Datenleak: Kundendaten von Gearbest öffentlich im Internet

Was bestellen Gearbest-Kunden und wohin lassen sie die Produkte liefern? Ein Sicherheitsforscher konnte auf mehrere, ungeschützte Datenbanken des Onlinehändlers zugreifen. Auf eine Meldung reagierte Gearbest bisher nicht.

Artikel veröffentlicht am ,
Massives Datenleak bei Gearbest
Massives Datenleak bei Gearbest (Bild: Twitter Trends 2019/CC-BY 2.0)

Die Kundendaten des chinesischen Onlinehändlers Gearbest konnten von dem Sicherheitsforscher Noam Rotem ungeschützt über das Internet abgerufen werden. Der Forscher konnte auf die Bestellungen, die Zahlungsdaten sowie die Kundendaten zugreifen. Gearbest ist unter den Top 250 der meistbesuchten Webseiten und liefert weltweit. Neben einer deutschsprachigen Variante ist der Onlineshop in 17 weiteren Sprachen verfügbar. Die Firma betreibt Warendepots in Europa und vertreibt bekannte Marken wie Asus, Huawei, Intel und Lenovo. Zuerst hatte Techcrunch berichtet.

Stellenmarkt
  1. Konzernexperte (w/m/d) Data Backbone Trading
    EnBW Energie Baden-Württemberg AG, Karlsruhe
  2. Abteilungsleiter Softwareentwicklung (m/w/d)
    ESPERA-Werke GmbH, Duisburg
Detailsuche

Rotem konnte drei Datenbanken über einen offen zugänglichen Elasticsearch-Server durchsuchen. In der Kundendatenbank waren unter anderem Name, Adresse, Geburtsdatum, Nationalität, Telefonnummer, IP-Adresse und das Kennwort gespeichert. Neben den Bestandsdaten der Kunden konnte in einer anderen Datenbank die Bestellhistorie der Kunden eingesehen werden. In einer dritten Datenbank hat Gearbest die Zahlungsdaten der Kunden gespeichert. In ihr fanden sich die Zahlungsinformationen, die IP-Adresse sowie Bestellnummer, Name und E-Mail-Adresse. Jede Woche seien mehrere Millionen Einträge geleakt worden, schreibt Techcrunch.

Gearbest reagiert nicht

Unter derselben IP-Adresse wie die Datenbanken fand der Sicherheitsforscher auch eine Weboberfläche, über die sich die Datenbanken des Mutterkonzerns Globalgrow nicht nur lesen, sondern auch verändern ließen. Entdeckt hatte Rotem die Datenbanken am 7. März, seit wann die sie ungeschützt über das Internet abgerufen werden können, ist unklar.

Gearbest hat eine eigene Webseite, auf der Sicherheitsvorfälle gemeldet werden können, und betreibt ein Bounty-Programm. Über diese Seite hatte Techcrunch das Security-Team des Onlinehändlers kontaktiert; dieses habe jedoch weder geantwortet noch die Daten abgesichert, schreibt Techcrunch.

Golem Akademie
  1. Elastic Stack Fundamentals - Elasticsearch, Logstash, Kibana, Beats
    26.-28. Oktober 2021, online
  2. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, Online
  3. Linux-Systeme absichern und härten
    8.-10. November 2021, online
Weitere IT-Trainings

Immer wieder können persönliche Nutzerdaten ungeschützt im Internet abgerufen werden. Erst kürzlich entdeckte ein Sicherheitsforscher eine Datenbank, in der die mittels Gesichtserkennung erfassten Aufenthaltsorte von 2,5 Millionen Menschen in China öffentlich einsehbar waren.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anonymer Nutzer 16. Mär 2019

genau, die hölle ist dort schon realität, was dagegen unternehmen, och nö, träumen wir...

Hotohori 15. Mär 2019

Uff, na das trägt doch sehr zum Glauben an die Internetsicherheit bei. XD

egal 15. Mär 2019

Vieleicht sollte man in Zukunft zum bedingslosen Grundeinkommen auch bedingungslos offene...



Aktuell auf der Startseite von Golem.de
Amazon, Gorillas & Co.
Was darf die Gig Economy?

Kündigungen per Bot, GPS-Tracking und mehr: Onlineplattformen machen nicht nur in den USA mit Hire-and-Fire-Praktiken Schlagzeilen. Auch das deutsche Arbeitsrecht schützt nicht überall.
Von Harald Büring

Amazon, Gorillas & Co.: Was darf die Gig Economy?
Artikel
  1. 25 Jahre Independence Day: Ein riesiges Raumschiff und ein riesiger Erfolg
    25 Jahre Independence Day
    Ein riesiges Raumschiff und ein riesiger Erfolg

    "Willkommen auf der Erde!" Roland Emmerichs Independence Day ist ein Klassiker des Action-Kinos und enthält einen der besten Momente der Kinogeschichte.
    Von Peter Osteried

  2. Gaming: Galaktisch viel Star Wars im Anflug
    Gaming
    Galaktisch viel Star Wars im Anflug

    Quantic Dream (Detroit) arbeitet wohl an Star Wars. Es befinden sich noch mehr Sternenkrieger-Games in der Mache - eines kommt diese Woche.

  3. Apple: iPhone 13 bereits mit Wartezeit
    Apple
    iPhone 13 bereits mit Wartezeit

    Das neue iPhone 13 kann bestellt werden - die Lieferzeiten liegen aber teilweise bereits bei Ende Oktober. Besser ist die Situation in den Apple Stores.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Neuer MM-Prospekt (u. a. Asus Gaming-Notebook 17" RTX 3050 1.099€) • Samsung 970 Evo Plus 1TB 99€ • Saturn Hits 2021 (u. a. Philips 55" OLED 120Hz 1.849€) • Corsair RGB 16GB Kit 3600MHz 87,90€ • Dualsense Midnight Black + Deathloop 99,99€ • Alternate (u. a. Enermax CPU-Kühler 36,99€) [Werbung]
    •  /