Thought Leadership
Beim Mietwagen-Vermittler Carla lagen rund 48.000 Buchungsdokumente ungeschützt im Netz. Betroffen waren persönliche Daten und Reisezeiten von Kunden.
Sicherheitsforscher von Cybernews haben am 3. Juni 2026 einen ungesicherten Cloud-Speicher des Vermittlers Carla entdeckt. Das Unternehmen mit Sitz in der Türkei aggregiert Mietwagenangebote in über 180 Ländern an mehr als 20.000 Standorten und verzeichnet nach eigenen Angaben jährlich rund 2 Millionen Nutzer. In dem frei zugänglichen Speicherbereich auf der Plattform Amazon Web Services befanden sich etwa 48.000 PDF-Dateien mit Buchungsbestätigungen. Täglich kamen hunderte neue Dokumente hinzu, was auf eine aktive Nutzung des Datenspeichers hinweist. Nach der Benachrichtigung durch die Forscher schloss das Unternehmen den öffentlichen Zugriff am 29. Juni 2026.
Umfang der offengelegten Carla-Daten und Betroffenen
Die offen zugänglichen Buchungsdokumente enthielten detaillierte Informationen über Kunden und deren geplante Reisen. Zu den betroffenen Datenkategorien gehören:
- Vollständige Namen, E-Mail-Adressen und Telefonnummern der Fahrer
- Buchungs- und Gutscheinnummern
- Mietzeiträume, Gesamtkosten sowie Abhol- und Rückgabeorte
- Fahrzeugdetails wie Modell, Fahrzeugklasse und Getriebeart
Anhaltspunkte für einen vorausgegangenen Missbrauch der Daten lagen den Forschern zum Zeitpunkt der Entdeckung nicht vor.
Risiken für Social Engineering und Einbruchskriminalität
Das Forschungsteam von Cybernews ordnete die potenziellen Gefahren für betroffene Personen wie folgt ein:
„Personen, die vom Carla-Datenleck betroffen sind, sind möglicherweise einem erhöhten Risiko von Social-Engineering-Angriffen ausgesetzt. Darüber hinaus können böswillige Akteure die offengelegten Mietzeitraumdaten nutzen, um auf das Reiseverhalten von Einzelpersonen zu schließen.“
Forscher von Cybernews
Kriminelle könnten die genauen Reisedaten nutzen, um gefälschte Benachrichtigungen zu angeblichen Problemen mit der Fahrzeugreservierung zu versenden und dadurch weitere persönliche Informationen abzugreifen. Zudem lassen sich aus den Mietzeiträumen gezielte Rückschlüsse auf Abwesenheiten von Personen an ihren Heimatorten ziehen.
(red)
