Rotterdammer gearresteerd na hack van vijftig seizoenkaartaccounts
Op 19 oktober hield de politie in Pernis een 31‑jaar oude Rotterdammer aan op verdenking van identiteitsfraude met voetbalkaarten. Hij zou de accounts van seizoenkaarthouders hebben gehackt en de inloggegevens hebben doorverkocht. Volgens de politie betreft het bijna vijftig accounts bij vijftien Eredivisieclubs.
Heerenveen ontdekt fraude
De zaak kwam aan het licht toen SC Heerenveen eind mei ontdekte dat het account van een medewerker was overgenomen en dat er op Marktplaats kaarten op zijn naam werden aangeboden. De club verklaarde de via gehackte accounts gekochte kaarten ongeldig, waardoor een deel van de kopers ondanks betaling niet het stadion in kon.
Hoe je je ticketaccount beschermt
Hoe de verdachte precies in de accounts kwam, heeft de politie niet bekendgemaakt. De zaak laat zien dat een ticketaccount bij een club tegenwoordig veel waard is en dat het wachtwoord er meer aandacht voor verdient dan veel supporters eraan besteden. Bij de meeste clubs is de seizoenkaart niet langer een plastic pasje, maar hangt de kaart, bestellingen en vaak betaalgegevens aan een online account.
Wie toegang krijgt tot dat account, kan kaarten doorverkopen, wedstrijden op jouw naam boeken of je persoonsgegevens misbruiken. Bij een uitverkochte topper of een derby is dat voor oplichters snel verdiend geld.
Veel supporters kiezen bij het aanmaken van zo’n account een wachtwoord dat ze makkelijk onthouden, zoals de clubnaam met een jaartal, de naam van een favoriete speler of het rugnummer van een clubicoon met een uitroepteken. Dergelijke combinaties staan precies in de lijsten die criminelen gebruiken om wachtwoorden te raden. Nog vaker wordt hetzelfde wachtwoord ook gebruikt voor de webshop van de club, het mailadres en een handvol andere sites.
Lekt het ergens uit, dan proberen aanvallers dezelfde combinatie automatisch op andere plekken. Wie overal één wachtwoord heeft, geeft met één datalek dus ook de sleutel van zijn seizoenkaart weg.
Zelf een sterk en uniek wachtwoord verzinnen voor elk account lukt bijna niemand, juist omdat we onbewust steeds dezelfde patronen gebruiken. Een wachtwoordgenerator heeft die gewoontes niet: je kiest de lengte en of er cijfers en tekens in moeten, en krijgt een reeks die nergens op slaat en dus niet te raden is. Wie liever iets heeft dat ook op een telefoon makkelijk in te typen is, kan vaak kiezen voor een wachtzin van een paar willekeurige woorden achter elkaar.
Als je nadenkt over alle plekken waar je clubliefde online zit, kom je al snel op meer accounts dan verwacht. Daarom moet elk account een eigen, gegenereerd wachtwoord krijgen, te beginnen met je e‑mail en je ticketaccount, en de rest vervangen zodra je weer inlogt. Zet tweestapsverificatie aan op je e‑mail en op elk clubaccount waar dat kan. Deel je inloggegevens niet met vrienden, ook niet als je een keer niet kunt en je kaart wilt doorgeven; gebruik daarvoor de officiële doorverkoopmogelijkheid van je club.
Log niet in via links in mails of berichten die om je clubaccount vragen, maar ga zelf naar de site of open de app. Krijg je een melding dat er is ingelogd op een apparaat dat je niet kent, wijzig dan meteen je wachtwoord en neem contact op met de club.