Türkische Top-Finanz-Apps leaken Nutzerdaten

Mobile device leaking financial data — Image by Cybernews.

Millionen Türken vermutlich Opfer eines Datenlecks bei beliebten Finanz-Apps.

Die Sicherheitsforscher von Cybernews haben eine ungeschützte MongoDB-Datenbank mit über vier Millionen sensiblen Finanzdaten entdeckt. Die geleakten Datensätze stammen von FinansCepte und FinansWebde, zwei der meistgenutzten Finanz-Apps in der Türkei.

Die Apps werden von über einer Million Nutzern für Finanztracking, Marktanalysen und persönliches Investment-Management verwendet.

Unklar bleibt, ob bereits Cyberkriminelle auf die exponierte Datenbank zugegriffen haben oder wie lange sie schon öffentlich zugänglich war. Ungeschützte Datenbanken sind ein gefundenes Fressen für Angreifer, die das Internet permanent nach ungesicherten Datenbanken durchsuchen.

Zwar liegen bisher keine Hinweise auf einen Missbrauch vor, es ist jedoch gut möglich, dass bereits Daten abgeflossen sind.

Türkische Finanz-Apps, Screenshot geleakter Daten — Beispiel der geleakten Daten. Bild: Cybernews

Cybernews hat Kontakt zum betroffenen Unternehmen, Pasyonis Medya ve Bilişim Ticaret, aufgenommen, aber bisher keine Stellungnahme erhalten.

Welche Daten wurden durch die Finanz-Apps geleakt?

Benutzernamen
E-Mail-Adressen
Telefonnummern
Teilweise Zahlungsinformationen
Gehashte Passwörter
Finanz-Benachrichtigungseinstellungen

Millionen anfällig für Cyberangriffe

Datenverlust bei Finanzdienstleistern ist extrem gefährlich und schafft verschiedenste Risiken für Cyberangriffe auf die Nutzer. Angreifer könnten hochprofessionelle Phishing-Kampagnen starten, die App-Nutzer ins Visier nehmen und sie dazu bringen, noch sensiblere Daten herauszugeben. Angreifer könnten sich beispielsweise als die Finanz-Apps ausgeben und Nutzer auffordern, ihre Passwörter zu erneuern oder ihre Konten zu sichern. Stattdessen stehlen sie Zugangsdaten und räumen Konten leer.

Das Leck enthielt auch Login-Daten. Obwohl die Passwörter gehasht und damit abgesichert waren, könnten sie für Credential-Stuffing- und Brute-Force-Attacken genutzt werden und Hackern möglicherweise Zugang zu Konten bei mehreren Plattformen verschaffen.

Der Zugriff auf Benachrichtigungseinstellungen könnte Angreifern ermöglichen, Finanzsignale zu manipulieren. Nutzer würden echte Marktbewegungen nicht mitbekommen oder bekämen in kritischen Momenten falsche Daten untergejubelt.

Finanz-Apps leaken reihenweise Nutzerdaten

Datenbanken ohne Passwortschutz zu lassen ist eine weitverbreitete Schwachstelle, meist ein simpler menschlicher Fehler. Recherchen von Cybernews belegen diesen Trend. Doch wenn sie unentdeckt bleiben, können diese „simplen Fehler" zu Vorfällen eskalieren, die Hunderttausende betreffen.

Solche Fehlkonfigurationen steckten in den letzten Jahren hinter mehreren großen Leaks bei Finanz-Apps.

2024 entdeckte Cybernews ein Datenleck beim nigerianischen FinTech-Unternehmen BestFin, das die iCredit-App betreibt. Das Leck gefährdete 846.000 Kunden, ihre Notfallkontakte und sogar private SMS-Nachrichten, die die App heimlich sammelte.

Ein weiteres Datenleck traf die in Uruguay ansässige Digital-Banking-Plattform Bankingly, die Daten von sieben Finanzinstituten preisgab und fast 100.000 Personen in Süd- und Mittelamerika exponierte.