FitnessKPI-Datenleck mit französischem Fitnessstudio in Verbindung gebracht, während Unternehmen Plattformverletzung bestreitet

FitnessKPI erklärt, dass ein Dritter mit gültigen Administrator-Zugangsdaten auf das Konto eines Kunden zugegriffen habe, und weist Behauptungen zurück, wonach Angreifer in die zugrunde liegenden Systeme des Unternehmens eingedrungen seien. Online geteilte Dateien scheinen Informationen zu 1.848 Mitgliedern von Genae Écully, einem Fitnessstudio in der Nähe von Lyon in Frankreich, zu enthalten.

Die FitnessKPI-Datenoffenlegung umfasst Berichten zufolge Kontaktdaten, Mitgliedschaftsinformationen, Buchungen und zahlungsbezogene Angaben. Das Unternehmen erklärt jedoch, dass der Zugriff innerhalb der Berechtigungen eines einzelnen Kundenkontos blieb.

Diese Unterscheidung stellt die Behauptung eines umfassenderen Eindringens in die Plattform infrage, bestätigt jedoch gleichzeitig, dass jemand Zugriff auf Kundeninformationen erhalten hat.

Unternehmen führt Zugriff auf ein Kundenkonto zurück

Ein Forennutzer mit dem Namen Syrv4x behauptete, Mitgliederdaten aus den Datenbanken von FitnessKPI extrahiert zu haben.

FitnessKPI erklärt jedoch, dass die Untersuchung der Zugriffsprotokolle keine Kompromittierung der Datenbank, Server oder Infrastruktur ergeben habe. Das Unternehmen gibt außerdem an, dass bei dem Vorfall keine Schwachstelle der Plattform oder API ausgenutzt wurde.

Stattdessen verwendete laut dem Unternehmen jemand den Benutzernamen und das Passwort eines Kundenadministrators, um sich über den normalen Anmeldeprozess einzuloggen. Anschließend konnte die Person die für das Konto verfügbaren Informationen einsehen.

FitnessKPI erklärt, dass bei dem Vorfall weder Daten anderer Kunden noch Informationen außerhalb des autorisierten Umfangs dieses Kontos offengelegt wurden. Aus den verfügbaren Informationen geht nicht hervor, wie der Dritte an die Zugangsdaten gelangte.

Geteilte Dateien weisen auf Mitglieder von Genae Écully hin

Eine Analyse der geteilten Dateien brachte alle Profile in dem untersuchten Datensatz mit Genae Écully in Verbindung. Dies stützt die Einschätzung, dass der Vorfall einen einzelnen Fitnessstudio-Standort betraf.

FitnessKPI bietet Business-Intelligence- und Management-Tools für Unternehmen der Fitnessbranche an. Genae nutzt die Plattform zur Analyse der Mitgliederaktivität, unter anderem um Kunden zu identifizieren, die möglicherweise ihre Mitgliedschaft kündigen könnten.

Die offengelegten Dateien enthalten Berichten zufolge mehrere Kategorien von Informationen:

• Namen, E-Mail-Adressen und Telefonnummern
• Alter, Geburtsdaten, Geschlecht und Postleitzahlen
• Mitgliedschaftspläne und Verträge
• Buchungen und andere Aktivitätsdaten
• Zahlungsbeträge, Daten, Status und ausstehende Salden

Zusammen könnten diese Daten sowohl persönliche Angaben als auch Muster bei den Fitnessstudiobesuchen der Mitglieder offenlegen.

Zahlungsdaten enthielten keine Bankinformationen

Fast 160.000 Einträge in den untersuchten Dateien beziehen sich auf Zahlungen bei Genae Écully. Dabei handelt es sich um zahlungsbezogene Datensätze und nicht um einen Beleg dafür, dass 160.000 Personen betroffen sind.

Die Einträge enthalten Rechnungsdaten, Zahlungsdaten, Beträge und unbezahlte Salden. Bei der Analyse wurden jedoch keine offengelegten Bankinformationen festgestellt.

FitnessKPI erklärt außerdem, dass das Unternehmen weder Kreditkartennummern, CVV-Codes, IBANs noch Gesundheitsinformationen von Mitgliedern erhebt oder speichert. Nach Angaben des Unternehmens fallen diese Kategorien daher nicht unter die von der Plattform verwalteten Daten.

Mitgliedschafts- und Abrechnungsverläufe können dennoch sensible Informationen über einzelne Kunden liefern.

Detaillierte Daten könnten überzeugende Betrugsversuche ermöglichen

Die FitnessKPI-Datenoffenlegung könnte Kriminellen genügend Informationen liefern, um sich in gezielten Nachrichten als das Fitnessstudio auszugeben.

Eine betrügerische E-Mail könnte beispielsweise auf die tatsächliche Mitgliedschaft und Zahlungshistorie eines Mitglieds verweisen. Diese korrekten Angaben könnten eine ansonsten verdächtige Aufforderung glaubwürdig erscheinen lassen.

Ebenso könnten Informationen über ausstehende Salden genutzt werden, um gefälschte Zahlungserinnerungen zu erstellen. Eine Nachricht, die sich auf eine tatsächliche Schuld bezieht, könnte einen Empfänger dazu bewegen, betrügerischen Zahlungsanweisungen zu folgen.

Dies sind mögliche Folgen der Datenoffenlegung. Die verfügbaren Informationen belegen nicht, dass Kriminelle die Datensätze bereits für Phishing-Kampagnen verwendet haben.