E3 organisator ESA lekt privégegevens duizenden journalisten

De ESA, de Entertainment Software Association, heeft de privégegevens van duizenden journalisten, youtubers, en analisten gelekt. Waaronder persoonlijke telefoonnummers, namen, en adressen.

E3 website

De gegevens waren maandenlang voor iedereen toegankelijk. Journalist en Youtuber Sophia Narwitz was de eerste die hier deze week over berichtte. In haar Youtube video laat zij zien hoe iedereen in slechts een paar klikken via de E3 website een spreadsheet met deze gegevens kon downloaden. Deze “Registered Media List” stond namelijk, zonder enige vorm van beveiliging, zomaar in de categorie “Helpful Links”.

De gegevens zijn eigenlijk bedoeld voor de bedrijven (zoals game publishers) die lid zijn van de ESA. Zij moeten de media die E3 bezoeken namelijk makkelijk kunnen bereiken en uitnodigen voor afspraken. Het is uiteraard niet de bedoeling dat deze informatie publiekelijk beschikbaar is. 

Narwitz heeft de ESA snel op de hoogte gebracht van dit lek, nog voor het publiceren van haar reportage. De ESA heeft hierop de link naar de spreadsheet van hun site verwijderd. Ze lieten de spreadsheet zelf echter wel online staan. Hierdoor kon iedereen de spreadsheet nog steeds downloaden via een Google cached versie van de website. Zelfs nadat Narwitz haar video had geüpload. Inmiddels is de spreadsheet volledig van de website gehaald, maar niet voordat het al door vele mensen was gedownload.

Reactie ESA

De ESA heeft in een reactie laten weten de gang van zaken te betreuren. 

“ESA was made aware of a website vulnerability that led to the contact list of registered journalists attending E3 being made public. Once notified, we immediately took steps to protect that data and shut down the site, which is no longer available. We regret this this occurrence and have put measures in place to ensure it will not occur again.”

Toch zal de ESA moeten vrezen dat dit nog een behoorlijk staartje zal krijgen. Het gaat hier namelijk  ook om gegevens van Europeanen. Hierdoor kan de ESA een boete van maximaal twintig miljoen euro krijgen voor het overtreden van de Algemene Verordening Gegevensbescherming (AVG). Ook wel bekend als de GDPR. Ook heeft het vertrouwen in de organisatie natuurlijk een flinke deuk opgelopen.