Schweizer Kreditkartendaten lagen offen im Netz

Gröberes Leck bei Viseca: Kreditkarten-Abrechnungen und Abbuchungen von Schweizer Unternehmen waren einsehbar.

20.03.2023
image
Symbolbild: Clay Banks on Unsplash von: on Unsplash
Während 18 Monaten waren Kreditkarten-Abrechnungen von «zehntausenden KMU-Kunden von Viseca» frei im Internet zugänglich und für alle einsehbar. Das berichtet die «Republik».
Die offen verfügbaren Abrechnungen enthielten Firmenadresse, Kartenkontonummer, Namen aller Karteninhaber, Kartenlimite und den Namen der Bank des Unternehmens. Ebenfalls erkennbar gewesen seien teilweise konkrete Transaktionen, heisst es im Bericht weiter.
Viseca ist verwaltet unter anderem die Kreditkarten aller Kantonalbanken, der Raiffeisen-Gruppe oder der Bank Cler.
Entdeckt wurde der Breach vom Sicherheitsdienstleister Pentagrid, der in einem Blogpost detailliert beschreibt, wie er an die Daten gelangt ist.

Einstieg per Telefonnummer

Demnach stiessen die Sicherheitsexperten zufällig auf die Lücke, als sie nach einem digitalen Spesenabrechnungstool suchten. Um ein entsprechendes Tool von Viseca auszuprobieren, stellten sie beim Login fest, dass «die Zweifaktor-Authentifizierung aus der Eingabe der letzten 4 Ziffern der Telefonnummer bestand».
Die Spezialisten wurden misstrauisch und fanden heraus, dass durch das Verändern einer Zahl in der Webadresse Kreditkarten-Abrechnungen von Dritten einsehbar waren.
Dies gelang den Experten zufolge auch dann, wenn man nicht im Testkonto des Viseca-Tools eingeloggt war.

Kaum unbefugter Datenzugriff

Im Rahmen des «Coordinated Disclosure-Prozesses» informierte Pentagrid Viseca am 11. November 2022 über die Schwachstelle. Knapp eine Woche später teilte Viseca mit, dass Gegenmassnahmen geplant seien: «Entfernen des Demokontos, Beheben der Schwachstellen und Prüfung, weshalb interne Sicherheitsüberprüfungen die Schwachstelle nicht früher entdeckt haben.»
Seit dem 25. November 2022 ist das Problem laut Viseca behoben.
Die «Republik» zitiert Viseca-Sprecher Nicolas Kucera: Es gebe keine Hinweise, dass die Sicherheitslücke von Cyberkriminellen ausgenützt wurde. Auch im Darkweb gibt es keine Spur von angebotenen Datensätzen von Viseca-Kundinnen und -Kunden.
Wir haben bei Raiffeisen, Bank Cler und drei zufällig ausgewählten Kantonalbanken nachgefragt, ob ihre Firmenkunden betroffen waren und ob diese proaktiv informiert wurden.
Update folgt.
  • Dieser Beitrag erschien zuerst auf unserer Partner-Plattform «Inside-IT» unter dem Titel «Security-Flop bei Viseca machte Kreditkartendaten einsehbar».

  • handel
  • e-commerce
Artikel teilen

Loading

Comment

Home Delivery
1 x pro Woche. Abonnieren Sie unseren Newsletter.

oder

Auch interessant

image

Loeb: Stabiler Umsatz – und ein Restaurant aufs Dach

Die Berner Warenhausgruppe konnte 2023 den Umsatz halten. Das Betriebsergebnis bezeichnet Loeb als «erfreulich».

image

Eigenmarken bei Decathlon: Da waren's nur noch neun

Der Sportartikelhändler streicht erneut Hausmarken aus dem Sortiment. Dabei geht der Trend in ganz Europa genau in die andere Richtung.

image

Von wegen Schuhkrise: Deichmann und Dosenbach läuft

Der grösste Schuhhändler der Schweiz – und Europas – erzielte 2023 ein Umsatzplus von sieben Prozent.

image

Lidl Schweiz meldet 1 Million App-Nutzer

Jährlich will der Discounter acht bis zehn weitere Filialen eröffnen – mit einen Fokus in grösseren Städten.

image

Stefan Fraude wird CEO der Competec-Gruppe

Erst vor ein paar Tagen gab MediaMarkt den Abgang seines CEO bekannt. Nun ist klar, wo Stefan Fraude seine «neue Herausforderung» annimmt: beim Brack-Mutterhaus aus Mägenwil.

image

Frankreich: Historisches Gesetz gegen Fast Fashion

Asiatische Online-Importkleidung wird im Nachbarland mit einer Umweltsteuer und einem Werbeverbot belegt.