Autoverhuurder Europcar lekt gegevens van tot 200.000 klanten
Eind maart doken de gegevens op op een hackersforum, via een profiel met de gebruikersnaam ‘Europcar’. De hacker claimde 37 GB aan data te hebben gestolen, bestaande uit 645.041 bestanden en 183.476 mappen. Volgens de hacker waren deze gegevens toegankelijk via de GitLab-systemen van Europcar.
GitLab is, net als GitHub, een platform waarop bedrijven hun code beheren. Europcar gebruikte het platform echter klaarblijkelijk ook voor back-ups van klantgegevens. Onder de 645.041 bestanden bevonden zich namelijk 9.000 SQL-bestanden, waarvan er enkele ook klantgegevens bevatte. Verder zegt de hacker dat er ruim 269 .ENV-bestanden zijn aangetroffen, met daarin configuratie-instellingen voor apps en andere gevoelige gegevens.
50.000 tot 200.000 klanten
Hoeveel klanten precies zijn getroffen, is vooralsnog niet duidelijk. Geschat wordt dat het gaat om minimaal 50.000 en maximaal 200.000 klanten. Van hen zijn onder meer namen en e-mailadressen gelekt. Het lek treft alleen klanten van Goldcar en Ubeeqo. Wie een auto heeft gehuurd bij Europcar zelf, hoeft zich volgens de huidige informatie geen zorgen te maken. Goldcar en Ubeeqo zijn dochterondernemingen van Green Mobility Holding, het moederbedrijf van Europcar.
Er zijn geen klantgegevens buitgemaakt zoals wachtwoorden of creditcardgegevens. Toch wordt het lek als ernstig beschouwd, omdat namen en e-mailadressen kunnen worden misbruikt voor phishingaanvallen, bijvoorbeeld uit naam van Europcar. Wel is het zo dat sommige data dateren uit 2017 of 2020, en dus mogelijk verouderd zijn.
Inbraak via GitLab
Het is nog onduidelijk hoe de hackers toegang kregen tot de GitLab-omgeving van Europcar. BleepingComputer wist inmiddels te bevestigen dat de gelekte data authentiek is en dat de hacker daadwerkelijk toegang had tot de codeomgeving van Europcar.
Dat is een relevant detail, aangezien in de afgelopen jaren meerdere hackers ten onrechte claimden gegevens van Europcar te hebben gestolen. In 2022 ontdekte een onderzoeker overigens nog wel een datalek in de Android- en iOS-apps van Europcar, waarmee biometrische gegevens van gebruikers konden worden buitgemaakt.
