Update zum Datenleck bei Ruf-Jugendreisen
Die Firma Ruf hat sich jetzt öffentlich zu ihrem Datenleck geäussert und sich bei unserer Quelle für die Informationen zur Sicherung der Daten bedankt: RUF verbessert Sicherheitsstandards. Etwas dumm gelaufen ist wohl der Hinweis, dass davon natürlich keine sensitiven Daten betroffen waren*:
Betroffen waren lediglich die Profildaten der Community-Nutzer, die weder Anschrift, Telefonnummer, Reisedaten oder Kontoverbindungen enthalten. Bei diesen Aktivitäten waren zu keinem Zeitpunkt unsere aktuellen Kunden- oder Buchungsdaten in Gefahr bzw. betroffen.
Stimmt. Bei den von uns veröffentlichten Informationen war vom Buchungssystem noch keine Rede. Aber eine Heise-Security-Meldung von heute hat neue Informationen, die das Statement von Ruf wieder etwas obsolet machen:
Der Reiseveranstalter Ruf-Jugendreisen hatte nicht nur Sicherheitsprobleme mit seiner Online-Community, sondern auch in seinem Buchungssystem. Durch Angabe einer einfachen URL mit einer gültigen System-ID war es für jedermann möglich, ohne Login die Buchungsreservierungen einzusehen, wie heise Security in einem kurzen Test mit mehreren Buchungen nachvollziehen konnte.
*Wobei ich ich frage, ob die mir zugeschickte Datenbank nur lauter Fake-Profiladressdaten enthielt. Kann ich mir nicht vorstellen.
