Zojuist opende ik de community en zag ik dat ik niet als mezelf ingelogd was, maar als ene
Mogelijk datalek community forum
- is een King Poster
Goedemorgen
Het is vanmorgen vroeg gemeld dus ik verwacht elk moment een reactie en update.
+14- Odido Superuser
Apart, deze gebruiker is vandaag pas aangemaakt. Niet toevallig een "room mate" die op jouw computer een eigen account had aangemaakt?
Om deze post te plaatsen moest je natuurlijk weer inloggen op het forum, zie je nu weer een eigen user of weer deze Dominika?
- is een King Poster
Omdat ik geen misbruik wil maken van wat er dan ook gebeurde ben ik na het maken van de screenshot direct uitgelogd, en vervolgens ingelogd op mijn eigen account om dit te melden.
Je zegt "Mogelijk datalek community forum". Maar dit is dus duidelijk een daadwerkelijk probleem met de forum software. Daar mag Odido bij de software makers wel even hard aan de bel trekken.
+17Goedemorgen
Het is vanmorgen vroeg gemeld dus ik verwacht elk moment een reactie en update.
+17
+17Goed punt! Ik heb het nagevraagd bij beiden. Ben in afwachting van een antwoord. Heb wel een tussentijdse update vanuit forumbeheer: het wordt met de hoogst mogelijke urgentie onderzocht.
+17Update over de gemelde situatie → Rechtstreeks afkomstig van onze forumbeheerder:
Bedankt voor jullie geduld! We hebben de situatie grondig onderzocht en kunnen het volgende delen.
Wat er kort is gebeurd: door een technische oorzaak heeft PixelJordy tijdelijk een pagina te zien gekregen die nog in de cache stond van een andere ingelogde gebruiker. Hierdoor zag hij even een andere naam op zijn scherm.
Na onderzoek kunnen we bevestigen dat:
- ✅ Er geen persoonlijke gegevens zijn ingezien — de relevante privévelden van het betreffende account waren leeg.
- ✅ Er geen sprake was van toegang tot het account van de andere gebruiker — zijn eigen sessie bleef de hele tijd actief.
- ✅ Er niets is gewijzigd op het account van de andere gebruiker.
Er is dan ook geen sprake van een datalek.
We nemen dit technische probleem uiteraard wel serieus en hebben het doorgezet naar ons engineeringteam voor een structurele oplossing. We houden jullie op de hoogte.
Nogmaals onze excuses voor de onduidelijkheid en onrust die dit heeft veroorzaakt. En een welgemeend compliment aan PixelJordy voor het direct uitloggen én netjes melden, precies zoals het hoort! 👍
- is een King Poster
Hoi
De beheerder stelt onder andere het volgende:
Wat er kort is gebeurd: door een technische oorzaak heeft PixelJordy tijdelijk een pagina te zien gekregen die nog in de cache stond van een andere ingelogde gebruiker. Hierdoor zag hij even een andere naam op zijn scherm.
Ik ga er van uit dat ze hier de servers-side cache bedoelen, aangezien ik de hele persoon niet ken en niemand anders toegang heeft tot dit apparaat. Maar ik wil dit wel even challengen. Ik zag namelijk niet alleen de pagina en een naam, ik zag:
- Toen ik de community hoofdpagina opende, zag ik “D” als profielfoto.
- Toen ik op de ‘profielfoto’ drukte zag ik de statistieken van de andere gebruiker. (Dus aantal posts, aantal priveberichten, etc).
- Toen ik het profiel opende zag ik niet alleen de naam van dat profiel, maar het volledige profiel.
Achteraf gezien had ik even moeten rondklikken en kijken of ik dus ook de priveberichten kon zien, het profiel daadwerkelijk kon wijzigen, etc. Maar ik koos dus inderdaad voor direct uitloggen.
Maar ik zou het niet zo snel laten afdoen, aangezien er dus een kans bestaat dat er “geen datalek was” puur omdat ik uitlogde, neit omdat het niet mogelijk was 😉
+17
+17
I assume they mean a server-side cache here, since I don't know this person at all and no one else has access to this device. However, I do want to challenge this. Because I didn't just see the page and a name, I saw:
- When I opened the community's main page, I saw "D" as the profile picture.
- When I clicked on the 'profile picture', I saw the other user's statistics. (So the number of posts, number of private messages, etc.)
- When I opened the profile, I didn't just see the name of that profile, but the full profile.
In hindsight, I should have clicked around a bit to check whether I could also see the private messages, actually modify the profile, etc. But I did indeed choose to log out immediately.
However, I wouldn't dismiss this so quickly, as there is a chance that there "was no data breach" purely because I logged out, not because it wasn't possible 😉
Dit is vrijwel volledig de strekking van wat jij net deelt als reply.
Ik deel hun reactie wanneer die in de inbox staat!
Ik denk ook dat dit dan meer is dan alleen een server-side cache probleem. Ik denk meer aan een login token die dubbel was. Het zou inderdaad handig geweest zijn als
+17Ach om maar met de spreekwoordelijke clichés in de lucht te komen: voor alles een eerste keer, maar het is natuurlijk wel een gevoelig onderwerp. Wat ik gelukkig wel enigszins verlichtend vind, is dat we geen persoonsgegevens meer delen in profielen, op geen enkele manier: dus ook al had
Ik jaag het na!
+17UPDATE: Ik copy/paste de reactie van forumbeheer voor alle gemak en ten bate van de transparantie.
Hi Jason - yep indeed this is related to a server side cache where the server serves the same page to different users to reduce load on the platform for stability purposes which seems to be (but we're still investigating) what happened here. The profile stats + information for each user are publicly viewable and dont constitute anything that's not viewable for a non logged-in user.
Yes in hindsight he did the right thing by logging out immediately once he saw that something weird had happened - however if he'd been able to perform some kinds of activities then this would have indeed helped with the investigation on our side.
We're not dismissing anything for the moment though - the engineering investigation is ongoing with high priority internally with one of our best senior engineers (who actually did most of the platform cachine work) investigating this, we'll drop you some updates as soon as we have more info for this.
The profile stats + information for each user are publicly viewable and dont constitute anything that's not viewable for a non logged-in user.
In this case the profile page showed a button “Bewerk profiel”. That’s NOT viewable for all users so couldn’t be a publicly viewable page.
The fact the user saw a profile button “D” (for the other user) and could press it and then saw the profile page WITH the “Bewerk profiel” button, seems to contradict that this is a public profile page. The public page also has the buttons “Volg gebruiker” and “Stuur bericht” which where not on this page.
Yes in hindsight he did the right thing by logging out immediately once he saw that something weird had happened - however if he'd been able to perform some kinds of activities then this would have indeed helped with the investigation on our side.
Yes, exactly my thoughts. If he had changed something in the profile, we would have confirmation that this was a double login.
There is no way to see if there might have been given a double login token for simultaneous logins in the logs?
+17Morning all! Ik ben nog in afwachting van een concluderende update, maar ik jaag het na en blijf checken of er een total resolve op de kaart staat. Zodra ik meer weet, deel ik het onmiddellijk.
+17UPDATE:
Hello Jason,
Based on our initial investigation, this shouldn't be the case, as the only login event occurred just two minutes before PixelJordy created his post.
However, let's wait for a more thorough investigation from our engineering team to be absolutely certain.
Enter your E-mail address. We'll send you an e-mail with instructions to reset your password.