Categories: Sicherheit

Fitness mit Tücken

Eine ungesicherte Datenbank mit über 61 Millionen Datensätzen im Zusammenhang mit Wearable-Technologie und Fitness-Diensten wurde online offengelegt. Am Montag stellte WebsitePlanet zusammen mit dem Cybersecurity-Forscher Jeremiah Fowler fest, dass die Datenbank GetHealth gehörte.

Das in New York ansässige Unternehmen GetHealth beschreibt sich selbst als „einheitliche Lösung für den Zugriff auf Gesundheits- und Wellness-Daten von Hunderten von Wearables, medizinischen Geräten und Apps“. Die Plattform des Unternehmens ist in der Lage, gesundheitsbezogene Daten aus Quellen wie Fitbit, Misfit Wearables, Microsoft Band, Strava und Google Fit abzurufen.

Am 30. Juni 2021 entdeckte das Team online eine Datenbank, die nicht passwortgeschützt war. Die Forscher gaben an, dass über 61 Millionen Datensätze in dem Datenspeicher enthalten waren, darunter große Mengen an Benutzerinformationen – von denen einige als sensibel angesehen werden könnten – wie Namen, Geburtsdaten, Gewicht, Größe, Geschlecht und GPS-Protokolle, neben anderen Datensätzen.

Bei einer Stichprobe von etwa 20.000 Datensätzen zur Überprüfung der Daten stellte das Team fest, dass die meisten Datenquellen von Fitbit und Apples HealthKit stammten.

„Diese Informationen waren im Klartext, während es eine ID gab, die scheinbar verschlüsselt war“, so die Forscher. „Der Geostandort war in „Amerika/New_York“ und „Europa/Dublin“ strukturiert und verriet, dass sich die Nutzer überall auf der Welt befanden. Die Dateien zeigen auch, wo die Daten gespeichert werden und wie das Netzwerk im Hintergrund arbeitet und konfiguriert wurde“, so das Team weiter.

Verweise auf GetHealth in der 16,71 GB großen Datenbank wiesen auf das Unternehmen als potenziellen Eigentümer hin, und nachdem die Daten am Tag der Entdeckung validiert worden waren, informierte Fowler das Unternehmen privat über seine Erkenntnisse. GetHealth reagierte schnell und das System wurde innerhalb weniger Stunden gesichert. Noch am selben Tag meldete sich der CTO des Unternehmens und teilte mit, dass das Sicherheitsproblem nun behoben sei.

„Es ist unklar, wie lange diese Datensätze offen lagen oder wer sonst noch Zugriff auf den Datensatz hatte“, so WebsitePlanet. „Wir unterstellen GetHealth, seinen Kunden oder Partnern kein Fehlverhalten. Wir unterstellen auch nicht, dass irgendwelche Kunden- oder Nutzerdaten in Gefahr waren. Wir waren nicht in der Lage, die genaue Anzahl der betroffenen Personen zu bestimmen, bevor die Datenbank für den öffentlichen Zugang gesperrt wurde.“

Jakob Jung

Recent Posts

Durchgesickerte Daten: Twitch dementiert Verlust von Passwörtern

Die Angreifer haben offenbar keinen Zugriff auf die Systeme zur Speicherung von Anmeldedaten. Laut Twitch…

8 Stunden ago

Botnet MyKings nimmt mit Kryptomining fast 25 Millionen Dollar ein

Avast findet die Malware seit Anfang 2020 auf 144.000 Computern. MyKings nutzt die Rechenleistung von…

9 Stunden ago

So wehren Formel-1-Teams Cyberangriffe ab

Die Formel 1 ist ein hochkarätiger Hightech-Sport, der die Aufmerksamkeit von Cyber-Kriminellen und Hackern auf…

14 Stunden ago

Ransomware macht 5,2 Milliarden Dollar an Bitcoin-Transaktionen aus

Das US-Finanzministerium meldet, dass 5,2 Milliarden Dollar an Bitcoin-Transaktionen (BTC) im Zusammenhang mit den 10…

14 Stunden ago

GandCrab ist häufigste Ransomware

Die GandCrab Ransomware war 2020 die am häufigsten eingesetzte Erpresser-Software, während sich 2021 eher Babuk…

5 Tagen ago

Geld weg statt Liebe: iPhone-Krypto-Betrug eskaliert auch in Europa

1,2 Millionen Euro-Beute in nur einem Wallet entdeckt. Cyberganster nehmen vermehrt europäische und amerikanische Nutzer…

5 Tagen ago