van kredietkaarten.

Het lek werd in augustus van vorig jaar al ontdekt door security-onderzoeker Dylan Houlihan, die het bedrijf op de fout wees. Acht maanden later was het echter nog altijd niet opgelost, schrijft Krebs. De website zou gegevens opslaan in ‘plain text’, dus zonder dat ze versleuteld werden. Het zou bovendien mogelijk zijn voor buitenstaanders om de gegevens te indexeren en doorzoeken.

Panera zelf meldt in een eerste mededeling dat het lek beperkt is. Het probleem zou minder dan 10.000 klanten hebben blootgesteld. “Panera neemt datasecurity erg serieus en heeft het probleem opgelost,” zegt John Meister, Panera’s chief information officer in de persmededeling. “Na rapporten vandaag over een mogelijk probleem met onze website, hebben we de functie uitgezet om het probleem op te lossen. Ons onderzoek is nog gaande, maar er is geen bewijs dat informatie over betaalkaarten of grote hoeveelheden data zijn aangesproken of opgehaald.”

Die mededeling lijkt echter een understatement. Het lek heeft ondertussen namelijk de aandacht getrokken van de gemeenschap beveiligingsonderzoekers, die een hele resem fouten op de website vonden. Volgens Brian Krebs geldt de oplossing waarmee Panera naar buiten kwam bijvoorbeeld niet voor grote delen van de website, en blijven “37 miljoen klantengegevens” onbeschermd.