Mailbestanden van BMW en VAB in een paar muisklikken


Als abonnee op de nieuwsbrief van autoconstructeur BMW of de Vlaamse Automobilistenbond (VAB) is het een koud kunstje om het volledige mailbestand van de nieuwsbrief te achterhalen.


We leggen het uit aan de hand van een fictief mailadres. Wie zich uitschrijft uit de nieuwsbrief, krijgt op het scherm de vraag: 'Weet u zeker dat pieter@pieters.be zich wil uitschrijven van de mailinglijst?' Bovenaan in de adresbalk verschijnt op dat moment een webadres waarin achteraan UID en CC staan, telkens gevolgd door een getal. UID staat voor 'jouw mailadres' en CC betekent 'controlecijfer'. Als je de getallen volgend op UID en CC allebei met één vermeerdert en de entertoets indrukt, krijg je het mailadres van de persoon die zich eerstvolgend heeft ingeschreven op de nieuwsbrief. Ook de moedertaal waarin die persoon zich heeft geregistreerd, wordt kenbaar.

Toen wij de test deden, waren er ongeveer 120.000 mensen geabonneerd op de nieuwsbrief van VAB. De nieuwsbrief van BMW wordt naar ongeveer 150.000 mensen gestuurd. Handmatig is het - zelfs voor een computerleek - mogelijk om al die mailadressen te achterhalen. Een programma schrijven dat de mailadressen systematisch binnenhaalt, is voor deskundigen een werk van enkele minuten.

Beide websites gebruiken Mailbuilder, een mailingsysteem van de firma Impact Multimedia, die verantwoordelijk is voor de beveiliging van de websites. (eb)

Hoewel in deze voorbeelden erg eenvoudige bewerkingen worden uitgevoerd, gaat het hier wel degelijk over hacken. Wie dit doet, overtreedt de wet. De bedrijven werden op voorhand gewaarschuwd.


DS, 21-10-2008 (eb)

__________________
"Never argue with an idiot, they'll just bring you
down to their level and beat you with experience." (c)TB