Det hollandske medlemssystem AllUnited oplyser, at en udenforstående mandag aften 9. november kopierede data fra systemets database.
Det gælder ifølge selskabet selv alle klubber og forbund, der bruger systemet.
AllUnited advarer om svindelforsøg og opfordrer berørte til at være på vagt over for beskeder om betaling eller login.
Navn, adresse, fødselsdato og kontonummer. Det er blandt de oplysninger, en udenforstående har kopieret fra AllUnited, et hollandsk system, som sportsklubber og forbund bruger til medlemsadministration.
Omfanget bygger på AllUniteds egen opdateringsside om datalækket, hvor selskabet som ansvarlig for systemet selv beskriver, hvad der er kopieret. Ifølge AllUnited gælder det data fra alle klubber og forbund, der bruger systemet. AllUnited har ikke oplyst, hvor mange personer der er berørt, eller hvor mange af dem der spiller fodbold.
Mandag aften 9. november udnyttede vedkommende en fejl i AllUniteds software. Via tilmeldingsformularen på en klubs hjemmeside fik vedkommende adgang til en af serverne og kopierede data fra databasen. AllUnited opdagede det tirsdag 10. november og rettede fejlen samme dag. Selskabet har meldt lækket til den hollandske datatilsynsmyndighed, Autoriteit Persoonsgegevens, og anmelder det til politiet.
Hvad er kopieret?
For medlemmer drejer det sig om navn, adresse, fødselsdato, telefonnummer, e-mail og IBAN samt andre felter i medlemsprofilen, herunder frie noter, som klubberne selv har skrevet. Også tidligere medlemmer, forældre, frivillige og sponsorer er med, hvis de stod i klubbens administration. Fra klubbernes administratorer er det navn, e-mail, telefonnummer og et krypteret kodeord.
Kodeordene var krypteret, men gerningsmanden har også taget oplysninger med om, hvordan krypteringen virker. AllUnited har derfor gjort alle kodeord ugyldige. Midlertidige kodeord, som medlemmer ikke havde ændret, lå i læsbar form og slettes. Intet tyder ifølge AllUnited på, at dokumenter, fotos eller fakturaer er kopieret.
Vær på vagt over for falske beskeder
Den største risiko er svindelforsøg, skriver AllUnited: beskeder, der ligner, at de kommer fra klubben eller fra AllUnited, og som beder om betaling, login eller oplysninger. Den hollandske sportsorganisation NOC*NSF skriver i sin egen advarsel, at AllUnited særligt advarer mod mails, der ser ud til at komme fra klubben og beder om at betale skyldigt kontingent.
Din forening beder aldrig via et link om dit kodeord eller en loginkode, skriver AllUnited.
Selskabet anbefaler, at medlemmer vælger et nyt kodeord, næste gang de logger ind, og ændrer det andre steder, hvis de bruger det samme. Man bør kun betale, hvis man venter en betaling, for eksempel kontingent, og ved tvivl selv kontakte klubben. Brug ikke link eller telefonnummer fra beskeden.
Med et IBAN alene kan ingen trække penge fra en konto, men svindlere kan bruge oplysningerne til at få en besked til at virke ægte, skriver AllUnited og opfordrer til at holde øje med kontoen.
Hverken AllUnited eller NOC*NSF har indtil videre peget på konkrete eksempler på misbrug af oplysningerne.
AllUnited har siden onsdag lukket for dataudveksling med fem sportsforbund, blandt andre tennisforbundet KNLTB og hockeyforbundet KNHB. Klubberne skal senest fredag 13. november anmelde lækket til datatilsynet. AllUnited tilbyder at gøre det for klubber, der giver tilladelse, og at informere medlemmerne, hvis klubben ønsker det.