E-mailadressen bezoekers prostitutieforum uitgelekt en te koop aangeboden

Een hacker heeft de gegevens van de leden buitgemaakt en biedt ze te koop aan, blijkt uit onderzoek van de NOS na melding van een anonieme bron.

Naast e-mailadressen gaat het onder meer om gebruikersnamen, IP-adressen en wachtwoorden. De wachtwoorden zijn beveiligd, en kunnen niet zomaar worden gekraakt, maar de e-mailadressen van gebruikers zijn wel leesbaar.

Uit de gegevens, waarvan een deel door de NOS is ingezien, blijkt dat veel forumleden een e-mailadres gebruiken waaruit hun echte naam is af te leiden.

300 dollar

De hacker vraagt 300 dollar voor de gegevens. Naar eigen zeggen maakte hij misbruik van een groot datalek in veelgebruikte forumsoftware dat vorige week bekend werd.

Hookers.nl bevestigt het datalek en belooft alle gebruikers vanochtend een melding te sturen over het uitlekken van de accountgegevens.

Het grootste gevaar voor gebruikers op de site is nu waarschijnlijk chantage. "Het lidmaatschap van zo'n forum is zeker iets waar je mee kunt worden afgeperst", zegt Arda Gerkens van stichting Help Wanted, dat slachtoffers van seksgerelateerd misbruik bijstaat.

"Sommige mensen doen niet geheimzinnig over hun prostitueebezoek, maar zeker als mensen een nickname gebruiken, blijkt dat ze anoniem willen blijven." In het bestand dat de NOS in handen heeft, blijkt inderdaad dat mensen vaak een anonieme gebruikersnaam maar een herleidbaar e-mailadres gebruiken.

Het probleem geldt niet alleen voor klanten van sekswerkers: ook prostituees en escorts zijn actief op de website. Zij willen ook niet altijd met hun echte naam als sekswerker bekend staan, bijvoorbeeld omdat hun omgeving niet op de hoogte is.

Niet blij

Die gevoeligheid beseft ook de organisatie achter de website. "Het is natuurlijk geen account van je internetprovider dat uitlekt, misschien dat je niet wil dat mensen weten dat je hier een account hebt", zegt woordvoerder Tom Löbermann van Midhold, dat achter de site zit. "We zijn hier dan ook niet blij mee."

Het zou niet voor het eerst zijn dat gebruikers worden afgeperst met lidmaatschap van een omstreden website. Vier jaar geleden belandden de persoonsgegevens van leden van de overspel-site Ashley Madison dankzij hackers op straat. Vervolgens werden gebruikers afgeperst, sneuvelden huwelijken en werd er zelfs melding gemaakt van zelfdodingen als gevolg van het datalek.

Verkocht

De hacker zegt de gegevens nog niet te hebben verkocht, maar verwacht dat dat wel zal gebeuren. "Zeker weten dat mensen het willen kopen, bro", laat hij weten.

Schuldig tegenover de getroffen forumleden voelt hij zich niet. "Het gaat maar om minder dan driehonderdduizend gebruikers", zegt hij. "Er worden tienduizenden websites per dag gehackt. Ik ben niet de duivel. Het is niet de vraag of je website wordt gehackt, maar wanneer."

Hookers.nl is niet de enige website die is getroffen door een lek in de populaire forumsoftware vBulletin. Ook het forum van computerbeveiliger Comodo werd op die manier gekraakt.

Hoe is de NOS te werk gegaan?

De NOS heeft eerst zelf geverifieerd of de claims over het datalek klopten, voordat Hookers.nl het lek bevestigde. We hebben contact opgenomen met de verkoper van de database, onszelf voorgedaan als geïnteresseerde koper en gevraagd om een sneak preview. Die kregen we: de verkoper stuurde ons de gegevens van duizend leden. We hebben de verkoper niet betaald. We hebben vervolgens geverifieerd of het daadwerkelijk om gebruikers van Hookers.nl ging. Daarbij hebben we onder meer de 'wachtwoord vergeten-functie' van Hookers.nl gebruikt. Door e-mailadressen in te vullen en op 'wachtwoord vergeten' te klikken, was te controleren of een e-mailadres voorkomt in de database. We hebben dit met vijf willekeurig gekozen e-mailadressen gedaan. Hoewel een gebruiker hierdoor een mailtje in zijn inbox krijgt met de melding dat iemand een poging heeft gedaan om zijn of haar wachtwoord te herstellen, vonden we dit toch een passende manier om te controleren of e-mailadressen uit de dataset daadwerkelijk op Hookers.nl voorkwamen. Het was nodig om uit te sluiten dat het om andere data ging. Ook hebben we met Google-zoekopdrachten gecontroleerd of achter individuele accounts op Hookers.nl bestaande personen zitten. Alle door ons verzamelde informatie zal na publicatie worden verwijderd.