SIDN heeft vastgesteld dat sinds april 2024 via haar publieke RDAP-dienst meer registratiegegevens zichtbaar waren dan volgens haar geldende beleid bedoeld was. Het gaat om gegevens die ook via de publieke Whois op sidn.nl toegankelijk zijn binnen het bestaande beleid en in lijn met de AVG. De situatie is inmiddels hersteld en gemeld bij de Autoriteit Persoonsgegevens (AP). Op dit moment zijn er geen aanwijzingen voor misbruik van de gegevens.
Wat is er gebeurd?
Tijdens een controle van de RDAP-dienst¹ heeft SIDN vastgesteld dat bepaalde registratiegegevens beschikbaar waren via de publieke RDAP-service. Volgens het geldende beleid hadden deze gegevens niet via dit kanaal beschikbaar mogen zijn.
Welke gegevens zijn betrokken?
Het gaat om:
-
de naam van de houder van zakelijke .nl-domeinnamen,
-
adresgegevens van zakelijke domeinnaamhouders die expliciet hebben gekozen voor publicatie van hun adresgegevens (minder dan 1% van de zakelijke registraties),
-
het administratieve e-mailadres (admin-c) van een registratie,
-
het e-mailadres van de technische contactpersoon (tech-c) van een registratie.
Deze gegevens zijn ook zichtbaar via de Whois op sidn.nl.
Wat zijn de mogelijke gevolgen?
Het verschil tussen de publieke Whois op sidn.nl en RDAP is dat RDAP geautomatiseerde raadplegingen mogelijk maakt. Overigens is het geautomatiseerd opvragen van de registratiegegevens van een (groot) aantal .nl-domeinnamen door anderen dan de domeinnaamhouder of registrar niet eenvoudig doordat SIDN geen lijst publiceert van geregistreerde .nl-domeinnamen. Er zijn op dit moment geen aanwijzingen dat gegevens zijn misbruikt.
Welke maatregelen heeft SIDN genomen?
SIDN heeft:
-
de publieke RDAP aangepast.
-
de gegevensverstrekking in lijn gebracht met het geldende beleid.
-
melding gedaan bij de Autoriteit Persoonsgegevens.
-
aanvullend onderzoek gestart.
-
interne controles aangescherpt.
Wat kunnen betrokkenen doen?
Voor de meeste domeinnaamhouders is geen actie nodig. Wel adviseert SIDN alert te blijven op phishingmails en andere scammails op het e-mailadres van de administratieve en technische contactpersoon.
Transparantie
Hoewel de gegevens die het betreft al publiek toegankelijk zijn via de Whois op sidn.nl en het risico op misbruik beperkt is, vinden wij het belangrijk om hier open over te communiceren. Daarom informeren wij iedereen zo veel mogelijk actief over deze gebeurtenis en de genomen maatregelen.
Q&A Media
Welke gegevens waren zichtbaar?
Namen zakelijke houders, opt-in zakelijke adresgegevens en e-mailadressen van de admin-c en de technische contactpersoon.
Zijn deze gegevens al openbaar?
Ja. Dezelfde gegevens zijn ook zichtbaar via de Whois op sidn.nl.
Wat was dan het probleem?
Via RDAP konden de gegevens geautomatiseerd worden opgevraagd, terwijl dit volgens het beleid niet de bedoeling was.
Zijn er aanwijzingen voor misbruik?
Nee, hiervoor zijn op dit moment geen aanwijzingen.
Waarom meldt SIDN dit aan de AP?
Ook al gaat het om gegevens die publiek beschikbaar zijn, beschouwen wij de mogelijke geautomatiseerde toegang toch als een datalek. Bij een datalek in enige vorm doen wij melding bij de AP.
Waarom is dit niet eerder ontdekt?
Dat maakt onderdeel uit van het lopende onderzoek.
1 RDAP staat voor Registration Data Access Protocol. Het is de moderne opvolger van het traditionele Whois-protocol voor het opvragen van registratiegegevens van domeinnamen, IP-adressen en Autonomous System Numbers (ASN’s). Met RDAP kun je informatie opvragen over een domeinnaam, zoals:
-
Registratiestatus van een domein
-
Registrar (de registrar die het domein beheert)
-
Registratie- en vervaldatum
-
Nameservers
-
Contactgegevens van domeinnaamhouders of contactpersonen (voor zover openbaar)
