Categories: Authentifizierung

US-Apothekenkette meldet massiven Datenverlust

WebsitePlanet und der Forscher Jeremiah Fowler haben eine ungesicherte Datenbank entdeckt, die der US-Apothekenkette CVS Health gehört. Sie war nicht durch ein Kennwort geschützt und auch sonst gab es keinerlei Authentifizierung, um unbefugte Zugriffe zu unterbinden. CVS Health hat die Echtheit der Daten inzwischen bestätigt.

Die rund 204 GByte große Datenbank enthält der Analyse zufolge mehr als eine Milliarde Datensätze. Enthalten sind unter anderem Event- und Konfigurationsdaten wie Besucher-IDs und Session-IDs. In der Datenbank wurden aber auch Details zu den Geräten erfasst, über die auf die Website von CVS Health zugegriffen wurde. Die Daten sollen außerdem Rückschlüsse auf die Funktionsweise des Logging-Systems erlauben.

Darüber hinaus wurden auch Suchanfragen von Nutzern zu Medikamenten oder COVID-19-Impfstoffen sowie einer Vielzahl von CVS-Produkten aufgezeichnet. “Theoretisch wäre es möglich, eine Sitzungs-ID den Suchanfragen oder dem Warenkorb hinzugefügten Produkten zuzuordnen und dann einen Kunden mithilfe von preisgegebenen E-Mails zu identifizieren”, heißt es in dem Bericht.

Die Forscher außerdem davon aus, dass von dem System erfasste E-Mails auch für Phishing-Angriffe eingesetzt werden könnten. Außerdem könnten sich Mitbewerber von CVS Health für die Inhalte der Datenbank interessieren.

CVS Health betonte, dass die Datenbank von einem Lieferanten verwaltet wurde. Der öffentliche Zugang sei unmittelbar nach der Benachrichtigung durch Website Planet eingeschränkt worden.

“Im März dieses Jahres wurden wir von einem Sicherheitsforscher über eine öffentlich zugängliche Datenbank informiert, die nicht identifizierbare Metadaten von CVS Health enthielt”, so CVS Health gegenüber ZDNet USA. “Wir haben das sofort untersucht und festgestellt, dass die Datenbank, die von einem Drittanbieter gehostet wurde, keine persönlichen Informationen unserer Kunden, Mitglieder oder Patienten enthielt. Wir haben mit dem Anbieter zusammengearbeitet, um die Datenbank schnell abzuschalten. Wir haben das Problem mit dem Anbieter geklärt, um eine Wiederholung zu verhindern, und wir danken dem Forscher, der uns über diese Angelegenheit informiert hat.

Lesen Sie auch : Sicher in die KI-Ära
Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die Redaktionen von Silicon.de und ZDNet.de. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

KI-Modell verbessert Präzision der Wettervorhersage

Das KI-Modell von Alibaba prognostiziert mit stündlichen Aktualisierungen die Wetterbedingungen von einer Stunde bis zu…

2 Stunden ago

Autonom handelnde KI-Agenten

"Wir werden eine stärkere Integration von KI-Agenten sehen, die durch Prozessintelligenz neue Maßstäbe setzen", sagt…

2 Stunden ago

KI gegen Bürokratie

Maßgeschneiderte KI-Agenten eines deutschen Start-ups soll gegen überbordende Bürokratie und verklausuliertes Amtsdeutsch helfen.

1 Tag ago

Digitalisierung Deutschlands schreitet nur in kleinen Schritten voran

Cisco Digital Kompass 2025 zeigt: Chancen werden nicht überall konsequent genutzt und es scheint eine…

1 Tag ago

Subgruppen-Erkennung: Wendepunkt in der Malware-Abwehr

Ein von der Europäischen Kommission im Rahmen des ELSA-Netzwerks gefördertes Projekt, widmet sich der Malware-Erkennung.

2 Tagen ago

Von unterstützender zu autonomer KI

"Unsere AI Agents erledigen Aufgaben nicht mehr nur auf Anfrage, sondern agieren proaktiv und eigenständig",…

2 Tagen ago