Sicherheit · 12. November 2026
Auch veröffentlicht auf Español, English, Português (Brasil), 日本語
Reisebuchungsplattform bestätigt Datenlecks durch Angriff und Programmierfehler
Die Reisebuchungsplattform ZoomZoomTour hat zwei separate Vorfälle bestätigt, bei denen persönliche Daten von Kunden und Reiseleitern unbefugt offengelegt wurden. Ein externer Cyberangriff sowie ein unabhängiger Programmierfehler auf der Bewertungsseite führten dazu, dass sensible Informationen über einen Zeitraum von etwa zwei Jahren für Dritte zugänglich waren oder illegal eingesehen wurden. Das Unternehmen gab bekannt, dass nicht alle Mitglieder betroffen sind, und hat die identifizierten Opfer bereits per E-Mail individuell informiert.
Der erste Vorfall ereignete sich am Nachmittag des vierten Novembers zweitausendsechsundzwanzig. Ein Angreifer registrierte sich als neuer Nutzer und missbrauchte anschließend Sicherheitslücken in bestimmten Dienstfunktionen, um auf die Daten anderer Kunden und Reiseleiter zuzugreifen. Zu den kompromittierten Informationen gehörten Namen, E-Mail-Adressen, Telefonnummern sowie detaillierte Buchungsdaten wie Reisedaten, Anzahl der Personen und gezahlte Beträge. Auch Informationen zu Reisebegleitern, einschließlich Geschlecht, Name, Alter und Geschlecht, wurden eingesehen. In einigen Fällen bestanden zudem Risiken für den Zugriff auf Gutschein-Dateien und den Inhalt von Gesprächen mit dem Kundendienst. Temporäre Links zu diesen Dateien waren zwar nur fünfzehn Minuten gültig, doch bestätigte das Unternehmen, dass solche Zugriffe stattfanden.
Zusätzlich zu den gestohlenen Daten führte derselbe Angriff bei einigen Bestellungen zu nicht autorisierten Stornierungsanfragen, die vom Kunden nicht initiiert worden waren. Das Unternehmen stellte klar, dass alle betroffenen Bestellungen noch am selben Tag wiederhergestellt wurden und es keine Änderungen an Zahlungs- oder Rückerstattungsstatus gab. Unmittelbar nach Entdeckung des Vorfalls sperrte die Plattform die Konten der Angreifer, unterbrach die Zugriffswege und leitete technische Nachbesserungen ein. Zudem wurde Meldung bei der Korea Internet & Security Agency sowie der Kommission für den Schutz personenbezogener Daten erstattet, um die laufenden Untersuchungen zu unterstützen.
Ein zweiter, davon unabhängiger Vorfall betraf einen Fehler in der Entwicklung der Bewertungsseite. Obwohl bestimmte Buchungsinformationen auf dem Bildschirm nicht sichtbar waren, wurden sie im zugrundeliegenden Seitencode mitgeliefert. Dies ermöglichte es Besuchern und Suchmaschinen, diese Daten abzurufen. Die Exposition dauerte grundsätzlich vom sechsten November zweitausendvierundzwanzig bis zum vierten November zweitausendsechsundzwanzig. Telefonnummern der Buchenden waren ab dem dreizehnten November zweitausendvierundzwanzig betroffen, während Namen der Rezensenten und Kontaktdaten der Verkäufer bis zum fünften November zweitausendsechsundzwanzig einsehbar blieben. Ab Ende September zweitausendfünfundzwanzig waren sogar Geschäftsadressen und Registrierungsnummern der Anbieter enthalten.
Das Unternehmen hat die betroffenen Daten von der Bewertungsseite entfernt und Maßnahmen ergriffen, um die Namen der Verfasser zu verschleiern. Anfragen zur Löschung der Inhalte bei großen Suchmaschinen und Internet-Archiven wurden gestellt. Zudem wird der Zugriffsprotokollbestand für zwei Jahre aufbewahrt und eine vollständige Überprüfung aller öffentlichen Seiten durchgeführt. Das Unternehmen betonte, dass keine hochsensiblen Daten wie Reisepassnummern, Geburtsdaten, Kreditkartennummern oder Passwörter abgeflossen seien. Die genaue Anzahl der betroffenen Personen wurde jedoch nicht veröffentlicht. Nutzer werden gewarnt, betrügerische Kontaktversuche unter Vorspiegelung falscher Tatsachen zu ignorieren.