Datenleck: Mastercard-Bonusprogramm Priceless Specials

Eine CSV-Datei mit den Daten zehntausender Nutzer des Mastercard-Bonusprogramm Priceless Specials ist wohl kurze Zeit in Foren aufgetaucht. Hier einige Informationen über das Datenleck.

Erster Bericht bei heise Security

Heise berichtet erstmals über dieses Datenleck, welches auf das Mastercard-Bonusprogramm Priceless Specials zurückgeht in diesem Artikel.

Leck bei Mastercard? Daten von fast 90.000 Personen kursieren im Netz https://t.co/0t4DNzeb9n #Datenleck #Mastercard

— heise Security (@heisec) August 19, 2019

Dem Artikel zufolge wurde heise Security auf einen Datensatz mit 90.000 Benutzerdaten aufmerksam gemacht, die laut heise als Excel-Tabelle öffentlich in Foren gehandelt wurde. Allerdings war es nach meinen Recherchen wohl eine CSV-Datei kundenliste.csv, könnte ein CSV-Export einer internen Datenbank gewesen sein. Die Benutzerdaten beziehen sich nicht auf Mastercard selbst, sondern umfassen Daten, die im Mastercard-Bonusprogramm Priceless Specials erhoben wurden.

Laut heise enthält die Tabelle jeweils Vor- und Zuname, Geburtsdatum, Mail-Adresse und häufig auch Postanschrift und Handynummern der Personen. Die meisten Daten beziehen sich auf Personen, die in Deutschland leben. 60 Einträge befassen sich mit Mastercard-Mitarbeitern, hunderte Datensätze zeigen auf Mitarbeiter von deutschen Banken.

Die Webseite hier hatte wohl viele Details online gestellt, hat diese jetzt aber anonymisiert. Wenn ich die Screenshots der verlinkten Webseite sowie diesen Kommentar richtig interpretiere, wurde die Datei wohl kurzzeitig über MyDealz geleakt. Die Plattform hat sich hier dazu geäußert und unterbindet die Verbreitung. Der Download könnte übrigens auch strafrechtliche Folgen haben, weshalb man die Finger von lassen solle, falls noch eine Kopie im Internet erreichbar sein sollte.

Mastercard sperrt den Zugriff

Der Berichterstattung nach war die Liste durch eine Fehlkonfiguration eines Mastercard-Servers öffentlich abrufbar. Nachdem Mastercard auf das Datenleck aufmerksam gemacht wurde, sperrte das Unternehmen den Zugriff auf die Datei und setzte das Bonusprogramm Priceless Specials aus. Auf der Mastercard-Specials-Seite erscheint folgende Meldung.

Mastercard wurde auf ein Problem im Zusammenhang mit unserer Priceless Specials-Plattform aufmerksam gemacht. Wir nehmen Privatsphäre sehr ernst und untersuchen dieses Problem mit Hochdruck.
Vorsorglich haben wir die Specials-Plattform umgehend geschlossen.
Dieses Problem hat keinerlei Auswirkungen und steht nicht im Zusammenhang mit dem Zahlungsnetzwerk von Mastercard.
support@specials.mastercard.de

Netter Versuch, die Daten sind geleakt, da wäre es spannend, ob Mastercard bereits der Datenschutzaufsicht den Vorfall gemeldet hat. Denn das ist ein Verstoß gegen die DSGVO. Zudem sind die persönlichen Daten von tausenden von Benutzern ein gefundenes Fressen für Phisher und Online-Betrüger.

Sind die Daten echt?

Heise schreibt, dass man davon ausgeht, dass es sich wohl um echte Daten handelt. Eine Sprecherin von Mastercard gibt an, dass man 'vorsorglich die Priceless-Specials-Plattform umgehend geschlossen habe". Liest sich wie eine Vorsichtsmaßnahme und eher nicht wie eine Bestätigung der Gültigkeit der Daten.

Golem hat die Datei von einem Benutzer erhalten. In einem Nachtrag vom 20. August schreibt Golem, dass die Daten echt sind. Die Daten eines Golem-Redakteurs wurden in der Tabelle gefunden. Weiterhin haben Leser gegenüber Golem bestätigt, dass dort ihre Daten enthalten sind. Auch bei heise gibt es Nutzer, die ihre Daten in der Datei gefunden haben (hier, hier). Potentiell betroffene Nutzer können unter https://sec.hpi.de/ilc/ prüfen lassen, ob deren Daten betroffen sind.