Während 18 Monaten waren Kreditkarten-Abrechnungen von «zehntausenden KMU-Kunden von Viseca» frei im Internet zugänglich und für alle einsehbar. Das berichtet die «Republik».

Die offen verfügbaren Abrechnungen enthielten Firmenadresse, Kartenkontonummer, Namen aller Karteninhaber, Kartenlimite und den Namen der Bank des Unternehmens. Ebenfalls erkennbar gewesen seien teilweise konkrete Transaktionen, heisst es im Bericht weiter.

Viseca ist verwaltet unter anderem die Kreditkarten aller Kantonalbanken, der Raiffeisen-Gruppe oder der Bank Cler.

Entdeckt wurde der Breach vom Sicherheitsdienstleister Pentagrid, der in einem Blogpost detailliert beschreibt, wie er an die Daten gelangt ist.

Demnach stiessen die Sicherheitsexperten zufällig auf die Lücke, als sie nach einem digitalen Spesenabrechnungstool suchten. Um ein entsprechendes Tool von Viseca auszuprobieren, stellten sie beim Login fest, dass «die Zweifaktor-Authentifizierung aus der Eingabe der letzten 4 Ziffern der Telefonnummer bestand».

Die Spezialisten wurden misstrauisch und fanden heraus, dass durch das Verändern einer Zahl in der Webadresse Kreditkarten-Abrechnungen von Dritten einsehbar waren.

Dies gelang den Experten zufolge auch dann, wenn man nicht im Testkonto des Viseca-Tools eingeloggt war.

Im Rahmen des «Coordinated Disclosure-Prozesses» informierte Pentagrid Viseca am 11. November 2022 über die Schwachstelle. Knapp eine Woche später teilte Viseca mit, dass Gegenmassnahmen geplant seien: «Entfernen des Demokontos, Beheben der Schwachstellen und Prüfung, weshalb interne Sicherheitsüberprüfungen die Schwachstelle nicht früher entdeckt haben.»

Seit dem 25. November 2022 ist das Problem laut Viseca behoben.

Die «Republik» zitiert Viseca-Sprecher Nicolas Kucera: Es gebe keine Hinweise, dass die Sicherheitslücke von Cyberkriminellen ausgenützt wurde. Auch im Darkweb gibt es keine Spur von angebotenen Datensätzen von Viseca-Kundinnen und -Kunden.

Wir haben bei Raiffeisen, Bank Cler und drei zufällig ausgewählten Kantonalbanken nachgefragt, ob ihre Firmenkunden betroffen waren und ob diese proaktiv informiert wurden.