Het gaat onder meer om museum Boijmans van Beuningen in Rotterdam. Mensen die tussen 2017 en 2020 onlinetickets voor het museum hebben gekocht, zijn getroffen. Mensen die tussen maart 2018 en augustus 2020 een dagje naar pretpark Duinrell in Wassenaar zijn geweest, zijn ook de dupe, net als mensen die in de afgelopen jaren vogelpark Avifauna in Alphen aan den Rijn hebben bezocht. Eerder waarschuwden Diergaarde Blijdorp in Rotterdam, Apenheul in Apeldoorn en DierenPark Amersfoort hun bezoekers al.

Het datalek werd maandag naar buiten gebracht. Toen Ticketcounter afgelopen augustus een reservekopie maakte van zijn database, maakte iemand een „menselijke fout”. Daardoor kon ook een kwaadwillende bij de back-up. Dat werd ongeveer een week geleden ontdekt. Volgens Ticketcounter eist de cybercrimineel „een flink bedrag” in bitcoins als losgeld.

Op de database stonden de gegevens van 1,5 miljoen mensen die via Ticketcounter een kaartje hadden gekocht. Het gaat onder meer om hun namen, mailadressen, telefoonnummers, geboortedata en adresgegevens. Als mensen met iDEAL hebben betaald voor hun toegangskaartje, is ook hun bankrekeningnummer (IBAN) in verkeerde handen gevallen.

Persoonlijke gegevens van mensen zijn interessant voor criminelen. Zij kunnen zich bijvoorbeeld voordoen als een bank en mensen zo om de tuin leiden. Of zij kunnen zich juist voordoen als iemand anders en zo een instantie oplichten, bijvoorbeeld door op naam van een ander telefoonabonnementen af te sluiten. Op de zwarte markt online wordt veel gehandeld in zulke gegevens.

Het Rotterdamse bedrijf Ticketcounter heeft de getroffen klanten gemaild. Daarnaast is de Autoriteit Persoonsgegevens op de hoogte gebracht. Ticketcounter en de dierentuinen hebben op hun sites een zoekvenster gezet, waarin mensen hun e-mailadres kunnen doorgeven, zodat ze te zien krijgen welke gegevens van hen uitgelekt zijn.