Allein mit einer Mailadresse und einem Namen können Betrüger in der Regel bereits eine ganze Menge anfangen. Doch so limitiert war das Datenleck im aktuellen Fall nicht. Über zehn Millionen Daten von Hotelgästen waren noch bis vor kurzem ungeschützt im Internet verfügbar. Und das Datenleck beschränkt sich nicht nur auf ein Hotel oder ein Hotel-Vergleichsportal, sondern zieht eine Spur quer durch die Hotelbranche.
Was ist passiert?
Sicherheitsexperten des Unternehmens Website Planet haben eine Sicherheitslücke des spanischen Dienstleisters Prestige Software entdeckt. Bei diesem handelt es sich um eine Art zentrale Plattform für Online-Hotelreservierungen, die Hotel-Websites mit Buchungsportalen verbindet. Dabei wurden zahlreiche Daten von Hotelgästen unter Zuhilfenahme der Amazon Web Services (Cloud-Computing-Anbieter) gespeichert – was in der Regel auch ein gängiges Verfahren darstellt. Allerdings war der Dienst laut Angaben von Website Planet falsch konfiguriert. Das hatte zur Folge, dass die Nutzerdaten komplett ungeschützt online verfügbar waren.
Wer ist betroffen?
Als zentrale Plattform verwaltete Prestige Software die Daten vieler Portale. Dazu zählen Booking.com, Expedia, Hotels.com, Agoda, Amadeus, Hotelbeds, Omnibees, Sabre und noch „viele andere“. Zudem hat das Unternehmen nicht nur aktuelle Datensätze gespeichert, sondern Informationen der vergangenen sieben Jahre. Wenn du also beispielsweise 2015 über einen der genannten Anbieter einen Urlaub gebucht hast, dann könnten deine persönliche Daten bereits bei Betrügern gelandet sein. Die Betonung liegt dabei jedoch auf dem „könnten“, denn bisher sind keine Missbrauchsfälle bekannt. Allerdings wurde die Cloud-Lösung noch vor kurzem genutzt. Allein im August 2020 wurden hier 180.000 Speicherungen durchgeführt. Erst nachdem Website Planet seinen Fund gemeldet hat, soll das spanische Unternehmen die Sicherheitslücke geschlossen haben – das jedoch bereits nach nur einem Tag.
Welche Daten wurden gespeichert?
Wer schon einmal ein Hotel online gebucht hat, der weiß, dass die Felder, die dabei ausgefüllt werden müssen, zahlreich sind. Und ebenso zahlreich sind entsprechend auch die gespeicherten Nutzerdaten. Dazu gehören Kreditkartendaten, Personalausweisdaten, Namen, E-Mail-Adressen, Telefonnummern, Reservierungskosten, Sonderwünsche und noch viele andere. Somit können Schwindler neben Kreditkartenbetrug auch gezielte Phishing-Angriffe auf Nutzer starten, um beispielsweise ihre Rechner mit Malware zu infizieren und an Passwörter zu PayPal und Co. zu gelangen.
Das Problem dabei ist, dass die Angriffe durch die gestohlenen Daten überaus seriös wirken könnten. Denn nur wenige dürften bei einer angeblichen E-Mail des bereits genutzten Hotel-Vergleichsportals eine Mogelpackung wittern. Nicht, wenn diese mit deinem richtigen Vor- und Nachnamen, den Daten zum Vorherigen Hotelaufenthalt und vielleicht sogar einer Kundennummer ausgestattet ist. Wer sein bereits genutztes Hotel-Buchungsportal in der oben aufgeführten Liste wiederfindet, sollte sich darum mit diesem in Verbindung setzen und um sich über dessen Schutzmaßnahmen zu informieren.
Über unsere Links
Mit diesen Symbolen kennzeichnen wir Partner-Links. Wenn du so einen Link oder Button anklickst oder darüber einkaufst, erhalten wir eine kleine Vergütung vom jeweiligen Website-Betreiber. Auf den Preis eines Kaufs hat das keine Auswirkung. Du hilfst uns aber, inside digital weiterhin kostenlos anbieten zu können. Vielen Dank!
