Hoe drie hackers het paspoort van Max Verstappen (per ongeluk) in handen kregen
Je zou denken dat de FIA, de internationale autosportbond achter de Formule 1, zijn digitale deuren goed op slot heeft. Maar drie ethische hackers ontdekten onlangs dat dat niet helemaal zo was. Ze vonden een foutje in een online systeem van de FIA en kregen zomaar toegang tot persoonlijke gegevens van coureurs, waaronder zelfs het paspoort van Max Verstappen.
Hoe het begon
De drie beveiligingsonderzoekers in dit verhaal zijn Ian Carroll, Sam Curry en Gal Nagli. Ze houden zich al jaren bezig met het opsporen van digitale lekken. Ze doen dat niet alleen om geld te verdienen, maar ook om organisaties te helpen hun systemen beter te beveiligen. Tijdens een bezoek aan een Formule 1-evenement kregen ze het idee om eens te kijken hoe goed de FIA’s online omgeving beschermd was. Niet uit kwade bedoelingen, maar puur uit professionele nieuwsgierigheid.
De ontdekking
De hackers maakten een testaccount aan op een officieel FIA-platform dat bedoeld is voor coureurs en teams. Daar kunnen rijders bijvoorbeeld hun gegevens uploaden om hun zogenoemde superlicentie aan te vragen — het ‘rijbewijs’ dat nodig is om in de Formule 1 te mogen racen. Het platform leek onschuldig genoeg: je vult wat informatie in, uploadt documenten, en wacht op goedkeuring.
Maar toen de hackers het systeem wat beter bestudeerden, ontdekten ze iets wat niet hoorde. De website controleerde niet goed of iemand die was ingelogd ook echt de rechten had die hij claimde. Door een paar regels code aan te passen, konden ze hun account meer macht geven — letterlijk. Binnen een paar seconden waren ze administrator (“de baas”) van het systeem.
Plotseling toegang tot alles
Met die nieuwe rechten konden ze plots alle gegevens inzien van coureurs die in het systeem stonden geregistreerd. Van e-mailadressen en telefoonnummers tot rijbewijzen, cv’s en zelfs paspoorten. Toen ze zagen dat ook gegevens van Max in het systeem stonden, trokken ze direct aan de handrem. Ze maakten geen kopieën, deelden niets, en stopten hun onderzoek.
De reactie van de FIA
De onderzoekers meldden het lek direct bij de FIA via e-mail en LinkedIn. De organisatie reageerde dezelfde dag nog en haalde het systeem offline. Binnen een week was het lek gedicht en kregen de hackers een bevestiging dat het probleem volledig was opgelost. Nu – een paar maanden later – mogen ze hun verhaal openbaar maken — zonder al te gevoelige details, uiteraard.
Headerfoto: Red Bull Contentpool