Websites omroepen lekken persoonsgegevens door gebruik oude versie CMS die kwetsbaar is voor SQL-injectie (11/11/25)

Beoordeling
Organisatie
Betrokkenen
Soort (persoons)gegevens
Type incident
Omschrijving van het incident
Respons van de organisatie
Bronnen

Beoordeling

★★★ (het datalek is opgenomen in de overzichten van BoF, Karin Spaink en / of Rejo Zenger)

Organisatie

"De websites van onder andere QMusic, 3FM, Slam FM, KRO, Omroep.nl, BNN, diverse publieke radiozenders en RTV Noord-Holland zijn lek. [...] Ook de NTR maker van onder andere het Klokhuis, Sesamstraat, het Sinterklaasjournaal, Raymann is Laat, het Groot Dictee der Nederlandse taal, enzovoort. Ook bij BNN gaat het om sites behorend bij programma's als Spuiten en Slikken, Weg met BNN, de MaDiWoDoVrijdagshow en Patrick in Uruzgan." (WebWereld, 11/11/25)

Betrokkenen

"Sommige tabellen bevatten de informatie van honderdduizenden mensen. Zo gaat het bij het Klokhuis om ruim 230.000 adressen, terwijl 3FM meer dan een half miljoen namen beheert." (WebWereld, 11/11/25)

Soort (persoons)gegevens

"Het gaat om diverse tabellen met persoonsgegevens. Vaak naam, adres, e-mail, telefoonnummer. Soms om achtergelaten reacties, soms om gegevens voor dating. Bij Q Music gaat het niet alleen om de NAW-gegevens, maar ook om het bedrijf waarvoor mensen werken en de functie. Bij sommige programma's wordt ook een foto meegeleverd." (WebWereld, 11/11/25)

Type incident

Inbreuk op de vertrouwelijkheid van de verwerkte gegevens.

Omschrijving van het incident

"Door een lek in een beheersysteem zijn 2,3 miljoen persoonsgegevens toegankelijk. Bovendien zijn met één gelekt wachtwoord 160 websites van publieke omroepen en radiostations toegankelijk. [...] Het gaat om een content management systeem (cms) ABC Manager van het bedrijf Angry Bytes, waarbij een oude versie gevoelig bleek voor SQL-injection. In de databases kwamen zowel leesbare als makkelijk te achterhalen wachtwoorden voor. Een van de beheerderswachtwoorden bleek voor alle sites te werken, waardoor het mogelijk is websites aan te passen." (WebWereld, 11/11/25)

Respons van de organisatie

"Angry Bytes, het bedrijf dat de weboplossingen voor de verscheidene omroepen biedt, reageert geschrokken. Er is direct overleg gevoerd met klanten, online redactie-omgevingen afgesloten en lekken gedicht. Ook stelt het bedrijf nog in overleg te zijn om herhaling te voorkomen. 'We zijn hier heel erg van geschrokken en kijken met onze klanten naar oplossingen om herhaling te voorkomen.'" (WebWereld, 11/11/25)

Bronnen

Eerste publicatie:
WebWereld: Publieke omroep lekt 2,3 miljoen persoonsgegevens (11/11/25)

Zie verder:
Nu.nl: Sites NPO en radiostations lekken gegevens 2,3 miljoen mensen (11/11/25)
Security.nl: Publieke omroep lekt miljoenen privégegevens via SQL Injection (11/11/25)
Tweakers.net: Miljoenen persoonsgegevens toegankelijk door lekke omroepsites (11/11/25)
WebWereld: Hoogste tijd voor een Nationaal Privacy Debat! (11/11/25)
Rejo Zenger: Websites publieke omroepen lekken gegevens (11/11/27)
BoF: Datalek - Publieke omroep lekt 2,3 miljoen gegevens (11/11/28)