Mastercard schrammt mit Glück an schwerem Security-Vorfall vorbei

Der Kreditkartenanbieter Mastercard ist mit Glück an einem gra­vie­ren­den Sicherheits-Vorfall vorbeigeschrammt. Dafür musste ein schwer­wie­gen­der Fehler in den Domain-Name-Server (DNS)-Einstellungen be­ho­ben werden, der fast fünf Jahre lang unentdeckt blieb.

Tippfehler im DNS

Der Fehler hätte es Angreifern ermöglicht, den Datenverkehr abzufangen oder umzuleiten, der mit Servern des Unternehmens in Verbindung stand. Ein Sicherheitsforscher entdeckte das Problem und investierte 300 Dollar, um eine ungenutzte Domain zu registrieren - und so erst einmal einen möglichen Missbrauch zu verhindern.

Zwischen Juni 2020 und Januar 2025 war eine zentrale DNS-Konfiguration von Mastercard fehlerhaft. Statt auf die korrekte Domain "akam.net" beim CDN-Betreiber Akamai verwies eine der Servereinstellungen auf "akam.ne" - eine Domain, die unter die Zuständigkeit des westafrikanischen Landes Niger fällt. Der Sicherheitsforscher Philippe Caturegli, Gründer der Firma Seralys, bemerkte den offenkundigen Tippfehler und registrierte die Domain akam.ne. Innerhalb kurzer Zeit erhielt sein Server täglich Hunderttausende DNS-Anfragen, darunter viele von Mastercard-Domains.


Wäre die Domain von Cyberkriminellen registriert worden, hätten diese möglicherweise vertrauliche Daten abfangen können, darunter E-Mails oder Windows-Authentifizierungsdaten von Mitarbeitern. Zudem hätte es ihnen theoretisch ermöglicht werden können, SSL-Zertifikate zu beantragen, um den legitimen Internetverkehr zu täuschen.

Nachdem Caturegli Mastercard über den Fehler informiert hatte, korrigierte das Unternehmen die Konfiguration und erklärte, es habe "keine Gefahr für die Sicherheit der Systeme" bestanden. Das Unternehmen zeigte sich auch wenig dankbar und bat Caturegli, seinen öffentlichen LinkedIn-Beitrag über den Vorfall zu entfernen. Der Forscher betonte jedoch, dass er den Fehler unabhängig gemeldet und die Domain zu seinem eigenen Schutz registriert habe, bevor er die Öffentlichkeit informierte.

Ernsthaftigkeit bitte

Laut Caturegli zeigen solche Fehler, wie wichtig präzise DNS-Konfigurationen sind. Selbst ein kleiner Tippfehler kann weitreichende Auswirkungen haben. Angreifer könnten darüber auch manipulierte DNS-Daten mit langen TTL-Zeiten (Time to Live) verbreiten, wodurch sich ein solches Problem dann nicht mehr schnell aus der Welt schaffen ließe.

Abschließend kritisierte Caturegli Mastercards Umgang mit der Sicherheitslücke: "Man sollte Risiken nicht herunterspielen und sicherstellen, dass Sicherheitslücken ernst genommen und nicht von Marketing-Teams behandelt werden."



Siehe auch: