Datenleck: Flink die Kundendaten abgefragt
"Ein Einkauf geliefert in 10 Min.," wirbt das Startup Flink(öffnet im neuen Fenster) für seine gleichnamige App, mit der in mehreren Großstädten Lebensmittel bestellt werden können. Die Projektgruppe Zerforschung(öffnet im neuen Fenster) hat einen Smoothie bestellt und die App untersucht. Dabei konnte die Gruppe problemlos die Bestellungen und Adressdaten anderer Kunden einsehen. Eine Sicherheitslücke.
Mit einem Machine-in-the-Middle-Proxy (MitM) liest die Projektgruppe die Kommunikation der App mit. Dabei handelt es sich vor allem um Datenbankabfragen. Über einen in der App hinterlegten Autorisierungs-Token konnten sie sich direkt mit dem Flink-Server verbinden und die Datenbank abfragen - zum Beispiel die Anzahl aller Bestellungen (3.953) oder die Bestellungen selbst.
Auch der bestellte Smoothie taucht in der Datenbank auf: "Zu sehen sind Name, Adresse, Telefonnummer, E-Mail, letzte 4 Stellen der Kreditkarte und was bestellt wurde," schreibt die Projektgruppe. Über die offene API von Flink hätten auch die Details von allen 4.000 Bestellungen der letzten Monate samt Kundendaten abgefragt werden können.
Flink meldet Datenleck an Datenschutzbeauftragte
Die Projektgruppe meldete ihren Fund an Flink. Daraufhin wurde die Sicherheitslücke innerhalb eines Tages geschlossen und die Kundschaft sowie die Berliner Landesdatenschutzbeauftragte über das Datenleck informiert. Dabei wurde allerdings nicht erwähnt, dass neben den Bestandsdaten auch die Bestellungen abgerufen werden konnten.
"Wir finden: Wer mit personenbezogenen Daten arbeitet, muss diese ausreichend sichern. Startups können dabei keinen Welpenschutz für sich reklamieren. Wenn das Produkt marktreif genug ist, um Kundendaten zu speichern, muss es auch reif genug sein, diese für sich zu behalten," schreibt Zerforschung.