Peloton: Schwachstelle in der API des Unternehmens erlaubte Zugriff auf sensible Daten der Nutzer

Den Sportlern unter euch dürfte eventuell der Anbieter Peloton bekannt sein, der nicht nur eigene Heimtrainer für daheim anbietet, sondern dahinter auch direkt ein Abo-System vermarktet, mit dem ihr von daheim an diversen Sportkursen teilnehmen könnt. Der Dienst könne mittlerweile über 3 Mio. Abonnenten vorweisen, weshalb die nun offengelegte Sicherheitslücke pikanter sein dürfte, als man vielleicht vermuten mag.

Denn wie Techcrunch berichtet, habe ein Sicherheitsforscher bereits im Januar dieses Jahres entdecken können, dass er ohne weitere Prüfungsmechanismen auf die API von Peloton zugreifen und dort private Benutzerdaten anderer Mitglieder abgreifen konnte. Dabei sei es unerheblich, ob das entsprechende Konto auf „privat“ gestellt worden ist oder nicht.

Da Peloton umgehend vom Sicherheitsforscher hierzu kontaktiert worden ist, die von ihm gesetzte Frist von 90 Tagen aber nicht eingehalten hat, um den Fehler zu beheben, hat dieser nun seine Informationen offengelegt. Die API ermöglichte es ihm und somit eventuell auch anderen Angreifern (Peloton wollte sich nicht äußern, ob es bereits entsprechende Angriffe gegeben hat), das Alter, das Geschlecht, den Wohnort, das Gewicht, Trainingsstatistiken und mehr von den Nutzern abzugreifen.

Das Unternehmen reagierte zwischendurch damit, dass der Zugriff auf die API lediglich seinen monatlich zahlenden Mitgliedern gewährt worden ist. Jene hatten aber noch immer den vollen Zugriff auf eben genannte Daten. Inzwischen soll die Lücke komplett geschlossen worden sein, die API somit keinen unautorisierten Zugriff mehr auf jene Daten erlauben. Fraglich ist, warum sich das Unternehmen derart lange Zeit gelassen hat, die Lücke wirklich zu schließen, statt nur einen unbefriedigenden Workaround anzubieten.

Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf ge­lan­gt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir ei­ne kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.