Il responsabile regionale bavarese per il Protezione dei dati e il responsabile regionale per la protezione dei dati del Baden-Württemberg si trovano ad affrontare verifiche approfondite: un esperto di sicurezza ha individuato gravi falle di sicurezza nei portali di confronto Verivox e Check24. A quanto pare, decine di migliaia di clienti sarebbero stati colpiti da queste fughe di dati. Il Chaos Computer Club parla addirittura di un „disastro totale“.
Vulnerabilità di sicurezza su Check24 e Verivox
Le fughe di dati sono state scoperte da un esperto di sicurezza informatica che desidera rimanere anonimo. In un’intervista al portale di giornalismo d’inchiesta Correctiv, l’esperto ha spiegato di essersi letteralmente imbattuto nella falla di sicurezza di Check24 e di aver poi individuato una fuga simile anche su Verivox. „Per sfruttare le vulnerabilità non era necessaria una conoscenza tecnica approfondita”, ha affermato l’informatore.
Check24 e Verivox sono portali di confronto che consentono ai consumatori di confrontare, ad esempio, le tariffe dell’elettricità e del gas o le condizioni dei prestiti. Se il consumatore trova ciò che cerca, Check24 o Verivox possono, su richiesta, fungere da intermediari per la stipula del contratto. In questo contesto, le due società percepiscono commissioni di entità considerevole Dati personali, necessari per la stipula del rispettivo contratto. I dati vengono inoltre trasmessi alla società intermediaria. Per la stipula del contratto, Check24 e Verivox ricevono una commissione.
Violazione dei dati nella mediazione creditizia
Come riporta Correctiv, la vulnerabilità di sicurezza si è verificata nella sezione di confronto crediti di entrambi i portali. Gli interessati che avevano effettuato il login come ospiti ricevevano l'offerta personalizzata tramite un URL. Chiunque avesse modificato il numero alla fine dell'URL verso l'alto o verso il basso avrebbe potuto ricevere l'offerta personalizzata per una terzo persona. In Verivox questo era possibile senza richiedere la password, in Check24 sì. Tuttavia, la stessa password è stata utilizzata per tutti i clienti.
In questo modo semplicissimo, l’esperto informatico è riuscito a consultare i dati di altre persone. Tra questi figuravano informazioni sensibili quali indirizzo, stipendio mensile, numero di figli o datore di lavoro. L’informatore ha avvisato le due aziende tramite il Chaos Computer Club: Check24 il 29 luglio e Verivox il 20 agosto.
„È davvero sorprendente che due portali così grandi, che non fanno altro che raccogliere dati e trasmetterli alle banche, commettano errori da principianti che in realtà non dovrebbero verificarsi”, spiega Matthias Marx del Chaos Computer Club in un’intervista a Correctiv.
Suggerimento di lettura: La Commissione irlandese per la protezione dei dati avvia un procedimento di AI contro Google
Le indagini delle autorità garanti della protezione dei dati sono già state avviate
Check24 e Verivox hanno confermato le vulnerabilità su richiesta di Correctiv. Secondo quanto dichiarato da entrambe le aziende, le vulnerabilità sono state risolte e gli sviluppatori responsabili hanno seguito un corso di aggiornamento. Le indagini delle autorità competenti in materia di protezione dei dati chiariranno in che misura vi fossero in precedenza carenze nelle misure tecniche e organizzative.
Check24 ha sede a Monaco di Baviera; l’autorità competente per l’azienda è il Garante regionale bavarese per la protezione dei dati. L’azienda Verivox ha sede a Heidelberg; in questo caso, a occuparsene è il Garante regionale per la protezione dei dati del Baden-Württemberg. Le società devono ora dimostrare, in primo luogo, se le falle nella sicurezza abbiano comportato il furto di dati. Per quanto riguarda la durata della vulnerabilità e il numero di persone che potrebbero essere state coinvolte, le due società non hanno ancora potuto fornire alcuna informazione. Anche questo aspetto sarà ora oggetto delle indagini delle autorità garanti della protezione dei dati.
German 
English 
Italian 
French