Das mit Urlaub ging mir auch durch den Kopf. Bin auch selbst im Urlaub und hätte gewiss anderes zu „tun“ als den Schaden versuchen zu erfassen.
Dass Canny nur ein unteilbares Berechtigungspaket angeboten hat, erklärt den Zugriff technisch, rechtfertigt aber nicht, warum 21bitcoin einer Feedback-Integration derart weitreichenden Zugriff gewährte.
Meine zentrale Frage bleibt bisher unbeantwortet: Die Überprüfung einer Supportnachricht in der App schützt mich vor falschem Support – aber wie schützt sich der Support selbst davor, dass sich jemand mit den offengelegten Daten als Kunde ausgibt, etwa bei Kontowiederherstellung oder 2FA-Reset? Die Daten könnten zudem mit anderen, beispielsweise im Darknet verfügbaren Datensätzen verknüpft werden. Dadurch ließe sich ein noch vollständigeres Kundenprofil erstellen, mit dem ein Angreifer gegenüber dem Support besonders glaubwürdig auftreten könnte.
Unklar bleibt auch, welche Daten Canny regulär verarbeitete oder speicherte. Zudem spricht der Daniel vom Sicherheitscode für automatische E-Mails, während im Helpcenter von allen E-Mails die Rede ist. Was gilt nun?