Portugal: App legt Daten von 1 Million Bürgern offen

Der portugiesische Wasserversorger EPAL hat mit einer nachlässig programmierten App eine Datenbank mit sensiblen Informationen von rund einer Million Kunden zugänglich gemacht. Dazu gehörten Personalausweis- und Steuernummern, Zahlungsmodalitäten und Kontaktdaten.

Darauf stießen zufällig die Business-App-Entwickler von Rabbit Mobile, die über Büros in Frankfurt und der portugiesischen Hauptstadt Lissabon verfügen. Der in Lissabon ansässige Entwicklungschef João Santos war als Kunde des Versorgungsunternehmens EPAL auch Nutzer der App „MyAqua“, mit der sich etwa Rechnungen einsehen, Zahlungsmodalitäten ändern oder Störungen in der Wasserversorgung melden lassen. Das setzte eine Schnittstelle zu einer Datenbank voraus, was Santos aus seiner beruflichen Erfahrung heraus skeptisch werden ließ.

Mit einem üblichen Entwicklertool für Sicherheitstests simulierte er daher die API-Anfrage der App an den Server – mit erschreckendem Ergebnis. Mit nur wenigen Minuten Aufwand sah er, dass er mit seiner Kundennummer oder einer zufälligen EPAL-Kundennummer an die Kundenkartei dahinter kam. Für jede denkbare Kundennummer konnte er so unter anderem Telefonnummern, E-Mail-Adressen, Wasserverbrauch, Personalausweis- und Steuernummern, Zahlungsmodalitäten sowie Rechnungs- und Verbrauchsadressen einsehen. Damit standen die Daten von einer Million Wasserkunden und zusätzlich die Daten von 14 weiteren Versorgungsfirmen offen. Die Daten wurden ohne jegliche Authentifizierung abgerufen sowie unverschlüsselt übertragen.

João Santos versuchte EPAL auf die offene Tür zur Datenbank hinzuweisen, erhielt jedoch keine Antwort auf seine E-Mail. Anschließend wandte er sich an die portugiesische Datenschutzbehörde CNPD, die seine Meldung gleichermaßen ignorierte, obwohl EPAL klar gegen die eigenen Datenschutzbestimmungen verstieß. Santos musste daher weiter eskalieren und informierte die Zeitschrift „Exame Informática“, die EPAL vor einer Veröffentlichung ebenfalls vergeblich anzusprechen versuchte. Erst als am 5. September ein Artikel zum Thema veröffentlicht wurde, stellte das Versorgungsunternehmen die unsichere API unvermittelt offline.

Wie Santos vermutet, entstand der Fehler durch den unsauberen Umstieg von einer wenig gesicherten Entwicklungsversion zur Live-Version. „Es mag ein wenig wie Schludrigkeit erscheinen“, kommentiert Rabbit-Mobile-CEO Tim Wiengarten in einem Blogeintrag auf Medium. „Doch die Sicherheitsrisiken, die sich mit einem solchen Lapsus ergeben, sind immens: Über die Kontaktmöglichkeiten per E-Mail, Post und Telefon, und die weiteren, offengelegten Daten könnte sich zum Beispiel jeder auch nur halbwegs überzeugende Mensch als EPAL-Mitarbeiter vorstellen, damit Vertrauen erwecken und das Opfer zu Geldzahlungen nötigen, Zutritt zur Wohnung erlangen, und so weiter.“

Zudem wäre möglich gewesen, Identitäten zu fälschen und dem Versorger selbst nicht existente Kunden vorzutäuschen. Dennoch schien die EPAL noch immer nicht besonders alarmiert zu sein und erklärte, bislang keine Hinweise auf Probleme mit der App erhalten zu haben. „Wollen wir es für die eine Million Kunden hoffen, dass das stimmt“, so Wiengarten weiter. „Und hoffen wir ebenfalls, dass die EPAL sich vielleicht doch noch entschließt, dieses Sicherheitsleck ernst zu nehmen und zu fixen.“

Tipp: Wie gut kennen Sie sich mit Mobile Apps aus? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Whitepaper

CAD-Daten optimal verwalten: ECM-Lösungen vereinfachen Planmanagement

Wie ECM-Systeme CAD-Prozesse verbessern können, was eine gute ECM-Lösung beim Planmanagement auszeichnet und warum sich nscale CAD als spezialisierte Lösung für das Planmanagement anbietet, erklärt dieses Whitepaper.

Bernd Kling

Recent Posts

Alternative zu Maps: Huawei will TomTom nutzen

Wegen der US-Sanktionen darf Huawei keine Google-Dienste wie Maps nutzen. Als Alternative ist nun Kartenmaterial von TomTom im Gespräch.

6 Stunden ago

macOS: aptX für besseren Klang aktivieren

Standardmäßig ist der Bluetooth-Audio-Codec aptX in macOS nicht aktiv. Allerdings lässt er sich einschalten, sodass Anwender mit einem aptX-kompatiblen Gerät…

6 Stunden ago

WeLeakInfo: FBI beschlagnahmt Website für Verkauf gestohlener Daten

An den Ermittlungen sind auch Behörden aus Deutschland, den Niederlanden und Großbritannien beteiligt. WeLeakInfo ist eine kostenpflichtige Suchmaschine für Anmeldedaten.…

8 Stunden ago

EU erwägt Verbot von Gesichtserkennung an öffentlichen Plätzen

Es soll über einen Zeitraum von bis zu fünf Jahren gelten. Bis dahin will die EU Richtlinien für den Gebrauch…

10 Stunden ago

Samsung ernennt neuen Chef der Mobilsparte

Roh Tae-Moon löst DJ Koh ab. Koh bleibt jedoch CEO des Geschäftsbereichs IT & Mobile Communication. Roh war zuletzt für…

12 Stunden ago

FireEye: Hacker sichert sich exklusiven Zugang zu anfälligen Citrix-Produkten

Seine Malware löscht jegliche andere Schadsoftware auf Citrix-Geräten. Sie verhindert auch weitere Angriffe von Dritten. Die Motive des Hackers sind…

14 Stunden ago