• IT-Karriere:
  • Services:

Panera Bread: Café-Kette exponiert Millionen Kundendaten im Netz

Sicherheitsexperten zufolge sollen die persönlichen Daten von bis zu 37 Millionen Kunden einer großen Kette von Bäckerei-Cafés in den USA frei zugänglich gewesen sein - und das seit mindestens acht Monaten. Bei seiner Reaktion macht das Unternehmen offenbar fast alles falsch.

Artikel veröffentlicht am ,
Die US-Bäckereikette Panera Bread hat offenbar persönliche Daten von bis zu 37 Millionen Kunden ungeschützt im Netz gehabt.
Die US-Bäckereikette Panera Bread hat offenbar persönliche Daten von bis zu 37 Millionen Kunden ungeschützt im Netz gehabt. (Bild: Pxhere/Golem.de/CC0 1.0)

Die amerikanische Bäckerei-Café-Kette Panera Bred hat offenbar monatelang persönliche Daten von Millionen Kunden offen im Netz stehen lassen. Von dem Leak betroffen sein sollen neben den Namen und Postadressen der Kunden auch E-Mail-Adressen, Geburtsdaten sowie die jeweils letzten vier Ziffern der Kreditkartennummern. Diese Informationen reichen in vielen Fällen aus, um sich gegenüber anderen Kundendiensten am Telefon als jemand Fremdes auszugeben und so beispielsweise einen Passwort-Reset oder das Zusenden einer neue Kundenkarte zu erreichen.

  • Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)
  • Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).
  • Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).
Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).
Stellenmarkt
  1. Universität Passau, Passau
  2. NÜRNBERGER Versicherung, Nürnberg

Bereits im August 2017 hat der Forscher Dylan Houlihan, der die Schwachstelle eher zufällig entdeckte, eigenen Angaben zufolge Panera Bread über das Problem informiert. Obwohl das Unternehmen das Datenleck bestätigte, blieb es trotz wiederholter Nachfrage durch Houlihan offenbar monatelang ungepatcht. Bis sich Houlihan an den Sicherheitsexperten Brian Krebs wandte, der die Sache am Montag publik machte.

Gepatcht und doch nicht gepatcht

Nach der Veröffentlichung durch Krebs sei die Webseite panerabread.com schnell komplett offline gegangen. Es dauerte aber demnach nur wenige Stunden bis das Unternehmen meldete: "Problem behoben", und die Seite wieder online ging. Gleichzeitig ging Panera mit der Behauptung an die amerikanische Presse, das Unternehmen nehme "Datenschutz sehr ernst" und habe das Problem gelöst. Es seien lediglich 10.000 Kundenkonten betroffen gewesen.

  • Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)
  • Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).
  • Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).
Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)

Dass das augenscheinlich nicht der Fall war, bestätigten kurz darauf weitere Experten. Offenbar hatte Panera versucht, das Problem dadurch zu lösen, die offenen Angriffsvektoren mit einer Loginseite zu schützen, die einen gültigen Kundenkonto voraussetzt. Hinter dem Login sei der Zugriff auf die Gänze der Kundendaten aber weiterhin möglich. Seit dieser neuerlichen Veröffentlichung ging Paneras Onlineshop wieder komplett offline.

Fehlende Kanäle, unangemessene Reaktion

Fast schockierender als das Datenleck selbst erscheint jedoch die Art und Weise, wie Panera Bread auf die Meldung der Lücke durch Houlihan reagierte. Seinem Blogpost zufolge war es nicht leicht, bei Panera überhaupt mit einem Verantwortlichen in Kontakt zu treten. Die generische E-Mail-Adresse security[æt]panerabread.com habe mit einem Bounce geantwortet.

Als der Kontakt über Dritte schließlich gelang, habe ihm Paneras IT-Sicherheitschef zuerst nicht glauben wollen, dass es sich um ein echtes Sicherheitsproblem handelt. In seiner ersten Antwort habe er Houlihan stattdessen beschuldigt ein Scammer zu sein oder einen versteckten Salespitch zu versuchen: "Mein Team hat Ihre E-Mails erhalten, sie wirkten aber sehr verdächtig und wurden daher ignoriert. Wenn das eine Verkaufstaktik sein soll, empfehle ich dringend einen besseren Ansatz, denn nach einem PGP-Schlüssel zu fragen, wäre kein guter Start für einen Pitch."

  • Nach dem Bericht von Brian Krebs ging die Webseite von Panera Bread offenbar schnell offline (Quelle: KrebsOnSecurity)
  • Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).
  • Screenshot der Kundendaten, die auf der Webseite von Panera Bread offenbar offen zugänglich waren (Quelle: KrebsOnSecurity).
Erster E-Mail-Austausch zwischen Dylan Houlihan und Panera Bread (Quelle: Dylan Houlihan).

Der gesamte E-Mail-Austausch zwischen Houlihan und Panera Bread (auf Englisch) ist durchaus lesenswert und an sich schon skandalträchtig. Trotz der Schwierigkeiten, der erfolglosen Patches, des fehlenden Dankeschöns und des rüden Umgangstons durch Paneras IT-Sicherheitschef betont Houlihan jedoch, dass Panera nicht das einzige Unternehmen mit einer so problematischen Datensicherheitskultur sei.

"Dieses Problem besteht nicht nur bei einer einzelnen Art von Firma. So etwas ist schon früher passiert und es wird auch wieder passieren", schreibt Houlihan. "Es ist einfach, mit dem Finger auf eine einzelne Person zu zeigen, aber solche Leute kommen nur in ihre Position (des IT-Sicherheitschefs, Anm.d.R.), weil ihr Verhalten grundsätzlich mit der Kultur und den Prioritäten eines Unternehmens kompatibel ist."

Der wichtigste Schritt für Unternehmen sei es, einen einfachen Prozess zu entwickeln, mit dem Sicherheitslücken gemeldet werden könnten, ohne dass die Entdecker sich vor den Konsequenzen fürchten müssen. Dass Paneras IT-Sicherheitschef laut seinem Linkedin-Profil zwischen 2009 und 2013 als Senior Director für Security Operations bei Equifax tätig war, zeigt aber dann doch irgendwie wieder mit dem Finger in Richtung einer Person.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. (-28%) 17,99€
  2. (-79%) 5,99€
  3. 6,63€
  4. 18,99€

amagol 05. Apr 2018

Mit Kreditkate zahlen ist ja nicht das Problem. Aber warum muss Panera das ueberhaupt...

Pornstar 04. Apr 2018

Wie bitte? Fox news ist der Sender der die meisten Amerikaner erreicht.

telecaster 04. Apr 2018

Hab ich mir auch gerade gedacht. Wie schnell Millionen von Menschen bereit sind für ein...

mars96 03. Apr 2018

John Oliver hatte die vor rund einem Halben Jahr wegen des letzten Sicherheitsproblems im...

bolzen 03. Apr 2018

So ist es. Man sollte sich auch mal angucken was das Backend ausspuckt wenn man den...


Folgen Sie uns
       


Pixel 4 XL - Test

Das Pixel 4 XL ist Googles erstes Smartphone mit einer Dualkamera. Im Test haben wir uns diese genau angeschaut.

Pixel 4 XL - Test Video aufrufen
Interview: Die Liebe für den Flight Simulator war immer da
Interview
"Die Liebe für den Flight Simulator war immer da"

Die prozedural erstellte Erde, der Quellcode vom letzten MS-Flugsimulator und eine Gemeinsamkeit mit Star Citizen: Golem.de hat mit Jörg Neumann über Technik und das Fliegen gesprochen. Neumann leitet bei Microsoft die Entwicklung des Flight Simulator.
Ein Interview von Peter Steinlechner

  1. Flug-Simulation Microsoft bereitet Alphatest des Flight Simulator vor
  2. Microsoft Neuer Flight Simulator soll Fokus auf Simulation legen

Geforce GTX 1650 Super im Test: Kleine Super-Karte hat große Konkurrenz
Geforce GTX 1650 Super im Test
Kleine Super-Karte hat große Konkurrenz

Mit der Geforce GTX 1650 Super positioniert Nvidia ein weiteres Modell für unter 200 Euro. Dort trifft die Turing-Grafikkarte allerdings auf AMDs Radeon RX 580, die zwar ziemlich alt und stromhungrig, aber immer noch schnell ist. Zudem erscheint bald die sparsame Radeon RX 5500 als Nachfolger.
Ein Test von Marc Sauter

  1. Nvidia-Grafikkarte Geforce GTX 1650 Super erscheint Ende November
  2. Geforce GTX 1660 Super im Test Nvidias 250-Euro-Grafikkarte macht es AMD schwer
  3. Geforce-Treiber 436.02 Integer-Scaling macht Pixel-Art hübscher

Mikrocontroller: Sensordaten mit Micro Python und ESP8266 auslesen
Mikrocontroller
Sensordaten mit Micro Python und ESP8266 auslesen

Python gilt als relativ einfach und ist die Sprache der Wahl in der Data Science und beim maschinellen Lernen. Aber die Sprache kann auch anders. Mithilfe von Micro Python können zum Beispiel Sensordaten ausgelesen werden. Ein kleines Elektronikprojekt ganz ohne Löten.
Eine Anleitung von Dirk Koller

  1. Programmiersprache Python verkürzt Release-Zyklus auf ein Jahr
  2. Programmiersprache Anfang 2020 ist endgültig Schluss für Python 2
  3. Micropython Das Pyboard D ist ein Steckbausatz für IoT-Bastler

    •  /