Lek bij testbedrijf: mensen konden valse QR-code maken in CoronaCheck-app

Testbedrijf Testcoronanu is vanwege een datalek door afgesloten van het systeem met de CoronaCheck-app. Dat bevestigt het ministerie van Volksgezondheid zondagochtend na berichtgeving door RTL Nieuws.

Op de website van Testcoronanu was het mogelijk om zelf valse reis- en toegangsbewijzen aan te maken, ontdekte RTL Nieuws. Deze konden vervolgens worden gebruikt om een geldige QR-code in de CoronaCheck-app te krijgen. Ook lekten de persoonsgegevens van ruim 60.000 mensen uit die een coronatest afgenomen bij het bedrijf.

Nadat het lek aan het licht kwam, is het bedrijf afgesloten van het systeem van de overheid, zegt een woordvoerder van Volksgezondheid. Het ministerie zegt geen signalen te hebben dat anderen dan RTL Nieuws van het lek gebruik hebben gemaakt, maar stelt wel dat dat "iets is waar de testaanbieder inzicht in heeft".

Bedrijf voldeed 'op papier'

Om toegelaten te worden tot het testsysteem van de overheid moeten bedrijven aan strenge eisen voldoen en bewijzen laten zien waarmee ze kunnen aantonen dat ze aan deze eisen voldoen. Zo moeten commerciële testaanbieders onder andere een test doorstaan, waarbij hun computersysteem op kwetsbaarheden wordt gecontroleerd.

"Op papier" voldeed Testcoronanu aan alle eisen, stelt het ministerie. "Uit een goede test had deze kwetsbaarheid moeten blijken", erkent de woordvoerder. "We gaan onderzoek doen naar hoe deze kwetsbaarheid niettemin heeft kunnen bestaan bij de aanbieder. Indien nodig zullen de aansluiteisen van CoronaCheck worden aangescherpt."

Bij andere aanbieders die voor de overheid testbewijzen verzorgen is gecheckt of er een soortgelijke kwetsbaarheid in het systeem zit. Dat is volgens de woordvoerder niet het geval.

Alle testlocaties gesloten

De Autoriteit Persoonsgegevens (AP) heeft contact gehad met Testcoronanu en gezegd dat het meteen moet stoppen met het testen, laat een woordvoerster weten. Het bedrijf mag pas weer opstarten als dat gegarandeerd veilig en betrouwbaar kan. De privacywaakhond spreekt van een "zeer ernstig" datalek. De toezichter wil ook van de overheid opheldering. Testcoronanu laat op zijn website weten alle locaties zijn gesloten, maar geeft verder geen inhoudelijke verklaring. Het bedrijf spreekt alleen van "onvoorziene omstandigheden". De telefoonlijnen zijn gesloten en dus is de testaanbieder zondag niet bereikbaar voor een reactie. 

ANP