[ziesell]

Freifahrtschein: Hacker kauft via Moovit Fahrkarten auf Kosten anderer Nutzer

Durch drei Schwachstellen in der Moovit-App gelang es einem Forscher, fremde Benutzerkonten zu übernehmen und damit Fahrkarten zu erwerben.



Ein Safebreach-Sicherheitsforscher namens Omer Attias hat auf der Hackerkonferenz Defcon drei Schwachstellen in der App des im Jahr 2020 von Intel für 900 Millionen US-Dollar übernommenen Mobility-as-a-Service-Providers Moovit aufgedeckt. Wie aus einem Bericht von Techcrunch hervorgeht, ist es dem Forscher damit möglich gewesen, Registrierungsdaten anderer Moovit-Nutzer auszuspähen – darunter Handynummern, E-Mail-Adressen, Anschriften sowie die letzten vier Ziffern von hinterlegten Kreditkarten.

Darüber hinaus habe Attias anhand der Sicherheitslücken sogar die Konten fremder Nutzer übernehmen und damit für eigene Fahrten bezahlen können. Abgesehen von unerwarteten Abbuchungen von den jeweils hinterlegten Kreditkarten sei es ihm möglich gewesen, einen solchen Angriff von der Zielperson völlig unbemerkt durchzuführen. Zwar habe der Sicherheitsforscher die Schwachstellen nur in Israel, der Heimat des Moovit-Start-ups, getestet, jedoch gehe er davon aus, dass Angriffe dieser Art auch in anderen Regionen funktioniert haben.

Schwachstellen sind inzwischen behoben

Moovit selbst soll bezüglich der Erkenntnisse von Attias erklärt haben, dass es bisher keine Hinweise darauf gebe, dass Angreifer die Schwachstellen für böswillige Zwecke ausgenutzt haben. Ferner habe das Unternehmen die von Attias schon im September 2022 gemeldeten Sicherheitslücken inzwischen geschlossen. Benutzer der Moovit-App seien demnach geschützt und es seien "keine Maßnahmen seitens der Kunden erforderlich." Außerdem speichere Moovit selbst keine Kreditkarteninformationen, so dass ausgeschlossen sei, dass ein böswilliger Akteur diese hätte abgreifen können.

Zwar soll die Moovit-Sprecherin Sharon Kaslassi betont haben, dass sich die Schwachstellen nur auf den Fahrkartenverkaufsdienst in Israel beschränkt haben, jedoch scheint Attias diesbezüglich anderer Meinung zu sein. "Wir haben keinen Unterschied zwischen israelischen und nicht-israelischen Kunden in ihren API-Anfragen gesehen", so der Forscher.

1,7 Milliarden Fahrgäste vertrauen auf Moovit

Die Moovit-App gibt es für Android, iOS und als Webanwendung. Sie bietet Anwendern eine zentrale Anlaufstelle für Angebote des öffentlichen Personennahverkehrs (ÖPNV). Dafür bündelt sie "alle lokalen Mobilitätsoptionen in einer App" und ermöglicht ihren Benutzern den Erwerb von Fahrkarten, das Einsehen aktueller Fahrpläne sowie das Auffinden optimaler Routen bei der Verwendung öffentlicher Verkehrsmittel. Nach eigenen Angaben vertrauen weltweit mehr als 1,7 Milliarden Fahrgäste aus 3.500 Städten in 112 Ländern auf Moovit.

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]