Datenleck: 21 Terabyte privater Chatverläufe öffentlich zugänglich

Bei Zapptales lassen sich Nachrichten aus Messengern als Fotobuch drucken - die Nachrichten der 69.000 Nutzer waren jedoch für alle einsehbar.

Artikel veröffentlicht am , Lennart Mühlenmeier
Messengernachrichten besser nicht weitergeben.
Messengernachrichten besser nicht weitergeben. (Bild: Christian Wiediger/Unsplash/Unsplash-Lizenz)

Das Kollektiv Zerforschung hat ein umfangreiches Datenleck beim Dienst Zapptales aufgedeckt, mit dem Fotobücher aus Chatnachrichten erstellt werden können. Im Quellcode der zugehörigen App hat das Kollektiv Zugangsdaten zur Amazon-Cloud von Zapptales entdeckt. Mit diesen konnten insgesamt 21 TByte privater und intimer Nachrichten abgerufen werden. Die Sicherheitslücke wurde mittlerweile geschlossen.

Stellenmarkt
  1. Operation Manager EMEA (m/w/d) Network Services
    Schweickert GmbH, Walldorf
  2. Chief Digital Officer/CDO (m/w/d)
    über BOLLMANN EXECUTIVES GMBH, Nürnberg (Home-Office)
Detailsuche

Zapptales wirbt damit, dass die Chats aus gängigen Messengern wie Whatsapp, Threema und Telegram leicht online als Buch gestaltet werden können. An ihre Chatverläufe kommen die Nutzer entweder durch die Exportfunktion des Messengers oder durch eine DSGVO-Anfrage. 100 Seiten eines Buchs sollen je nach Ausführung circa 30 Euro kosten. Dabei betonen die Betreiber, dass sie Sicherheitsstandards wie TLS-Verschlüsselung erfüllen.

Dieses Versprechen konnten die Entwickler laut Zerforschung zwar einhalten. Bei einer Untersuchung der App fiel dem Kollektiv aber eine Datei mit Umgebungsvariablen auf. In dieser Textdatei standen die Zugangstoken für die Anmeldung bei mehreren S3-Buckets des Hosters Amazon Web Services (AWS). Die Daten waren dort im Klartext enthalten, obwohl solche Zugangsdaten eigentlich nicht auslesbar in Anwendungen verbaut werden sollten. Zerforschung konnte diese Daten mit einfachen Mitteln finden.

Gefundene Zugangstoken zurückgerufen

Am 21. September meldete Zerforschung nach eigenen Angaben mit einem Bericht über die Sicherheitslücke den Datenschutzverstoß an das CERT-Bund beim Bundesamt für Sicherheit in der Informationstechnik und an die Bayrische Landesdatenschutzbehörde. Diese nahmen dann Kontakt zu Zapptales auf. Das Unternehmen reagierte einen Tag nach der Meldung und rief die Zugangs-Token zurück. Einen Tag später stellten sie eine aktualisierte Version der Software bereit, die die Lücke schloss. Laut des Kollektivs waren 69.000 Accounts aus über 60 Ländern im Datenleck auffindbar.

Golem Akademie
  1. Einführung in Unity: virtueller Ein-Tages-Workshop
    17. Februar 2022, Virtuell
  2. Linux-Shellprogrammierung: virtueller Vier-Tage-Workshop
    8.–11. März 2022, Virtuell
Weitere IT-Trainings

Das Kollektiv betont, dass zwar eine Transportverschlüsselung eingesetzt wird, diese Form der Sicherheit aber nicht ausreichend ist. So lagen die Daten bei AWS unverschlüsselt vor. Zudem waren die Chatverläufe zuvor bei den meisten Messengern mit der sicheren Ende-zu-Ende-Verschlüsselung geschützt. Durch den Export und das Hochladen bei Zapptales fällt dieser Schutz weg und die Intimsphäre der Nutzer ist gefährdet. Zerforschung hält dies schlicht für "unverantwortlich".

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


gunterkoenigsmann 14. Dez 2021 / Themenstart

Die Cousinen meiner Freundin kommen man hmal auf ein Bild alle 3 Minuten. Aber Text als...

davidcl0nel 14. Dez 2021 / Themenstart

In der Netflix-Serie "How to sell drugs online (fast)" wird genau so ein Buch gedruckt...

Xennor 14. Dez 2021 / Themenstart

Das "lustige" ist, dass es eine externe Agentur war die das verbrochen hat. Man müsste...

terraformer 14. Dez 2021 / Themenstart

Zugangstoken in der App klingt nach einem Fehler, der 2021 eigentlich nicht mehr...

Kommentieren



Aktuell auf der Startseite von Golem.de
Framework Laptop im Hardware-Test
Schrauber aller Länder, vereinigt euch!

Der modulare Framework Laptop ist ein wahrgewordener Basteltraum. Und unsere Begeisterung für das, was damit alles möglich ist, lässt sich nur schwer bändigen.
Ein Test von Oliver Nickel und Sebastian Grüner

Framework Laptop im Hardware-Test: Schrauber aller Länder, vereinigt euch!
Artikel
  1. EU-Kommission: Von der Leyens intransparenter Umgang mit SMS
    EU-Kommission
    Von der Leyens intransparenter Umgang mit SMS

    Per SMS soll von der Leyen einen Milliardendeal mit Pfizer ausgehandelt haben. Doch die SMS will sie nicht herausgeben - obwohl sie müsste.

  2. 5.000 Dollar Belohnung: Elon Musk wollte Twitter-Konto von 19-Jährigem stilllegen
    5.000 Dollar Belohnung
    Elon Musk wollte Twitter-Konto von 19-Jährigem stilllegen

    Tesla-Chef Elon Musk bot einem US-Teenager jüngst angeblich 5.000 US-Dollar, damit der seinen auf Twitter betriebenen Flight-Tracker einstellt.

  3. Rohstoffe: Lithiumkarbonat für über 50 Euro/kg gefährdet Akkupreise
    Rohstoffe
    Lithiumkarbonat für über 50 Euro/kg gefährdet Akkupreise

    Die Lithiumknappheit treibt Kosten für Akkuhersteller in die Höhe und lässt Alternativen attraktiver werden.
    Eine Analyse von Frank Wunderlich-Pfeiffer

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Alternate (u.a. HP Omen 25i 165 Hz 184,90€) • MindStar (u.a. Patriot Viper VPN100 1 TB 99€) • HyperX Streamer Starter Set 67€ • WD BLACK P10 Game Drive 5 TB 111€ • Trust GXT 38 35,99€ • RTX 3080 12GB 1.499€ • PS5 Digital mit o2-Vertrag bestellbar • Prime-Filme für je 0,99€ leihen [Werbung]
    •  /