Der renommierte niederländische Fußballclub Ajax Amsterdam musste öffentlich eingestehen, dass ein Hacker Zugriff auf sensible Systeme des Clubs erhalten hatte. Die Sicherheitslücken ermöglichten es nicht nur, persönliche Daten einzusehen, sondern auch kritische Funktionen wie die Ticketverwaltung und die Verwaltung von Stadionverboten zu manipulieren.
Zunächst erfuhr Ajax von den Sicherheitsproblemen durch Journalisten der niederländischen Nachrichtenorganisation RTL, die von dem Angreifer einen Tipp erhalten hatten. Die RTL-Redaktion überprüfte die Schwachstellen unabhängig und konnte deren Existenz bestätigen. In praktischen Tests gelang es den Journalisten, VIP-Dauerkarten innerhalb von Sekunden auf andere Personen zu übertragen, Stadionverbote zu modifizieren und über APIs sowie freigegebene Schlüssel auf umfangreiche Fan-Daten zuzugreifen.
Das Ausmaß der potenziellen Betroffenheit ist beträchtlich. Laut RTL hätten theoretisch bis zu 42.000 Dauerkarten manipuliert, 538 Stadionverbote verwaltet und Details zu über 300.000 Fan-Konten eingesehen werden können. Ajax selbst bestätigte, dass E-Mail-Adressen von einigen hundert Personen abgerufen wurden. Bei weniger als 20 Personen mit Stadionverboten wurden zusätzlich Namen, Geburtsdaten und E-Mail-Adressen kompromittiert.
Der Club versicherte, dass die abgerufenen Daten nicht weitergegeben wurden und dass alle identifizierten Sicherheitslücken inzwischen gepatcht seien. Zusätzliche Sicherheitsmaßnahmen wurden implementiert. Sowohl die niederländische Datenschutzbehörde als auch die Polizei wurden informiert.
Experten gehen davon aus, dass die bisherige Nutzung der Schwachstellen begrenzt blieb. Der Angreifer wählte die Offenlegung über die Medien statt Erpressung oder kommerzielle Ausbeutung. Dennoch bleibt unklar, ob dies der erste Missbrauch dieser Lücken war.
Ajax-Fans sollten wachsam gegenüber verdächtigen E-Mails sein, insbesondere solchen, die vom Club zu stammen vorgeben. Der Vorfall unterstreicht, wie wichtig robuste Cybersicherheitsmaßnahmen im professionellen Sportbetrieb sind – besonders bei systemen, die finanzielle Transaktionen und persönliche Daten handhaben.