Soms vraag je je af of alles echt zo open en kwetsbaar is. In april van dit jaar beleefde Ian Carroll zo’n moment. Hij zat thuis en twijfelde of hij wel naar het Electric Daisy Carnival in Las Vegas wilde gaan, dus besloot hij even snel te kijken hoe de kaartverkoop voor dat evenement in zijn werk ging. Een systeem dat veel mensen helpt, bood hem een open deur om doorheen te glippen.
Carroll is geen slecht mens. Hij beheert de vluchtzoekmachine Seats.aero en doet ook zelf onderzoek naar beveiliging. Dit soort mensen staat in de wereld van cyberbeveiliging bekend als ‘white-hat hackers’. Ze zoeken naar gaten in systemen en melden die op de juiste manier, maar verwachten daar niets voor terug. Maar Carroll ontdekte bij Front Gate Tickets iets wat je niet vaak tegenkomt. Veel van de grote muziekfestivals in de VS gebruiken Front Gate voor de kaartverkoop, van Lollapalooza tot South by Southwest. Zoals Carroll het zelf omschrijft, is het een soort Ticketmaster voor festivals.
| Categorie | Details |
|---|---|
| Persoon | Ian Carroll |
| Beroep | Beveiligingsonderzoeker / Ondernemer |
| Bedrijf | Seats.aero (oprichter) |
| Ontdekking | SQL-injectiefout in Front Gate Tickets API |
| Gebruikte AI | Claude Opus 4.7 (Anthropic) |
| Datum ontdekking | April 2026 |
| Gemeld aan | Front Gate Tickets – 25 april 2026 |
| Kwetsbaarheid gedicht | Binnen 24 uur na melding |
| Getroffen platform | Front Gate Tickets (dochter van Live Nation) |
| Betrokken festivals | Lollapalooza, Bonnaroo, SXSW, Austin City Limits, EDC en meer |
Er was één bedrijf dat bijna volledige controle had over het systeem, en er zat een fout in waardoor iedereen er toegang toe kon krijgen. De zaak is niet alleen interessant vanwege de omvang van de kwetsbaarheid. Dit is hoe Carroll erachter kwam. Het meest recente taalmodel van Anthropic, Claude Opus 4.7, gebruikte hij als een soort technische sparringpartner. In eerste instantie werd hij tegengehouden door de webapplicatie-firewall van Front Gate. Toen dacht hij: „Laat ik de AI erbij halen.“ Na de situatie te hebben onderzocht, stelde Claude een manier voor om een kwaadaardige SQL-query te verbergen in een geneste subquery, die de firewall niet als een bedreiging zag. De buitenste laag zag er onschuldig uit. Het werk werd gedaan door de kern.
Het resultaat was zo eenvoudig dat het bijna schokkend was. Carroll gebruikte zijn vaardigheden om toegang te krijgen tot een database met meer dan 500 tabellen. Tokens die werden gebruikt om wachtwoorden van medewerkers te resetten, werden openbaar gemaakt. Met die tokens kon hij beheerder worden. Vervolgens kon hij die gebruiken om tickets te maken voor elk evenement op het platform, inclusief platina-pakketten ter waarde van 4.000 dollar, backstage-passen en uitverkochte shows. Met slechts één druk op de knop. Achteraf zei hij in een interview: „Ik kon zonder problemen naar elk festival gaan.“ „Zelfs als het uitverkocht was.“
Hij was het niet. Dat is misschien wel het meest interessante aan dit verhaal. Carroll heeft geen enkel ticket aangemaakt of iets geruild. Hij keek alleen naar het absolute minimum om de kwetsbaarheid te bevestigen. Op 25 april vertelde hij Front Gate wat hij had ontdekt. Binnen vierentwintig uur had het bedrijf het lek gedicht. Eigenlijk was dat een behoorlijk snelle reactie voor een systeem van deze omvang. Maar ik vraag me af hoe lang de deur al openstond voordat Carroll erop stuitte.
Na afloop van het evenement zei Front Gate dat hun eigen controles, zoals audits voorafgaand aan het evenement en RFID-polsbandjes die niet digitaal kunnen worden vervalst, waarschijnlijk zelfs frauduleus aangemaakte tickets zouden hebben opgespoord. Misschien. Maar Carroll wist superbeheerder te worden zonder dat iemand binnen het bedrijf daar iets van merkte. Hoeveel beveiligingslagen er achteraf ook zijn toegevoegd, dat blijft een feit.
Het is moeilijk om Carrolls bredere punt te negeren. Dit verhaal gaat over meer dan slechts één zwakke plek bij één bedrijf. Het laat zien hoe gemakkelijk het tegenwoordig is om dit soort onderzoek te doen. Carroll denkt dat het mogelijk is dat Claude de kwetsbaarheid zelf had kunnen ontdekken, zonder zijn hulp. Afhankelijk van wie je het vraagt, kan dat een geruststelling of juist een zorg zijn. Dit is een wake-upcall voor mensen die in de beveiliging werken. Dit is een handleiding die kwaadwillenden niet eens zelf hoefden te schrijven.
Carroll zegt dat de systemen die de kaartverkoop voor Bonnaroo, SXSW en vele andere festivals afhandelden, jarenlang „met ducttape en gebeden bij elkaar werden gehouden“. Dat is een verontrustende gedachte. Er was sprake van een niet-geauthenticeerde SQL-injectie in een API die door scanners bij de ingangen van festivals wordt gebruikt, ook al waren de websites professioneel, hadden ze grote namen en verdienden ze miljoenen euro’s. Er is een verschil waarvan je liever niet op de hoogte was geweest, maar je kunt er nu niet meer omheen.
Carroll was een goede onderzoeker en deed wat je van hem zou verwachten. Er zijn mensen die dat niet zouden doen, en de vraag is of die mensen over dezelfde tools beschikken.
