Max Verstappen doelwit van hack

Toegang tot gegevens van 7000 coureurs

Het beveiligingslek zat in de Driver Categorisation-website van de FIA. Op dit platform staan de gegevens van bijna 7000 coureurs. De hackers ontdekten een kwetsbaarheid in het systeem waardoor ze binnen tien minuten toegang kregen tot persoonlijke informatie.

Simpele methode leverde adminrechten op

De aanvallers maakten een account aan als normale gebruiker. Via een fout in het systeem wisten ze vervolgens beheerdersrechten te bemachtigen. Met deze rechten konden ze gegevens inzien van elke coureur die ze wilden.

Ian Carroll publiceerde de bevindingen op zijn blog. Hij werkte samen met twee andere onderzoekers aan het blootleggen van het lek. De groep stuitte tijdens het onderzoek op de kwetsbare FIA-website.

Verstappen als voorbeeld gebruikt

De hackers gebruikten Verstappen als testcase. Ze zagen dat ze toegang hadden tot zijn paspoort, CV, rijbewijs en wachtwoordhash. Carroll schreef daarover: “We stopten met testen nadat we zagen dat het mogelijk was om deze gegevens te bekijken. Deze data kon worden ingezien voor alle Formule 1-coureurs met een categorisatie, samen met gevoelige informatie van interne FIA-operaties.”

Geen data gestolen of bewaard

De onderzoekers benadrukken dat ze geen gegevens hebben gedownload of bewaard. Ze verwijderden alle data direct na hun ontdekking. Het doel was om de zwakte in het systeem aan te tonen, niet om informatie te stelen.

De groep nam direct contact op met de FIA. Dit gebeurde op 3 juni. De autosportfederatie haalde de website dezelfde dag nog offline.

FIA reageerde snel

De FIA leverde een week na de melding details aan van een oplossing. De organisatie gaf een verklaring af. Daarin staat dat de federatie zich bewust werd van het probleem in de zomer.

“Er werden direct stappen ondernomen om de data van coureurs te beveiligen,” aldus de FIA. “De FIA heeft dit probleem gemeld bij de relevante autoriteiten voor gegevensbescherming. Dit gebeurde volgens de verplichtingen van de FIA.”

Kleine groep coureurs getroffen

De federatie heeft een kleine groep coureurs op de hoogte gebracht van het incident. Andere digitale platformen van de FIA zijn niet geraakt door de hack.

De FIA benadrukt dat het uitgebreid heeft geïnvesteerd in cybersecurity. De organisatie stelt dat er nu beveiligingsmaatregelen van hoog niveau zijn geïmplementeerd. Bij nieuwe digitale projecten hanteert de federatie naar eigen zeggen een beleid waarbij beveiliging vanaf het begin wordt meegenomen in het ontwerp.

Kritiek op eenvoud van het lek

De relatief simpele manier waarop de hackers toegang kregen, leidde tot verbazing. Voor een organisatie van de omvang van de FIA is een dergelijk beveiligingslek beschamend, zo klonk het in reacties. De zaak toont aan dat soms de meest schadelijke kwetsbaarheden de simpelste zijn.