Schweizer IT-Sicherheitsexperten haben eine gefährliche Schwachstelle im Online-Reservationssystem «forAtable» entdeckt. Die Webapp dient der Erfassung von Kontaktdaten von Veranstaltungs- und Restaurantgästen, um mögliche Covid-19-Infektionsketten nachverfolgen zu können. Durch die Ausnutzung dieser Schwachstelle sei es möglich gewesen, sämtliche über die Gäste erfassten Daten auszulesen.
Die von der IT-Sicherheitsfirma Modzero aufgedeckte Schwachstelle sei die erste dieser Art, betont das betroffene Unternehmen Lunchgate in einer Stellungnahme.
Die Schwachstelle in der Web-Applikation hätte zu gravierenden Datendiebstählen führen können. Hätte.
Da es sich bei den Entdeckern um verantwortungsbewusste Fachleute der Schweizer IT-Sicherheitsfirma Modzero handelt, meldeten sie das Problem der betroffenen Firma und gaben ihr Zeit, die Sicherheitslücke zu schliessen. Am Dienstag nun berichteten die White-Hat-Hacker im Firmen-Blog über ihr Vorgehen und informierten die Medien.
Die IT-Sicherheitsexperten mahnen:
Weil die Daten länger als die gesetzlich vorgeschriebenen 14 Tage gespeichert worden seien, hätte dies Kriminellen sogenannte Social-Engineering-Attacken erleichtert, bei denen Opfer dank persönlicher Informationen getäuscht werden.
Lunchgate dementiert in seiner Stellungnahme gegenüber watson, dass Kundendaten zu lang gespeichert wurden (siehe unten).
Gemäss Angaben auf der Firmen-Website zählt Lunchgate über 800 Unternehmen aus der Deutschschweizer Gastronomiebranche zu seinen Kunden.
Lunchgate betreibe seit 2009 das Online-Reservationssystem foratable.com, worüber bisher zehn Millionen Plätze reserviert wurden, berichtete der «Blick» Ende April.
Die betroffene Firma Lunchgate hat watson nun eine ausführliche Stellungnahme zukommen lassen. Darin heisst es:
Bisher werde der Dienst von rund 900 Betrieben kostenlos genutzt. Rund 200’000 Gästedaten seien erfasst und davon 120’000 Gästedaten bereits wieder gelöscht worden.
Die IT-Sicherheitsexperten von Modzero erklären, es handle sich um eine sogenannte IDOR-Schwachstelle, das Kürzel steht für «Insecure Direct Object Reference». Das sei eine unsichere direkte Zugriffsmöglichkeit auf einen Datensatz – in diesem Fall war es über eine Internetadresse (URL).
Durch einfaches Verändern der Zahlen in der URL war es den Angreifern möglich, fremde Datensätze abzugreifen. So kamen sie an die persönlichen Angaben von Restaurantbesuchern, inklusive Name, Vorname und Handynummer.
Lunchgate schreibt in seiner Stellungnahme, um die Schwachstellen auszunutzen, sei es erforderlich gewesen, «dass man sich entweder als Gast erfolgreich an einem Tisch registriert hat oder als Restaurant über ein Konto verfügt.»
Die Schwachstellen betrafen:
Hingegen widerspricht das Unternehmen, was die von den IT-Sicherheitsexperten geäusserten «Zweifel am Löschmechanismus» (für die Kundendaten) betrifft. Dies sei keine Schwachstelle, sondern funktioniere, «wie vorgesehen».
Lunchgate versichert:
Die Erfassung der Gästedaten sei vor allem unter dem Gesichtspunkt des Datenschutzes immer wieder kontrovers in den Medien behandelt worden, so Lunchgate.
Man habe damit rechnen müssen, dass «diverse Hacker und Sicherheitsspezialisten den Service auf die Probe stellen würden», und habe «einen entsprechenden Eskalationsprozess definiert», um eine potentielle Schwachstelle in einem solchen Fall schnellstmöglich beheben zu können.
Konkret habe man im direkten Kontakt mit Modzero sofort reagiert und «sowohl kritische wie auch potentielle Schwachstellen besprochen, analysiert und behoben».
Die Nutzerinnen und Nutzer des Online-Reservationssystems «forAtable» müssen nichts unternehmen. Gemäss Darstellung des Anbieters sind keine Datendiebstähle bekannt. Lunchgate hat die am 3. Juli von den Sicherheitsexperten gemeldeten Schwachstelle bereits behoben (siehe oben).
Die IT-Sicherheitsexperten von Modzero rufen in ihrem Blog-Beitrag bei allen Gastronomiebetreibern in Erinnerung, dass es wichtig sei, die anfallenden Kundendaten regelmässig zu löschen. Abgesehen davon könnten Lokalbetreiber auch wieder zu Papier und Stift greifen, um die Besucherinnen und Besucher datenschutzkonform zu erfassen.
Abschliessend mahnen die IT-Sicherheitsexperten:
Aber so etwas kann man dann halt nicht gratis anbieten - leider...
Früher waren solche IDOR sogar teilweise von Google referenziert. Beispielsweise bei Axis Video Servern... da konnte man einfach den fixen Teil der URL googeln und hat dann abertausende Livekameras gefunden, von denen extrem viele kein Passwort hatten. Aber inzwischen müsste man ja dazugelernt haben... gerade wenn man Personendaten erfasst.