Angreifer könnten auf persönliche Daten der Hotelgäste über Sicherheitslücke in der WLAN-Software zugreifen

[datensicherheit.de, 13.07.2011] Die cirosec GmbH warnt aktuell vor gravierenden Datenschutz- und Sicherheitsproblemen in weltweiten IT-Systemen zahlreicher Hotels im 3- bis 5-Sterne-Bereich:
Anonyme Angreifer könnten vertrauliche Daten wie Ausweisdaten, angesehene Filme und weitere sensible, personenbezogene Details der letzten Jahre auslesen. Im Rahmen von Sicherheitsanalysen seien Standard-IT-Produkte vorgefunden worden, die über ungesicherte WLAN-Zugänge den Zugriff auf interne Datenbanken erlaubten. Durch eine SQL-Injection-Schwachstelle in der WLAN-Anmeldemaske erlange ein Angreifer Zugriff auf die Datenbank zur Verwaltung von IPTV- und Wireless-LAN-Zugängen des Hotels. Bei den dort gespeicherten Daten handele es sich beispielsweise um die Namen der Hotelgäste der letzen Jahre inklusive ihrer kompletten Postanschriften, E-Mail-Adressen, Telefon-, Handy- und Personalausweisnummern sowie die erhaltenen persönlichen Nachrichten.
Des Weiteren sei es möglich, die Konfiguration der TV-Geräte in den Hotelzimmern auszulesen und zu manipulieren. Dadurch könnte man beispielsweise gezielt Gäste mit Falschmeldungen versorgen, die von fingierten Nachrichten bis zum hotelweiten „Feueralarm“ reichten. In der Konfiguration seien zudem die ausgeliehenen Filme gespeichert. Außerdem würden innerhalb der Applikation Kreditkartennummer inklusive Verifikationscode und Gültigkeitsdatum unverschlüsselt übertragen.

Weitere Informationen zum Thema:

cirosec
Willkommen bei cirosec – Kompetente IT-Sicherheit aus einer Hand