ANZEIGE

Priceless Specials

ANZEIGE
marhen meinte:
Da ist so viel Struktur drin, dass es sehr wahrscheinlich ist, dass die entschlüsselbar sind. Bei mir steht da zum Glück nichts drin, aber wenn jemand mir 3-4 Einträgen da mal etwas rumspielt, sollte man recht schnell auf das "Verschlüsselungs"verfahren kommen.
Zum Vergrößern anklicken....

Ich hab mehrere Einträge, und trotz bekannter Inputs bisher noch keine sinnvollen Daten gefunden.
 
Es steht bei allen etwas drin, öffne die Datei mal mit Access anstelle von excel.

marhen meinte:
Da ist so viel Struktur drin, dass es sehr wahrscheinlich ist, dass die entschlüsselbar sind. Bei mir steht da zum Glück nichts drin, aber wenn jemand mir 3-4 Einträgen da mal etwas rumspielt, sollte man recht schnell auf das "Verschlüsselungs"verfahren kommen.
Zum Vergrößern anklicken....
 
Bei mir waren Fidor, Curve und Advanzia drin.

Fidor und Curve in der App temporär gesperrt, bei Advanzia angerufen und Karte sperren lassen (nach ca. 4 Minuten war jemand an der Strippe).

Werde mal abwarten, was passiert. Dann ggf. die restlichen Karten entsperren oder neue Karten(~nummern) anfordern.
 
Kann man den leak noch irgendwo prüfen? Bei mydealz finde ich nichts mehr

Edit: Danke, hab mich drin auch gefunden :(
 
Zuletzt bearbeitet:
Hab jetzt meine Karte bei Curve seitens Support sperren lassen, kriege eine neue. Sicher ist sicher.
 
Meine Erkenntnis:

- Die KK-Daten in Spalte A sind so, wie sie auch im Frontend des Priceless-Seite gezeigt wurden (die kleine stilisierte Mastercard oben rechts)
- Spalte Q "additional customer cards" sind Referenznummern zu der/den hinterlegten Karte(n). Auf MC Seite wird diese Referenz-Nummer dann hinter der echten KK-Nummer hinterlegt sein. (Gibt Payment-Systeme, die machen das ähnlich, Hyatt USA nutzt sowas in ihrem Call Center z. B.) Man erspart sich für den Priceless Bereich dann PCI DSS Auflagen (was dann dazu führt...).

-> Demnach keine Kreditkartendaten geleakt. Dennoch natürlich inakzeptabel.

Generell ist das ganze wohl auch schrottig programmiert, es fanden bei den Daten praktische keine Plausibilitätsprüfungen statt (bei Ort kann irgendwas eingegeben werden). Im Februar 2018 konnte ein Spammer über 4 Tage knapp 1.000 Accounts anlegen. (Sollte sich mal ein Profi anschauen. Ich wette, das kam nicht über die Seite sondern über einen Datenbank-"Hack". Somit war das nicht der erste "Einbruch".
 
Bertes meinte:
Im Februar 2018 konnte ein Spammer über 4 Tage knapp 1.000 Accounts anlegen. (Sollte sich mal ein Profi anschauen. Ich wette, das kam nicht über die Seite sondern über einen Datenbank-"Hack". Somit war das nicht der erste "Einbruch".
Zum Vergrößern anklicken....

Warum nur User anlegen wenn man eh DB Zugang hat. Account-Erstellung ist ja z.B. mit Selenium in ein paar Minuten automatisiert. Und die paar Captchas kosten ja auch nichts.
 
Wie gesagt, sollte sich ein Profi anschauen.
Die E-Mail Adressendomains dürfte es nicht geben, somit kein "Ziel" für die Bestätigungsemail. Deshalb die Idee, dass es "direkt" in die Datenbank geschrieben wurde
 
Bertes meinte:
Weil über 4 Tage ~945 Benutzer mit absolut kryptischen Daten angelegt wurden.

Kann natürlich auch was anderes sein, aber wenn man die Liste nach PLZ sortiert, sticht das sofort ins Auge.
Zum Vergrößern anklicken....

Es sticht auch beim Scrollen eine Email Adresse mit ....... hervor, wo der Punkt an unterschiedlichen Stellen gesetzt wurde, den gmail dann eliminiert.

Schöner Mist.

Kann man eigentlich den Betreiber von Wortfilter anzeigen, da er den Link verbreitet?
 
Zuletzt bearbeitet:
  • Like
Reaktionen: JFI
Kiwi29 meinte:
Es sticht auch beim Scrollen eine Email Adresse mit bigbase... hervor, wo der Punkt an unterschiedlichen Stellen gesetzt wurde, den gmail dann eliminiert.
Zum Vergrößern anklicken....
Ich würde vermuten da gab es irgendeinen Gutschein oder anderen Benefit bei der Anmeldung, evtl. sogar ohne die eMail oder eine KK bestätigen zu müssen, den dann manche automatisiert generiert haben.
 
tharg meinte:
Ich würde vermuten da gab es irgendeinen Gutschein oder anderen Benefit bei der Anmeldung, evtl. sogar ohne die eMail oder eine KK bestätigen zu müssen, den dann manche automatisiert generiert haben.
Zum Vergrößern anklicken....

Im Februar 2018 gab es den 10.- Euro Tchibo.de Gutschein für die Anmeldung. Vermutlich hat da jemand versucht den so abzugreifen.
 
  • Like
Reaktionen: JFI
Aber mittlerweile hat der Typ auf Wortfilter den Link runter genommen oder? Ich einerseits ja gut, andererseits hätte ich auch gerne Mal gecheckt ob ich betroffen bin.
In dem Fall müsste doch die Kartenausgebende Bank nen kostenlosen Kartentausch machen, oder?
 
  • Like
Reaktionen: JFI
Um antworten zu können musst
du eingeloggt sein.
Zurück
Oben