Edion: Schadcode im Bezahlvorgang greift Kartendaten und CVV ab

Was betroffen sein könnte

Das Schadprogramm steckte in der PC-Eingabemaske für Zahlungsdaten und lief seit kurz nach 19 Uhr am 4. November. Bedienung und Zahlungseingabe per Smartphone waren nicht betroffen. Die Zahl 556 ist die Höchstzahl neu eingegebener Kartendaten auf der Zahlungsseite. Erfasst sind Kartennummer, Ablaufdatum, Karteninhaber und Sicherheitscode.

Zudem wurden bei Fehlern auf der Bestellseite ausnahmsweise Kartennummern und Sicherheitscodes im Systemprotokoll zwischengespeichert. Bis zu fünf solcher Datensätze könnten abgeflossen sein, ebenfalls mit Ablaufdatum und Karteninhaber.

Auch der ursprüngliche Vorfall hat sich ausgeweitet: Bis zu 5.360 Edion-Geschenkkarten (Nummer, PIN, Nutzungsverlauf) und bis zu 1.141 Login-IDs samt Passwörtern könnten betroffen sein. Betroffene Kunden sollen per E-Mail zur Passwortänderung aufgefordert werden. Über den Umgang mit den Geschenkkarten ist noch nicht entschieden.

Hintergrund und Ausblick

Laut der ersten Meldung nutzten Angreifer eine Schwachstelle, um auf einen Serverbereich mit Logdateien des Onlineshops zuzugreifen. Bis zu 4.131 Personendatensätze und Bestelldaten von bis zu 9.554 Personen könnten abgeflossen sein.

Um weiteren Schaden zu verhindern, legte Edion den Onlineshop sowie die offizielle App und die Smart-App seit dem 7. November, 22 Uhr, still. Wann der Shop wieder öffnet, ist offen.