Casinoklanten in Duitsland dupe van grootschalig datalek bij Merkur

Gepubliceerd: 17 March 2025, 16:38 uur

Een datalek dat de Duitse gokindustrie heeft getroffen, raakt vooral het klantenbestand van de Duitse kansspelaanbieder Merkur.

Zo was het volledige klantenbestand van onder andere merkurbets.de, crazybuzzer.de, en slotmagie.de te downloaden. IT-beveiligingsexpert en activiste Lilith Wittmann kon daarvoor 200GB aan data downloaden met onder meer klanteninformatie.

Wittmann laat weten dat een publiek toegankelijke GraphQL-interface de oorzaak was van het datalek bij de Duitse goksites. De activiste schrijft dat de infrastructuur waar ze toegang toe kreeg ook kon worden misbruikt om transacties uit te voeren. Zodoende kon ze fictief geld storten op de accounts.

Datalek bevestigd door Merkur AG

Merkur AG heeft de datalek bevestigd in een e-mail aan de betrokken spelers. Het bedrijf laat weten dat alleen Lilith Wittmann toegang heeft gehad tot de data. Het voegt daaraan toe dat de “schade meevalt” omdat Wittmann geen slechte intenties had met de gegevens.

De lek raakte data van zowel het landgebonden als het online aanbod van Merkur. Merkur.com AG werd al in 1957 opgericht en richt zich onder meer op de ontwikkeling van speelautomaten en de exploitatie van speelhallen. Ook produceert het online gokkasten en biedt het verschillende goksites aan.

Betrokken goksites krijgen waarschuwing

Na de melding van Wittmann kwam de Duitse toezichthouder GGL (Glücksspielbehörde) naar eigen zeggen in actie en heeft het de betrokken goksites een waarschuwing gegeven. GGL schrijft onder meer dat de Duitse goksites “niet voldoen aan de wettelijk verplichte veiligheidsnormen”. Er is nog geen boete uitgedeeld aan de sites.

Wittmann geeft op haar beurt aan de data enkel te zullen gebruiken voor wetenschappelijk onderzoek. Na een eerste analyse van de data laat ze in elk geval weten dat licentiehouders in Duitsland tussen de 70% en 90% van hun omzet halen uit 10% van de spelers. Deze groep geeft maandelijks € 250 of meer uit aan online gokken.

De datalek heeft alleen licentiehouders in Duitsland getroffen en geldt niet voor online casino’s zonder Cruks licentie die hun websites internationaal aanbieden.