Peloton: Schwachstelle in der API des Unternehmens erlaubte Zugriff auf sensible Daten der Nutzer
Den Sportlern unter euch dürfte eventuell der Anbieter Peloton bekannt sein, der nicht nur eigene Heimtrainer für daheim anbietet, sondern dahinter auch direkt ein Abo-System vermarktet, mit dem ihr von daheim an diversen Sportkursen teilnehmen könnt. Der Dienst könne mittlerweile über 3 Mio. Abonnenten vorweisen, weshalb die nun offengelegte Sicherheitslücke pikanter sein dürfte, als man vielleicht vermuten mag.
Denn wie Techcrunch berichtet, habe ein Sicherheitsforscher bereits im Januar dieses Jahres entdecken können, dass er ohne weitere Prüfungsmechanismen auf die API von Peloton zugreifen und dort private Benutzerdaten anderer Mitglieder abgreifen konnte. Dabei sei es unerheblich, ob das entsprechende Konto auf „privat“ gestellt worden ist oder nicht.
Da Peloton umgehend vom Sicherheitsforscher hierzu kontaktiert worden ist, die von ihm gesetzte Frist von 90 Tagen aber nicht eingehalten hat, um den Fehler zu beheben, hat dieser nun seine Informationen offengelegt. Die API ermöglichte es ihm und somit eventuell auch anderen Angreifern (Peloton wollte sich nicht äußern, ob es bereits entsprechende Angriffe gegeben hat), das Alter, das Geschlecht, den Wohnort, das Gewicht, Trainingsstatistiken und mehr von den Nutzern abzugreifen.
Das Unternehmen reagierte zwischendurch damit, dass der Zugriff auf die API lediglich seinen monatlich zahlenden Mitgliedern gewährt worden ist. Jene hatten aber noch immer den vollen Zugriff auf eben genannte Daten. Inzwischen soll die Lücke komplett geschlossen worden sein, die API somit keinen unautorisierten Zugriff mehr auf jene Daten erlauben. Fraglich ist, warum sich das Unternehmen derart lange Zeit gelassen hat, die Lücke wirklich zu schließen, statt nur einen unbefriedigenden Workaround anzubieten.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Musste ich zusätzlich daran denken:
https://www.wiwo.de/erfolg/gruender/us-praesident-und-sein-spinning-rad-peloton-wird-zum-politikum-schuld-daran-ist-joe-biden/26839232.html
Drei Millionen Abonenten? Ich begreife sowas nicht. Das ist weder die richtige Ausrüstung für Leistungssportler, noch für Hobbysportler. Wer ist da die mindestens drei Millionen Menschen große Zielgruppe?
Was macht Peloton besser als die unzähligen anderen Anbieter in dem Bereich? Ist es nur das Marketing?
Siehst Du, und ich verstehe Dein Unverständnis nicht. Peloton-Bikes sind technisch eine gute Lösung für Leute, die zuhause Spinning machen wollen. Das Bike wird samt Zubehör geliefert, zusammengebaut, an seinem Bestimmungsort aufgestellt und von den Peloton-Leuten vor Ort erklärt. Dazu gibt es noch ein integriertes Kurssystem, das man nur einschalten muss – fertig. Dass es recht hochpreisig ist, so what? Die Leute kaufen sich alle mögliche hochpreisige Dinge, warum nicht also auch ein Peloton?
Sehr geschicktes Fernsehmarketing, die Hersteller von Rollentrainer oder Steuerungsanwendung für eben selbige sind defensiver Unterwegs. Peloton macht anschmiegsame Werbung und das schaut dann toll aus.
Wieder der Blick auf Apple. Apples Fernsehwerbung macht viel BlingBling, in Wahrheit waren das vor allem Anfangs Erklärbarvideos. Produktschulung, ohne dass die Leute es merken. Und Apple ist so dreißt und lässt die Netzbetreiber die Werbung bezahlen
btw.
Vor Ort erklärt einem bei Peloton sicher niemand etwas. Jetzt schon gar nicht.
Du mit Deinem Rollentrainer und Apple-Vergleich. Sei doch froh, wenn Du „Dein Ding“ gefunden hast. Letztlich soll jeder mit dem zufrieden sein, was am besten passt. Vielen passen Rollentrainer, anderen wiederum das Peloton. Und natürlich wird einem grundsätzlich das Bike bei Lieferung eingestellt und erklärt. Nur halt in einer Pandemie aus nachvollziehbaren Gründen eben nicht. Diese ungewöhnlichen Umstände als Nachteile des Service zu beschreiben, ist jedoch nicht fair.
Und mit dem in Deutschland (noch) nicht verfügbaren Laufband gibt es in den USA auch „leichte“ Probleme, was schwere Verletzungen und auch schon den ersten Todesfall zur Folge hat. Erst stellte man sich quer, bis die ngeative Publicity zu groß wurde. Und die Laufbänder sind noch teurer als Fahrräder…
Der Widerstand wird beim Peloton Bike+ remote vom Trainer eingestellt, wenn Du was willst. Nix mit roten Knopf alle drei Minuten drehen.
Ja, nennt sich glaube ich „Auto Follow“.