Websites onderwijsinstelling zijn kwetsbaar voor SQL-injectie (11/11/25)

Beoordeling
Organisatie
Betrokkenen
Soort (persoons)gegevens
Type incident
Omschrijving van het incident
Respons van de organisatie
Bronnen

Beoordeling

★★ (de informatie over het datalek komt uit meerdere bronnen)

Organisatie

Hogeschool InHolland.

Betrokkenen

Onduidelijk.

Soort (persoons)gegevens

Onduidelijk.

Type incident

Inbreuk op de beveiliging van de verwerkte gegevens.

Omschrijving van het incident

"Drie sites van HBO-school InHolland bleken vatbaar voor sql-injectie.De ict-dienst van de school heeft pabo-inholland.nl, mkb-inholland.nl en inhollandtv.nl inmiddels offline gehaald. Via deze laatste url bleek het mogelijk een database te benaderen waarin zeven gebruikersnamen met beheerdersrechten stonden, inclusief de wachtwoorden die niet versleuteld opgeslagen waren. Dat beweert althans GeenStijl, die een e-mail met informatie hierover kreeg. InHollandtv is de mediasite van de school, waar onder andere video's staan voor leerlingen, docenten en bedrijven. Volgens de vermeende ontdekkers van de lekken, was het mogelijk via het adminpanel na inloggen bestanden te uploaden, waarbij er geen restrictie op bestandstype zou zijn. Ook zou er de mogelijkheid hebben bestaan om via een onderdeel van pabo.inholland.nl mails te versturen uit naam van de school. Pabo-inholland.nl lijkt overigens een oude site die inmiddels vervangen is door www.leernetwerkeducatie.nl. Ook die site is echter offline, waarbij gemeld wordt dat deze op 28 november weer beschikbaar zal zijn." (Tweakers.net, 11/11/26)

Respons van de organisatie

"Volgens een woordvoerder van Inholland zijn het satellietwebsites die niet door de ict-dienst van Inholland gehost worden en zijn ze ook niet gekoppeld aan inholland.nl. 'Het is in ieder geval niet mogelijk om tentamenresultaten aan te passen.' [...] De hogeschool laat weten dat het naar aanleiding van [het bericht op GeenStijl] heeft besloten de websites tijdelijk offline te halen. 'We gaan nu bekijken wat er veranderd moet worden aan de websites', zegt de woordvoerder. 'We betreuren deze gang van zaken. Het is natuurlijk erg vervelend. Echter Inholland is, net als elke andere organisatie, verwikkeld in een constante strijd met hackers. We nemen constant preventieve maatregelen, maar niet alles is te voorkomen.'" (Nu.nl, 11/11/26)

Bronnen

Eerste publicatie:
GeenStijl: Handig - emailbommen op kosten van InHolland (11/11/25)

Zie verder:
Nu.nl: Inholland haalt websites offline (11/11/26)
Tweakers.net: InHolland haalt sites offline na hack (11/11/26)
WebWereld: InHolland overweegt stoppen externe hosting (11/11/28)