Demo-Zugangsdaten mit Testpasswort #audi4ringe in einer öffentlich herunterladbaren Produktions-App. Zugang zu 87.000 Mitarbeiter-Gehaltsabrechnungen, IBAN-Daten, Elternzeit- und Krankmeldungseinträgen. Ein OTP-Bypass, der die Zwei-Faktor-Authentifizierung aushebelt. Und ein Konzern, der den Bericht über Bugcrowd als „Informational” abweisen ließ.
1 Critical 7 High HR / Personaldaten Fahrzeugtelemetrie VW-Konzern
| Kategorie | Befund | Impact |
|---|---|---|
| HR / Personaldaten | Demo-Zugangsdaten (#audi4ringe) gewähren Zugriff auf 87.000 Mitarbeiter-Gehaltsabrechnungen | Critical |
| Authentifizierung | OTP-Bypass: Zwei-Faktor-Authentifizierung über Demo-Account vollständig umgehbar | High |
| App-Integrität | JS-Bridge + FileProvider-Kette = vollständige App-Kompromittierung (Connect Plug&Play) | High |
| API-Schlüssel | 9 hardcoded Google Maps API Keys — geschätztes Missbrauchspotenzial $850K pro Nacht | High |
| Dateisystem | FileProvider root-path exponiert gesamtes Dateisystem der Connect App | High |
| Fahrzeugdaten | CARIAD OAuth-Secret hartcodiert — Fahrzeugtelemetrie über VW-Plattform exponiert | High |
Die HR-App enthält Demo-Zugangsdaten im öffentlich herunterladbaren APK-Binary. Mit dem Testpasswort #audi4ringe und dem zugehörigen OTP-Bypass erhalten Angreifer Zugang zu:
Die Kombination aus hartkodierten Credentials und OTP-Bypass eliminiert sämtliche Authentifizierungsbarrieren.
Statische Analyse öffentlich verfügbarer APKs aus dem Google Play Store. Kein Systemzugriff. Keine Credentials getestet. Keine Nutzerdaten extrahiert. ISO 29147.
Alle Einschätzungen basieren auf eigener Sicherheitsanalyse. Unabhängige Verifizierung durch den Hersteller bleibt maßgeblich.