Dark-Web-Liste widerspricht Dodo Payments' Angaben zu Datenleck
Das indische Zahlungsunternehmen Dodo Payments gab am 17. August an, dass ein Einbruch in ein internes Analysesystem keine API-Schlüssel oder Passwörter kompromittiert habe. Eine Untersuchung von MediaNama zeigt jedoch, dass ein Eintrag im Dark Web behauptet, sensible Daten seien gestohlen worden.
Dodo Payments, ein Zahlungsdienstleister aus Bangalore, sieht sich mit neuen Vorwürfen konfrontiert, nachdem eine Liste im Dark Web aufgetaucht ist, die den Angaben des Unternehmens zu einem kürzlich aufgetretenen Datendiebstahl widersprechen soll. Am 17. August informierte Dodo Payments seine Kunden über einen Vorfall in einem internen Analysesystem, bei dem angeblich keine kritischen Daten wie API-Schlüssel, Passwörter oder Kontozugangsdaten betroffen waren.
Eine Überprüfung der Liste im Dark Web durch MediaNama beschreibt jedoch einen Datensatz, der angeblich gestohlene Informationen des Unternehmens enthält. Dazu sollen eine breite Palette von Datentypen gehören, wie z.B. KYC-Verifizierungsanfragen, Identitätsprüfungen, Bankverifizierungsanfragen, Geschäfts-Telefonnummern und Verifizierungen, UBO-Anfragen, Compliance-Anfragen für Auszahlungen, Bankkonten für Auszahlungen sowie zusätzliche Verifizierungsanfragen. Des Weiteren werden Fingerabdruckereignisse mit E-Mail-Adressen, Client-IPs und Hashes von Daumenabdrücken aufgeführt.
In seiner offiziellen Mitteilung erklärte Dodo Payments: "Händler-API-Schlüssel, Dashboard-Passwörter und Kontozugangsdaten werden nicht im betroffenen System gespeichert und waren nicht zugänglich." Mitbegründer Rishabh Goel bekräftigte dies auf X und versicherte, dass "keine Passwörter, API-Schlüssel, Webhook-Geheimnisse, Kartennummern oder gespeicherten Zahlungstokens beteiligt waren". Das Unternehmen betonte, dass das betroffene System eine selbst gehostete Metabase-Installation für interne Berichterstattung sei und von den Zahlungssystemen getrennt sei.
Die Dark-Web-Liste, die angeblich vom 16. August 2026 datiert ist, einem Tag vor der öffentlichen Bekanntgabe durch Dodo Payments, behauptet, der Datensatz umfasse etwa 60,8 GB über vier ClickHouse-Datenbanken mit rund 39,3 Millionen Zeilen. Sie nennt spezifische Kategorien wie 'Internal API & auth', die angeblich API-Schlüssel und Authentifizierungstoken enthalten, sowie eine 'Credentials'-Tabelle, die angeblich aus Keycloak stammt, einem Identitätsmanagement-System, das Dodo Payments nicht erwähnt hat.
MediaNama hat Dodo Payments kontaktiert, um eine Bestätigung oder Ablehnung der Vorwürfe aus dem Dark Web zu erhalten und wartet auf eine Antwort. Die Publikation weist darauf hin, dass die Echtheit der Daten auf der Dark-Web-Seite nicht unabhängig überprüft wurde und dass Bedrohungsakteure ein Interesse daran haben könnten, den Umfang eines Angriffs zu übertreiben.