Datalek bij Stern, geen gehoor

[Oeroeg]

Ik gebruik een uniek e-mailadres voor alle diensten die ik afneem, zo ook in 2016 bij autoverhuurbedrijf Stern waar ik eenmalig een auto gehuurd heb.

Nu krijg ik sinds een aantal weken phishing uit naam van ICS (de creditcard die ik ook bij het huren gebruikt heb) op dat unieke e-mailadres.

Volgens de privacyverklaring van Stern kan ik in contact komen met de functionaris gegevensbescherming via [e-mail]
Ik heb netjes een mailtje geformuleerd, waarin ik mijn bevindingen deel. Helaas krijg ik op dit e-mailadres een Undelivered mail returned to sender.

Na telefonisch contact te hebben gehad met de vraag of ik met de functionaris gegevensbescherming in contact kan worden gebracht, zijn mijn gegevens genoteerd en zou ik worden teruggebeld.

Nu een week later heb ik nog niets vernomen.

Ik zou jullie willen vragen wat ik hiermee moet.

1. Accepteren en er vanuit gaan dat mijn NAW gegevens (+ kopie rijbewijs?) ergens op straat liggen zonder dat dat mij direct verteld wordt?
2. Blijven bellen totdat ik iemand inhoudelijk te spreken krijg? (Ik heb wel wat beters te doen.)
3. Melden bij de AP? Zodat het daar op een stapel terecht komt

[Reptielenbrein]

Ik zou 2 en 3 doen.

[eLScha]

Hoe uniek was dat mailadres? Was het [e-mail], [e-mail] of [e-mail]?

[Puc van S.]

Voor je meteen gaat roepen: "datalek" hou er ook rekening mee dat spammers ook gewoon graag mail versturen naar "unieke" (maar herleidbare) mailadressen zoals @eLScha ook al meld.

Daarnaast is er ook nog de mogelijkheid dat de spammende partij het mailadres uit jouw eigen mailbox gehaald heeft en er de mogelijkheid is dat er een lek bij een van de partijen die via het verhuurbedrijf je mail gekregen hebben:

Aan wie verstrekt [...] persoonsgegevens?
[...] verstrekt je persoonsgegevens alleen aan derden als je dit van ons kunt verwachten. Voor de verstrekking van de persoonsgegevens hebben wij overeenkomsten met derden afgesloten om te zorgen dat er vertrouwelijk met je persoonsgegevens wordt omgegaan. Denk hierbij aan de fabrikant van je auto of de door haar aangestelde importeur in Nederland, aan de leasemaatschappij van je werkgever, aan met [...]-gelieerde ondernemingen, haar verkooporganisaties, bemiddelaars en/of aanbieders van verzekerings- en financieringsproducten in het kader van productinformatie, (direct)marketingactiviteiten, het doen van tevredenheids- en/of marktonderzoeken, het uitvoeren van terugroepacties, ondersteuning- en onderhoudsdoeleinden en andere (service-)diensten.

[Marc H]

Ik doe hetzelfde, unieke emailadressen gebruiken voor diensten. En helaas heb ik dit ook al meerdere keren meegemaakt.

Zo was ik o.a. slachtoffer bij een bekende hack van Dropbox en kreeg ik ook plotseling spam mailtjes op een adres wat ik gemaakt had voor een wedstrijd van fanta.

Ik weet dat er wel vaker spam verstuurd wordt namens ICS, maar dat wil niet gelijk zeggen dat ze ook die gegevens echt hebben. Het kan ook gewoon toeval zijn. Hadden ze in dat spam mailtje ook specifieke gegevens van jou gebruikt zoals je naam of kaartnummer, of slechts: "Beste ICS Card-houder," Ik gok op het laatste.

Voorbeeldje van een ICS spam:

Beste ICS Card-houder,
Uit een administratieve controle bij International Card Services is er gebleken dat de actualisatie formulier gekoppeld aan het emailadres: [e-mail] nog niet geregistreerd staat. Wij verzoeken u om deze als nog in te vullen om de blokkade van uw Card(s) & Mijn Card Online tegen te houden.
Het niet volledig invullen van het formulier heeft als ongunstigheid dat u geen gebruik meer kan maken van de diensten van International Card Services BV.
Mijn actualisatie formulier invullen
Na het volledig invullen van het formulier zal u een bevestiging per post ontvangen met betrekking tot het beletten van de blokkade van uw Card(s) & Mijn Card Online.
Mijn beveiligd formulier aanvragen via de volgende link

Als het slechts gewone spam is, blokkeer ik gewoon dat emailadres ("mijn" emailadres) en ga ik verder met mijn leven. Maar bij mij zijn er tot nu toe geen, mogelijke belangrijkere, gegevens gelekt. In dit geval zou ik proberen uit te zoeken of het slechts gewone spam is of hij specifiek op jou gericht is. Vind je bijvoorbeeld dezelfde mail als je een paar regels ervan door Google haalt?

[ Voor 32% gewijzigd door Marc H op 21-12-2022 02:02 ]

[DataGhost]

Puc van S. schreef op woensdag 21 december 2022 @ 00:31:
Voor je meteen gaat roepen: "datalek" hou er ook rekening mee dat spammers ook gewoon graag mail versturen naar "unieke" (maar herleidbare) mailadressen zoals @eLScha ook al meld.

Ik draai al zo'n 20 jaar mijn eigen mailserver en gebruik ook vele unieke adressen, ik kan je uit mijn eigen (n=1 natuurlijk) ervaring vertellen dat dat niet zo is. De enige adressen waar regelmatig op geprobeerd wordt mail af te leveren zijn info@ webmaster@ postmaster@ en aanverwante adressen, bedrijfsnamen worden niet zomaar geprobeerd, niet op de losse bedrijfsnaam en ook niet op enige "herleidbare structuur", enkel op adressen die ik zelf ooit heb aangemaakt en gebruikt. Ik heb meerdere domeinen waarop die aliassen ook werken maar die domeinen gebruik ik niet om de mailadressen mee samen te stellen. Daarop zie ik de afgelopen maand enkel op info@ afleverpogingen en verder op geen enkel ander alias, bestaand of niet-bestaand. Met die domeinen kom je opgeteld aan n=10. Maar het is wel een populair argument bij bedrijven die ik wijs op een datalek, alleen het is nergens op gebaseerd en tegelijkertijd slecht te weerleggen als je niet ook random tekens in het mailadres gebruikt. Maar in mijn logs zie ik genoeg om te concluderen dat het niet gebeurt. Dat zomaar proberen van adressen heeft trouwens ook helemaal geen zin want minder dan 1% van internetters gebruikt unieke mailadressen, dus de kans op een hit is astronomisch klein en elke bounce is minder spam die aankomt.

Volgens haveibeenpwned zijn op mijn domein 11 adressen pwned en ik heb afgelopen jaren toch zeker 1 of 2 keer per jaar te maken gehad met plotselinge spam op een enkel adres (die niet altijd op haveibeenpwned belanden), dus het is niet alsof spammers de structuur van mijn adressen niet zouden kunnen weten. Maar op de 816 aliassen die ik nu heb komt op dit moment geen spam binnen, en dus ook niet op niet-bestaande aliassen.

Daarnaast is er ook nog de mogelijkheid dat de spammende partij het mailadres uit jouw eigen mailbox gehaald heeft

Dat is ook een populair verweer maar dan zou er op tenminste enkele van de (in mijn geval ruim 800) adressen ook waarschijnlijk spam binnenkomen, ook dat is in ieder geval mij nog nooit gebeurd.

en er de mogelijkheid is dat er een lek bij een van de partijen die via het verhuurbedrijf je mail gekregen hebben

Maar dat is voor zover ik weet alsnog de verantwoordelijkheid van het bedrijf wat in eerste instantie jouw gegevens heeft verwerkt, Stern dus.

Maar terug on-topic: @Oeroeg als ze telefonisch niet echt meewerken en privacy@ niet bereikbaar is zou ik je verhaal gewoon doen via hun contactformulier en/of info@. Ik vraag daar persoonlijk ook altijd bij of ze kunnen onderzoeken hoe het gebeurd is en welke van mijn gegevens allemaal zijn buitgemaakt. Komt daar binnen zeg een week geen bevredigende reactie op zou ik het lek lekker melden bij AP inderdaad. Dat je dat gaat doen bij geen gehoor kan je overigens ook in je bericht zetten.

Bovendien zou ik een verzoek doen tot inzage van al je gegevens zodat je zelf kan beoordelen welke gegevens ze van je hebben en welke dus mogelijk gelekt zijn, zeker als daar mogelijk paspoort-/rijbewijsgegevens bij zitten. Ze zijn verplicht daarop te reageren.

[ Voor 7% gewijzigd door DataGhost op 21-12-2022 02:27 ]

[vanaalten]

Compleet eens met @DataGhost. Ook hier zo'n 18 jaar een eigen domein en mailserver en inderdaad: een paar vaste mailadressen zoals info@, postmaster@ en zo, maar nog nooit op stern@. Spam hooguit op gelekte mailadressen, bedrijven waar ik al eerder contact mee heb gehad.

Dus als je ooit contact hebt gehad met Stern (auto gehuurd) en je ontvangt nu ineens spam op dat mailadres, dan is er wat mij betreft zeker weten een datalek. Theoretisch aan de kant van de TS, maar waarschijnlijker bij Stern.

En dus ook eens met @DataGhost met de maatregelen/vervolgstappen. Reken alleen niet op een bevredigende reactie van Stern - ze zullen antwoorden dat ze hun systemen gecontroleerd hebben, geen lek hebben geconstateerd en misschien iets over een regelmatige IT-check of zo.

[cat_byte]

Overigens is dit niet de eerste keer dat Stern in één adem met een datalek wordt genoemd. Zie deze reactie bijvoorbeeld .

[Fiets]

Als ze de adres gegevens verkopen is het geen lek toch?

[DataGhost]

Fiets schreef op woensdag 21 december 2022 @ 08:42:
Als ze de adres gegevens verkopen is het geen lek toch?

Dat is nog mooier natuurlijk. Ik weet behoorlijk zeker dat een autoverhuurbedrijf geen enkele grond heeft voor het verkopen van adresgegevens van klanten. Maar ook als ze die dan toch verkocht hebben is het nog steeds een lek. Enige verschil is de oorzaak/intentie.

[Fiets]

DataGhost schreef op woensdag 21 december 2022 @ 10:02:
[...]

Dat is nog mooier natuurlijk. Ik weet behoorlijk zeker dat een autoverhuurbedrijf geen enkele grond heeft voor het verkopen van adresgegevens van klanten. Maar ook als ze die dan toch verkocht hebben is het nog steeds een lek. Enige verschil is de oorzaak/intentie.

Ik zie nu in hun privacy statement dat ze zelf de gegevens inderdaad niet verkopen.

Alleen als wij het wettelijk verplicht zijn, delen wij uw persoonsgegevens met toezichthoudende instellingen, fiscale instanties of onderzoeksdiensten. Uw gegevens worden in geen geval verkocht aan derden.

[F_J_K]

Fiets schreef op woensdag 21 december 2022 @ 08:42:
Als ze de adres gegevens verkopen is het geen lek toch?

offtopic:
Het is formeel ook een datalek als het bewust gebeurt maar niet legaal is: "een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens"
Het is dan misschien wel in het belang van het bedrijf om te beweren dat het een lek was

Vraag inderdaad ook op welke gegevens ze hebben en aan wie dat verstrekt is. Binnen een maand.
"De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt."

Het is dan wel zaak aantoonbaar de vraag te hebben gesteld.

[Kinger7]

Even het probleem wat je hebt van een andere hoek aangeschoten:
Stern zit momenteel in transitie door een overname. Ik weet niet of de nieuwe partij al een punt heeft waar je aan kan kloppen.

Begin dit jaar is Stern overgenomen door Hedin Mobility Group, een Zweeds familiebedrijf met automotive activiteiten in elf Europese landen. Per 9 januari 2023 worden alle bedrijven van Stern omgedoopt tot Hedin Automotive. De verhuuractiviteiten van Stern (SternRent) zullen vanaf deze datum verder gaan onder de naam MABI Mobility.

https://www.stern.nl/nieuws/stern-wordt-hedin-automotive

[downtime]

Ook eens met @DataGhost en @vanaalten. Ik gebruik al vele jaren een catch-all adres, dus ik zie alle mail die naar mijn domein wordt gestuurd, en daar komt nooit spam binnen op adressen die ik niet ken.
Het is altijd een adres wat ik zelf ergens heb achtergelaten of uit mijn whois informatie. info@ is de enige uitzondering en het aantal keer dat ik daarop spam heb gezien kan ik ook op de vingers van 1 hand tellen. Ik vermoed dat het voor spammers gewoon niet loont om mails naar random adressen te sturen.

[Oeroeg]

eLScha schreef op woensdag 21 december 2022 @ 00:27:
Hoe uniek was dat mailadres? Was het [e-mail], [e-mail] of [e-mail]?

Ik heb daar een eigen systeem voor, dus iets in de vorm van stern-<hier nog wat parameters om het mailtje in de juiste folder terecht te laten komen>@domein.com. Lijkt mij stug dat dit geraden is.

Als het slechts gewone spam is, blokkeer ik gewoon dat emailadres ("mijn" emailadres) en ga ik verder met mijn leven. Maar bij mij zijn er tot nu toe geen, mogelijke belangrijkere, gegevens gelekt. In dit geval zou ik proberen uit te zoeken of het slechts gewone spam is of hij specifiek op jou gericht is. Vind je bijvoorbeeld dezelfde mail als je een paar regels ervan door Google haalt?

Het gaat o.a. om deze phishing mail.

Tuurlijk kan ik het blokkeren, maar dan komt zo'n bedrijf er wel heel makkelijk mee weg. Daarnaast kun je ook niet alert zijn als deze gegevens op een andere manier misbruikt gaan worden.

Ik voel er wel dat voor om een data subject access request te doen, wat @F_J_K oppert. Dan hoef je die discussie niet te voeren, maar weet je wel waar je aan toe bent.

Wordt vervolgd.

[bw_van_manen]

Als je een data access request gaat doen bij Stern, vraag dan vooral ook op basis van welke rechtsgrond ze die gegevens verwerken en wat de bewaartermijn voor je gegevens is. Dat je in 2016 eenmalig een auto bij ze gehuurd hebt zou geen reden moeten zijn om in 2022 nog steeds een hoop gegevens van jou te hebben rondslingeren.

Als Stern inderdaad overgenomen wordt zou je ook kunnen kijken of de privacy officer van de overnemende partij wel bereikbaar is. Die heeft vast geen zin om meteen na de aankoop van Stern met een enorm datalek opgezadeld te zitten, dus die kan mogelijk intern wat herrie schoppen om dit goed uit te laten zoeken.

[m2011]

DataGhost schreef op woensdag 21 december 2022 @ 02:16:
[...]
Ik draai al zo'n 20 jaar mijn eigen mailserver (knip rest van goede inhoudelijke post)

Maar zou jij aan zekerheid grenzende waarschijnlijkheid van verwijtbaar lekken accepteren als ik spam ontvang op [e-mail]?

De zaak lijkt mij nog steeds sterker als de mail aankwam op stern_jhsoqpsbfjttaaevendek[e-mail].

[DataGhost]

m2011 schreef op woensdag 21 december 2022 @ 22:08:
[...]


Maar zou jij aan zekerheid grenzende waarschijnlijkheid van verwijtbaar lekken accepteren als ik spam ontvang op [e-mail]?

De zaak lijkt mij nog steeds sterker als de mail aankwam op stern_jhsoqpsbfjttaaevendek[e-mail].

Huh? Dan moet je dat adres eerst aan mij gegeven hebben natuurlijk anders kan er natuurlijk geen sprake zijn van lekken. Zoiets kan ik dan weer aantonen door het hebben ontvangen van mail van het bedrijf in kwestie op dat mailadres. Als ik jou nooit gemaild heb valt er geen lek bij mij aan te tonen. Maar als jij inderdaad dat adres aan mij hebt gegeven en ik heb dat inderdaad opgeslagen en jij krijgt er opeens spam op, dan vind ik dat inderdaad zeker genoeg om even flink uit te gaan zoeken hoe dat kan, omdat uit mijn eigen statistiek blijkt dat dit niet willekeurig voorkomt. Ik zal je dan nog wel vragen of je toevallig tegelijkertijd op andere soortgelijke adressen spam hebt ontvangen, voor zover je zelf nog niet aannemelijk hebt gemaakt dat het jouw eigen aliassenlijst is die gelekt is. Die vragen dek ik alvast af als bedrijven informeer over een lek, er is dan eigenlijk geen speld tussen te krijgen. Het zijn wel altijd de bedrijven met de meest onlogische namen die zichzelf zo populair achten dat dat bij een fictieve dictionary-spamaanval direct raak is op toevallig hun adres.

Maar daarom zei ik dat het lastig te bewijzen is aan iemand met de mindset van "er MOETEN random tekens in WANT spammers proberen gewoon namen uit" zonder daar enige basis voor te hebben, ik kan enkel de statistische onwaarschijnlijkheid ervan aantonen (of dus eigenlijk niet) wegens gebrek aan random pogingen. Zoals ik al heb gezegd is het construeren van mailadressen op een domein wat geen @hotmail.com of @gmail.com helemaal geen lucratieve business voor spammers, de kans dat een gegenereerd adres niet bestaat is bijna 100% en elke spam-mail die bouncet is een spam-mail die ze niet naar een reeds geverifieerd bestaand adres (uit een lek bijvoorbeeld) hebben kunnen sturen. Pure geldverspilling dus.

Goed anyway, je voorbeeld is in ieder geval niet hoe mijn aliassen of die van TS gestructureerd zijn, en ik gebruik bovendien geen catch-all, omdat ik mailadressen ook weer weg wil kunnen gooien. Bedrijven die dat verweer hebben gevoerd krijgen van mij te horen dat ze het mailadres mogen wijzigen in <oud>.<10randomtekens>@domein zodat de discussie er volgende keer in ieder geval niet meer is. Keerzijde van dit systeem is dat sommige mensen/bedrijven denken dat ik een verkeerd of nep-mailadres heb opgegeven met als hoogtepunt dat mijn creditcard eens geblokkeerd is geweest omdat een winkel het mailadres niet vertrouwde en de transactie als frauduleus heeft gemarkeerd (superleuk als je een jaar aan de andere kant van de wereld zit), dus random tekens laat ik over het algemeen achterwege als ik ergens een account registreer.

[m2011]

DataGhost schreef op woensdag 21 december 2022 @ 22:32:
[...]
Huh? Dan moet je dat adres eerst aan mij gegeven hebben natuurlijk anders kan er natuurlijk geen sprake zijn van lekken.

Precies. Dat is het hele punt.

[DataGhost]

m2011 schreef op woensdag 21 december 2022 @ 22:50:
[...]


Precies. Dat is het hele punt.

Dan moet je de eerste regel van de TS nog eens lezen want dat adres komt niet uit de lucht vallen.

[remco_k]

Puc van S. schreef op woensdag 21 december 2022 @ 00:31:
...
Daarnaast is er ook nog de mogelijkheid dat de spammende partij het mailadres uit jouw eigen mailbox gehaald heeft
...

Dit is een reeele optie waar TS ook rekening mee moet houden.
Dat hij spam krijg op dat hele specifieke adres, lijkt mij wel een aardige reden om van een datalek uit te gaan. Maar niet een gegronde reden om de schuld bij Stern te leggen. Datalek kan ook van eigen systeem afkomstig zijn.

Dat de inhoud van de spam over ICS gaat, geeft geen enkel verband aan dat die info via een datalek is vrijgekomen en al helemaal niet bij Stern. Dit soort spam wordt in zulke grote getalen verstuurd dat de kans erg groot is dat veel mensen die ICS gebruiken deze spam ook krijgen en, zoals jij nu, denken dat er een relatie is met een datalek waaruit zou blijken dat jij echt een ICS klant bent. Maar de meeste ontvangers van diezelfde spam hebben nog nooit van ICS gehoord.
Dat is dus gewoon een lucky shot.

[ Voor 26% gewijzigd door remco_k op 22-12-2022 00:02 ]

[m2011]

DataGhost schreef op woensdag 21 december 2022 @ 23:26:
[...]
Dan moet je de eerste regel van de TS nog eens lezen want dat adres komt niet uit de lucht vallen.

Dat heb ik gelezen. Heb jij post nr 3 gelezen?

[vanaalten]

remco_k schreef op woensdag 21 december 2022 @ 23:55:
[...]

Dit is een reeele optie waar TS ook rekening mee moet houden.
Dat hij spam krijg op dat hele specifieke adres, lijkt mij wel een aardige reden om van een datalek uit te gaan. Maar niet een gegronde reden om de schuld bij Stern te leggen. Datalek kan ook van eigen systeem afkomstig zijn.

...maar ook die kans lijkt mij behoorlijk klein.
Stel dat ik vijf jaar geleden bij Stern een auto heb gehuurd - als er dan op de een of andere manier uit MIJN systeem gelekt is, dan zou ik ook spam verwachten op alle andere bedrijven waar ik mee gemaild heb, zoals ziggo@, tweakers@, bol@, en ga zo maar door. De kans dat bij een lek in mijn systeem toevallig alleen die ene stern@ van vijf jaar geleden lekt lijkt mij al heel onwaarschijnlijk.

Dus nee, de argumenten "spammers proberen willekeurige namen uit" en "misschien zit het lek aan jouw kant" - theoretisch mogelijk, praktisch gezien al heel onwaarschijnlijk en vooral makkelijke argumenten voor bedrijven om vooral niets te onderzoeken en je er makkelijk van af te maken.

[F_J_K]

DataGhost schreef op woensdag 21 december 2022 @ 22:32:
Maar daarom zei ik dat het lastig te bewijzen is aan iemand met de mindset van "er MOETEN random tekens in WANT spammers proberen gewoon namen uit" zonder daar enige basis voor te hebben, ik kan enkel de statistische onwaarschijnlijkheid

Occam's razor suggereert inderdaad dat het niet dat is. Ook: zo wel dan kan een organisatie reageren met dat ze niet zelf hebben verstrekt en ook dat ze geen indicatie hebben dat er is 'gehackt' oid.

Overigens kan men voor de toekomst het argument van 'men probeert randombedrijf@' ontkrachten door niet bijv. Tweakers@mijndomein te gebruiken maar Tweakers-221222@mijndomein. (Datum van aanmaken van de account, of een random getal). Zo is het en duidelijk herleidbaar naar het bedrijf, en duidelijk niet breed raad-baar.

[DataGhost]

m2011 schreef op donderdag 22 december 2022 @ 07:39:
[...]


Dat heb ik gelezen. Heb jij post nr 3 gelezen?

Die heb ik gelezen, daar heb ik namelijk op gereageerd. In mijn vorige reactie op jou staat het wellicht te beknopt verwoord maar, dus nogmaals, het is inderdaad niet te bewijzen dat er niet gelekt is bij jezelf, sterker nog dat is het nooit, zelfs met een volledig random e-mailadres als stern_jhsoqpsbfjttaaevendek[e-mail]. Dat kan ook geprobeerd zijn (ja echt! maar ik laat de kansberekening even achterwege maar de kans is NIET nul), dat kan ook door jouzelf gelekt zijn, dat kan ook door het bedrijf gelekt zijn. Enige wat over blijft is zeer aannemelijk maken dat het lek bij het bedrijf in kwestie ligt en nergens anders, dus dan zet ik de scenario's en de redenering nog eens op een rijtje want dat was blijkbaar niet duidelijk uit mijn eerste post:

1. Het mailadres is gegenereerd en gewoon geprobeerd door een spammer.
De kans dat een adres willekeurig gegenereerd wordt en het direct prijs is bij de eerste poging is echt astronomisch klein. Als dit daadwerkelijk gedaan is zou je dus verwachten dat er in de logbestanden van de mailserver pogingen zijn geweest op andere gegenereerde adressen. Gezien de structuur die ik (en ook TS) gebruiken is de kans op succesvol genereren van een kloppend adres ook heel klein. Niet zichtbaar voor de partij die dit verweer wenst te voeren wegens gebrek aan toegang tot mijn logbestanden, maar de praktijk leert op mijn 10 domeinen en ook volgens enkele andere posters in dit topic (en andere topics) dat dit niet gebeurt, noch willekeurig noch volgens de specifieke adresstructuur. Ook is het een enorm inefficiënt gebruik van de capaciteit die een spammer heeft om spam te sturen. Het is dus zeer onwaarschijnlijk dat dit gebeurt of gebeurd is.

2. Het mailadres is gelekt door een lek bij jezelf (aliasdatabase, mailbox, adresboek).
Aangezien ik zelf 800+ aliassen heb en deze ook vrijwel allemaal terug te vinden zijn in mijn mailbox bij ontvangen mail, is de verwachting hier ook dat niet alleen toevallig dat ene adres gebruikt wordt om spam heen te sturen. Ook dit is niet zichtbaar voor de tegenpartij, maar de afwezigheid van spam op andere adressen zou genoeg aanleiding moeten geven om te concluderen dat dit ook niet aan de hand is. Mocht een spammer "slim" proberen te zijn door slechts een van de adressen te spammen, zou je verwachten dat na het verwijderen van adres in kwestie en het bouncen van de daarheen gestuurde spam de spammer overstapt op een van de andere buitgemaakte aliassen. Dit heb ik ook nog nooit meegemaakt, de spam hield altijd op direct na het verwijderen van een gelekt alias. Het is dus zeer onwaarschijnlijk dat dit gebeurd is.

3. Een gerichte aanvaller weet de structuur van jouw mailadressen en genereert daarmee bestaande adressen.
De voorwaarde hiervoor is dat de aanvaller voldoende mailadressen heeft gezien om af te leiden wat voor structuur je gebruikt voor dit soort adressen. Op het moment dat deze adressen al in het bezit zijn is het vele malen makkelijker om daar gewoon de spam heen te sturen. Maar mocht je om wat voor reden dan ook een spammer hebben met dermate veel tijd teveel dat deze een dergelijk systeem gaat analyseren en adressen te genereren die ongeveer dezelfde kans van slagen hebben als onder puntje 1 (je weet immers niet met welke bedrijven iemand die je niet kent interactie heeft), gaat dit eigenlijk gewoon helemaal terug naar punt 1. Je zal dan in je logs pogingen vinden om mail af te leveren op niet-bestaande adressen, en dat is niet gebeurd. Als je dan toch bedrijven aan het gokken bent zou ik bij de echt grote jongens beginnen, niet bij een autoverhuurder. Ik had persoonlijk nog nooit van Stern gehoord totdat ik dit topic zag dus ik vind dit een van de onwaarschijnlijke startpunten. Het is dus ook hier zeer onwaarschijnlijk dat dit gebeurd is.

Voor dit alles hoef je niet eens random tekens in de aliassen te hebben, het enige wat dat doet is het voor de beschuldigde partij verweer 1 onmogelijk maken maar verweer 2 wordt daardoor niet beïnvloed.

Ondertussen zijn we statistisch gezien al diep in de homeopathie beland en hoewel er een absoluut minimale kans is dat ondanks alle voor de ontvanger zichtbare informatie toch iemand in 1x prijs heeft gehad zonder een datalek, is een datalek gewoon de meest logische conclusie en eigenlijk ook de enige mogelijke conclusie. Of dat vervolgens bij het bedrijf zelf is gebeurd of bij een van de bedrijven waar zij de gegevens mee hebben gedeeld maakt niet uit, het is nog steeds verantwoordelijkheid van het bedrijf zelf.

[DJMaze]

Het lekt hoeft niet bij Stern te zitten, het kan ook bij een partner zijn gebeurd (mailchimp?, amazon ses?, etc.).
Neemt niet weg dat Stern verantwoordelijk blijft.