De vervoerde stuurde abonnees een inloglink per e-mail, maar door de link iets te veranderen kan relatief eenvoudig worden ingelogd als iemand anders.

Eenmaal binnen zijn persoonlijke gegevens als naam, adres, woonplaats in combinatie met bankrekeningnummer zichtbaar en wijzigbaar. Ook pasnummers en pincodes om een fiets uit de diverse kluizen te halen zijn terug te lezen.

Nadat de NS is gewezen op het privacylek, is het gat snel gedicht. Lees ook het uitgebreide artikel.