Kreditkartenfirma der Schweizer Banken von IT-Schwachstelle betroffen

Das Hauptquartier des betroffenen Finanzdienstleisters in Zürich.screenshot: viseca-payment.ch

Zehntausende Schweizer Kreditkarten-Abrechnungen im Internet abrufbar

Zwischen Juni 2021 und November 2022 waren Monatsabrechnungen von Zehntausenden Geschäfts­kunden wegen einer Sicherheitslücke über das Internet zugänglich. Der Schaden ist laut Viseca minim.

Zehntausende Schweizer Kreditkarten-Abrechnungen waren längere Zeit offen im Internet zugänglich, wie das Online-Magazin Republik am Montag enthüllte.

Gemäss Recherche stiess die Schweizer IT-Sicherheitsfirma Pentagrid bei der Kreditkartenfirma Viseca zufällig auf eine entsprechende Server-Schwachstelle. Diese Schwachstelle ermöglichte es, durch einfaches Ändern einer Internetadresse (URL) auf die fremden Daten zuzugreifen.

«Jede Internet­nutzerin konnte ‹von aussen› dank Kenntnis der URL auf Daten zugreifen und brauchte weder technische Kenntnisse noch ein Log-in.»

Potenziell betroffen: Zehntausende kleine und mittlere Unternehmen (KMU), die bei Viseca eine Mastercard- oder Visa-Kreditkarte haben und über ihre Bank abrechnen.

Die Republik schreibt:

«Die gefundenen Informationen waren höchst vertraulich. Aus den Abrechnungen liess sich herauslesen, welche Unternehmen wann wo was einkauften oder in welcher Cloud sie ihre Daten speicherten. Hätte jemand die Daten massenhaft aus dem Internet herunter­geladen, wären einige der Geschäfts­beziehungen der Firmen vollständig rekonstruierbar gewesen.»

Im Besitz der Banken

Viseca ist im Besitz der grössten Schweizer Kantonal- und Retailbanken. Dazu gehören alle Kantonalbanken, die Raiffeisen-Gruppe, Entris Banking, Migros Bank, Bank Cler, Regionalbanken sowie Privat- und Handelsbanken.

Auf Anfrage von watson bestätigte Viseca-Sprecher Nicolas Kucera, dass während 17 Monaten eine entsprechende IT-Schwachstelle bestanden habe. Man habe aber «keinerlei Hinweise auf missbräuchliche Zugriffe» gefunden – weder in den Server-Log-Dateien noch durch Darknet-Monitoring.

Die Schwachstelle sei im November 2022 innert einer Woche (nach Meldung durch Pentagrid) geschlossen worden.

Das Fazit der Republik:

«Viseca ist mit einem blauen Auge davon­gekommen. Zum einen, weil die Sicherheits­lücke offenbar nicht ausgenutzt worden ist. Zum anderen, weil sich für den Fall keine Behörde zuständig fühlt und deshalb auch keine Sanktionen drohen.»

Was einige Kundinnen und Kunden irritieren dürfte: Die meisten erfahren vom Sicherheitsvorfall erst durch die Berichterstattung: Viseca und die Banken hatten darauf verzichtet, alle potenziell Betroffenen eigenhändig zu informieren.

Quellen

• republik.ch: Zehntausende Schweizer Kreditkarten-Abrechnungen offen zugänglich im Internet
• pentagrid.ch: Credit card statement disclosure vulnerability in Viseca's eXpense portal

(dsc)