Vergissing leidt tot 40.000 mailtjes aan studenten: “Ik schaam me kapot”

Een ‘onschuldige vraag’ van een studente voor haar Smart Solutions Semester zorgde maandag voor een emailstorm onder studenten. Via mailgroepen mailde de studente in totaal zo’n 2800 studenten. Een klassieke vergissing daarbij: de groepen stonden niet in de ‘bcc’, maar in de ‘aan’. Dat leidde weer tot een tiental vooral geïrriteerde reacties, die ook weer naar 2800 studenten gingen. In totaal gingen er daardoor zo’n 40.000 mails uit.

De studente in kwestie reageert berouwvol. “Ik vond het zo verschrikkelijk maandag”, zegt ze. Ze zegt nog van te voren goed uitgezocht te hebben of ze de enquête waar het om ging wel via groepen had mogen versturen. “Dat ik het in de BCC had moeten zetten, en niet in de ‘aan’, daar had ik geen kennis van.” Nu wel. “Ik schaamde me zo. Ik ging helemaal kapot. Mijn naam stond erboven, uiteindelijk ben ik al die studenten nu tot last.”

De mail was voornamelijk gericht aan studenten binnen ACT, zegt Wilbert Hepping, Corporate Information Security Officer op Saxion. Nadat er bij Saxion melding was gemaakt van de mail, is volgens hem actie ondernomen. Reageren op de mail was daardoor niet meer mogelijk; een grotere emailstorm werd daarmee voorkomen. Hepping noemt het aantal van 40.000 ‘fors’.

‘Hahaha, daar gaan we weer’
‘Hahaha, daar gaan we weer’, reageert een student in de mail, daarmee suggererend dat dit vaker voorkomt. Een ander: ‘Saxion, fix je mailgroepen eens’, daarmee mogelijk refererend aan een eerder geval in juli 2023. Toen richten twee studenten zich ook via groepen tot in totaal bijna 14.000 Saxion-mailadressen. Saxion deed destijds aangifte van een datalek bij de Autoriteit Persoonsgegevens.

In dit geval doet Saxion dat niet, laat woordvoerder Steffi Riethorst weten. Volgens haar is het incident onderzocht door de Saxion Privacy Officer en de Functionaris Gegevensbescherming op basis van de richtlijnen van de Autoriteit Persoonsgegevens (AP). “Daaruit is gebleken dat hier geen sprake is van een datalek.”

Een verschil tussen deze mail en het gevalletje in 2023 is ook de intentie, zegt Hepping. “Daar was sprake van een soort cryptogebeuren, dit was een enquête voor studie. In die zin is het een andere zaak.”

‘Saxion, fix je mailgroepen een keer, elk jaar hetzelfde’, was dus een van de reacties die op de mail kwam. Toch is dat nog niet zo eenvoudig, blijkt uit de antwoorden van Hepping. Volgens hem is in 2023 ook gekeken naar mogelijke oplossingen voor dit probleem en bleek toen dat het technisch moeilijk is dit te voorkomen zonder de mailfunctionaliteit voor gebruikers te ver in te perken.

“Je wil ook niet dat studenten helemaal niet meer naar groepen kunnen mailen. Of dat de oplossing zorgt voor nog meer problemen of meldingen. Wel gaan we nu opnieuw kijken of er mogelijkheden zijn om dit te voorkomen.”

Hepping zegt zich de irritatie onder studenten wel voor te kunnen stellen. “En het had natuurlijk ook om iets kwalijkers kunnen gaan, zoals phishing.”

Gesprekje
Hij hoopt dat de aandacht voor dit geval leidt tot bewustwording. “Dat kan geen kwaad.” Mogelijk dat de studente in kwestie nog een gesprek kan verwachten, al benadrukt Hepping dat Saxion uitgaat van een oprechte vergissing. “Ons onderzoek is afgerond, daarna gaat het naar de betreffende directie.”

Een kleine positieve noot is er nog wel voor de studente, hoewel ze ontzettend baalt. Als een boer met kiespijn, zegt ze: “Uiteindelijk hebben we wel voldoende resultaten binnengehaald.”