Cyber-Sicherheitsleck: Tausende Banktransaktionen in Indien ungeschützt
Ein gravierendes Sicherheitsleck in einem ungesicherten Cloud-Server hat dazu geführt, dass hunderttausende sensible Banktransaktionsdokumente in Indien offengelegt wurden. Forscher der Cybersicherheitsfirma UpGuard entdeckten im Spätsommer, dass ein öffentlich zugänglicher, auf Amazon gehosteter Speicher-Server 273.000 PDF-Dokumente mit Informationen zu Banküberweisungen indischer Kunden enthielt.
Diese Dokumente umfassten abgeschlossene Transaktionsformulare, die für das National Automated Clearing House (NACH) bestimmt waren. Das NACH ist ein zentrales System, welches Banken in Indien nutzen, um große Mengen wiederkehrender Transaktionen zu erleichtern, etwa Gehälter, Kreditrückzahlungen und Nebenkosten.
Die freigelegten Daten bezogen sich laut den Forschern auf mindestens 38 verschiedene Banken und Finanzinstitutionen. Der Grund für den ungeschützten Zugang dieser Daten bleibt unklar, da Sicherheitslücken dieser Art häufig durch Fehlkonfigurationen und menschliches Versagen entstehen.
Außerdem bleibt ungeklärt, wer für das Sicherheitsleck verantwortlich ist, wer es behoben hat und wer die betroffenen Personen informieren sollte. Die Forscher von UpGuard berichteten in einem Blog-Post, dass aus einer Stichprobe von 55.000 Dokumenten mehr als die Hälfte den Namen des indischen Kreditgebers Aye Finance erwähnten, der im vergangenen Jahr ein Börsendebüt im Wert von 171 Millionen US-Dollar angemeldet hatte.
Das staatliche Unternehmen State Bank of India folgte in der Häufigkeit der Erwähnung in den Dokumenten. Nach der Entdeckung informierten die Forscher Aye Finance sowie die National Payments Corporation of India (NPCI), die die Aufsicht über das NACH-System hat.
Doch Anfang September waren die Daten weiterhin offen zugänglich, und täglich wurden mehr Dokumente auf den unsicheren Server hochgeladen. UpGuard wandte sich schließlich an das indianische Computer Emergency Response Team, CERT-In, und kurz darauf wurde das Datenleck geschlossen.
Doch das Rätsel um die Verantwortlichkeit bleibt. Laut einem Sprecher der NPCI, Ankur Dahiya, stammen die offengelegten Daten nicht aus den Systemen der NPCI. Weder Sanjay Sharma, Mitbegründer und CEO von Aye Finance, noch die State Bank of India äußerten sich zu Anfragen nach Kommentaren.
