FH-Studenten knackten Merkur-Kundendaten

Die beiden Burschen hatten sich über Nocard-Info die Codes besorgt und in der Folge mit der offiziellen Merkur-App “gespielt”. So gelangten sie Zugriff auf eine Kundenkarte – inklusive sämtlicher personenbezogener Daten wie Name, Adresse, Telefonnummer, Anzahl der Treuepunkte und personalisierte Rabattangebote.

Ebenso wurde das Profil eines informierten Kollegen geknackt. “Wir könnten jetzt losgehen und mit einem Skript Zugriff auf weitere fremde Accounts erlangen”, so David Grübl zum “Kurier”.

Mit der Postleitzahl zu den Nutzerprofilen

Grübl und sein Kollege Stephan Bönnemann hatten mit der Merkur-App Codes des Online-Portals Nocard.Info eingescannt. Um Zugriff zu den Nutzerprofilen der Merkur-Kunden zu bekommen, mussten sie die Postleitzahl erraten. “Bei 1010 Wien hatten wir binnen kürzester Zeit einen Treffer.” Und so vollen Zugriff auf das User-Profil.

Kundenkarten von Billa, Bipa und Merkur

Ausgangspunkt war die Kundenkarten-Plattform nocard.info online. Kunden von Billa, Bipa und Merkur können mit deren Hilfe anonym, allerdings mit den Daten von Kundenkarten realer Personen, Rabatte der jeweiligen Geschäfte in Anspruch nehmen. An den Kassen von Merkur wird deshalb nur mehr die eigene App akzeptiert.

(APA)