Socar meldet Datenleck bei 248 Kunden durch API-Schwachstelle

a yellow sign that says please brake for snakes — Eric Prouzet / Unsplash

Der Carsharing-Anbieter Socar erlitt einen Sicherheitsvorfall, bei dem persönliche Daten von 248 Kunden unrechtmäßig abflossen. Das Unternehmen bestätigte, dass externe Angreifer eine interne Funktion zur Mitgliederabfrage missbrauchten, um auf die Informationen zuzugreifen. Der Vorfall ereignete sich am Abend des siebten Oktobers im Jahr 2026. Socar gab an, die anomalen Zugriffe innerhalb von zehn Minuten nach Beginn der Attacke erkannt und sofort Gegenmaßnahmen eingeleitet zu haben. Durch diese schnelle Reaktion konnte das Unternehmen den Umfang des Datenabflusses begrenzen und weitere Schäden verhindern.

Die betroffenen Datensätze stammen von Kunden, die ihre Registrierung zwischen April 2012 und April 2013 vorgenommen hatten. Zu den kompromittierten Informationen gehören Namen, Geburtsdaten, Geschlecht, Mobiltelefonnummern, E-Mail-Adressen, physische Adressen sowie Mitgliedsnummern. Zudem wurden teilweise Informationen aus Führerscheinen wie regionale Kennzeichnungen und Ausstellungsjahre offengelegt. Das Unternehmen stellte klar, dass keine Zahlungsdaten wie Kreditkartennummern oder Kontoverbindungen betroffen waren. Auch Passwörter wurden laut der offiziellen Mitteilung nicht gestohlen.

Ein Vertreter des Unternehmens erklärte die technische Ursache des Einbruchs als Ausnutzung einer Schwachstelle namens BOLA. Dieser Begriff steht für eine unzureichende Überprüfung von Berechtigungen auf Objektebene innerhalb einer Schnittstelle. Bei diesem Fehler prüft der Server nicht korrekt, ob der Anfordernde tatsächlich berechtigt ist, spezifische Daten eines anderen Nutzers einzusehen oder zu ändern. Es reicht nicht aus, nur den allgemeinen Zugang zur Schnittstelle zu verifizieren. Stattdessen muss auch die Berechtigung für den Zugriff auf jede einzelne angeforderte Kundeninformation validiert werden. Diese Sicherheitslücke ermöglichte den Angreifern den unbefugten Datenabruf.

Der Vorfall weist Ähnlichkeiten mit einem früheren Sicherheitsincident bei der Plattform 29CM auf, die ebenfalls im August eines gleichen Jahres einen Datenabfluss über eine Bestellschnittstelle meldete. In beiden Fällen dienten Schnittstellen zur Datenabfrage als Einfallstor für den Diebstahl persönlicher Informationen. Ein Sprecher von Socar betonte jedoch, dass die Ähnlichkeit der Angriffsmethoden nicht automatisch auf dieselben Täter oder exakt identische Schwachstellen hindeutet. Detaillierte Analysen zu den spezifischen Angriffswegen und den Problemen bei der Rechteprüfung sollen erst durch zukünftige Untersuchungen vollständig geklärt werden.

Nach der Entdeckung der Anomalien aktivierte Socar sofort einen Notfallplan. Das Unternehmen blockierte die genutzten Zugriffswege und die IP-Adressen der Angreifer. Zudem wurden alle Pfade gesperrt, die einen externen Zugriff auf interne Dienste ermöglichten. Die Überwachungsbereiche für Zugriffsprotokolle wurden erweitert, und es laufen zusätzliche Sicherheitsprüfungen für alle betriebenen Dienste. Der Vorfall wurde umgehend der koreanischen Agentur für Internet-Sicherheit gemeldet. Die offizielle Meldung bei den zuständigen Datenschutzbehörden erfolgte am achten Oktober. Betroffene Kunden werden per Textnachricht oder E-Mail individuell informiert. Bisher liegen keine Berichte über sekundäre Schäden vor. Das Unternehmen warnt seine Nutzer davor, auf betrügerische Links zu klicken oder sensible Daten herauszugeben.