SIDN: bepaalde registratiegegevens waren onbedoeld geautomatiseerd te verzamelen

SIDN, beheerder van het .nl-domein, zegt dat de registratiegegevens van websites onbedoeld geautomatiseerd te verzamelen waren. Het gaat onder meer om namen en bepaalde adresgegevens van domeinnaamhouders. Alle informatie was publiekelijk beschikbaar, maar toch spreekt SIDN van een datalek.

SIDN meldt een datalek met gegevens van domeinnaamhouders.Mensen konden publieke gegevens geautomatiseerd verzamelen, terwijl dit niet de bedoeling was.Het risico op misbruik is klein, maar SIDN waarschuwt domeinnaamhouders wel voor scammails.

SIDN meldt een datalek met gegevens van domeinnaamhouders.

Mensen konden publieke gegevens geautomatiseerd verzamelen, terwijl dit niet de bedoeling was.

Het risico op misbruik is klein, maar SIDN waarschuwt domeinnaamhouders wel voor scammails.

Het datalek speelde sinds april 2024 bij de publieke RDAP-dienst. RDAP staat voor Registration Data Access Protocol en is de moderne opvolger van het Whois-protocol, legt SIDN uit. Beide systemen laten gebruikers opzoeken wie de eigenaar is van een domein, alleen kunnen gebruikers met RDAP gegevens geautomatiseerd opvragen.

SIDN staat niet toe dat gebruikers bepaalde gegevens geautomatiseerd opvragen, maar via RDAP kon dat toch. Het gaat onder meer om de naam van de houder van zakelijke .nl-domeinnamen.

Ook de adresgegevens van die zakelijke domeinnaamhouders waren via RDAP op te vragen, als ze expliciet hadden gekozen om die adresgegevens publiekelijk beschikbaar te maken. Dit is bij minder dan 1 procent van de zakelijke registraties het geval, zegt SIDN.

Het administratieve e-mailadres (admin-c) en het e-mailadres van de technische contactpersoon (tech-c) van een registratie waren ook geautomatiseerd op te vragen via RDAP.

Alle gegevens waren dus publiekelijk beschikbaar, maar via RDAP waren ze geautomatiseerd op te vragen. Overigens zegt SIDN dat het op grote schaal geautomatiseerd opvragen van .nl-domeinnamen 'niet eenvoudig' is. SIDN publiceert namelijk geen lijst van geregistreerde .nl-domeinnamen. Er zijn op dit moment dan ook geen aanwijzingen dat er misbruik is gemaakt van RDAP.

Het risico op misbruik is dus beperkt, zegt SIDN, toch vindt de organisatie 'het belangrijk om hier open over te communiceren'. SIDN ziet het voorval ook als een datalek en heeft het daarom ook gemeld bij de Autoriteit Persoonsgegevens.

SIDN zegt dat voor 'de meeste domeinnaamhouders' er nu geen actie nodig is. De organisatie adviseert domeinnaamhouders wel alert te blijven op phishingmails en andere scammails op de betrokken e-mailadressen.

Source: Tweakers.net