App-System der Hotelkette Marriott gab Nutzerdaten preis

Der Sicherheitsforscher Randy Westergren hat die Sicherheit des App-Systems der Hotelkette Marriott untersucht und dabei entdeckt, dass sich nur mit der Reservierungsnummer sämtliche Aufenthaltsdaten und persönliche Angaben einschließlich der letzten vier Ziffern der Kreditkartennummer ermitteln lassen.

Seine Ermittlungen begann Westergren bei der Android-App der Kette. Schließlich sind laut Gartner 75 Prozent aller Mobil-Apps mit Sicherheitsmängeln behaftet.

Mit Erstaunen nahm er zur Kenntnis, dass Reservierungsdaten vollständig ohne Authentifizierung übertragen werden. Mit einer gefälschten Anfrage an den Backbone war es ihm möglich, die grundlegenden Reservierungsdaten wie Name, Anreise, Abreise und Standort des Hotels abzurufen.

Ohne Authentifizierung im Marriott-Backbone abgerufene Daten (Screenshot: ZDNet)

Mit diesen Daten ist es aber wiederum möglich, sich auf der Website des Hotels einzuloggen und persönliche Daten zu sehen: Nur Nachname und Reservierungsnummer müssen eingegeben werden. Hier finden sich Post- und E-Mail-Adresse des Nutzers sowie das Ende der Nummer angegebenen Bezahlkarte. Außerdem ließe sich die Reservierung ohne weiteres stornieren.

Westergren schrieb nun einen Proof-of-Concept-Code und kontaktierte die allgemein für solche Zwecke empfohlene Kontakt-Adresse security@marriott.com. Sie existierte nicht. Er benötigte rund einen Monat, um nach diversen Versuchen über Soziale Netze einen Ansprechpartner zu bekommen. Dann allerdings erwies sich Marriott als reaktionsschnell und behob die Lücke innerhalb von 24 Stunden.

Mit den Nachforschungen hat Westergren laut seinem Blogbeitrag begonnen, weil ihn Marriotts Plan, Wi-Fi-Dienste seiner Gäste wie Ad-hoc-Hotspots zu verbieten, irritierte. Er sei selbst Kunde der Kette, schreibt er. Für die Recherchen griff er auf die Reservierungsdaten eines Freundes mit dessen Genehmigung zu, um sich nicht strafbar zu machen.

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Florian Kalenda

Seit dem Palm Vx mit Klapp-Tastatur war Florian mit keinem elektronischen Gerät mehr vollkommen zufrieden. Er nutzt derzeit privat Android, Blackberry, iOS, Ubuntu und Windows 7. Die Themen Internetpolitik und China interessieren ihn besonders.

Recent Posts

SmokeBuster bekämpft SmokeLoader

Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.

2 Stunden ago

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

18 Stunden ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

22 Stunden ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

23 Stunden ago

Lags beim Online-Gaming? DSL-Vergleich und andere Tipps schaffen Abhilfe

Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…

24 Stunden ago

GenKI-Fortbildung immer noch Mangelware

Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…

24 Stunden ago