Ist es bereits gesichert, dass die Kreditkartendaten bei Active.com gespeichert waren, also in einer Datenbank, und dass sie aus dieser Datenbank entwendet wurden?

Bei vielen Onlineshops etc. werden diese Daten nicht gespeichert. Auch dann nicht, wenn man einen Account mit seinen Adressdaten bei diesem Shop hat. Die Kreditkartendaten muss man dann als Kunde jedesmal erneut eingeben. Bei manchen Shops kann man ein Häkchen setzen "Kreditkartendaten speichern".

Falls die Kreditkartendaten nicht bei Active.com gespeichert sind, könnten sie bei der Transaktion selbst, also direkt bei der Anmeldung für ein Rennen, abgefischt worden sein. Je nach dem wie das Anmeldeformular programmiert ist, könnte daher der Ironman-Server betroffen sein, oder irgendeine Zwischenstation.

Ob die Daten bei Active.com gespeichert sind, könnte man u.U. daran erkennen, dass man als Athlet bei Ironman oder Active einen Account hat, der die Kreditkartendaten enthält. Ist das der Fall?
:8/

Missbrauch findet ja nicht nur bei ... statt!
Einmal Karte aus der Hand gegeben beim Chinamann, Italiener oder anderswo, dort krimineller Mitarbeiter und zack...
:Blumen:
Thomas

Da Active und IM quasi ein Laden sind, sollten sie ja genau dieses Rätsel längst selbst gelöst haben.

Hi Arne,
warum sollte ich als User alle Daten zu Gesicht bekommen, die active von mir speichert - sprich: Selbst wenn ich die Daten nicht in meinem Account sehe, sind sie doch evtl. auf einer Datenbank gespeichert. Dafür spricht, was auf der Facebook-Seite "Boycott Active.com" zu lesen ist. Dort versuchen Sportler, Ihre Kreditkarten-Daten löschen zu lassen und haben active angeschrieben. Die Antwort von active: Der User solle sich eine App von active runterladen und dann selbst löschen.

Ist mir als Sportler eigentlich auch egal, wo genau das Leck ist: Seit Monaten wird diese auffällige Häufung seitens Ironman nicht kommuniziert ("...gibt es immer noch keinerlei Beweise, dass die Buchungen über das Active Registrierungssystem mit den Buchungen in Zusammenhang stehen..." und die Sportler laufen mit ihrer Anmeldung ins offene Messer.

Grüße, Martin

Danke für den Hinweis, hab es schon über die Website versucht aber dort waren die im Account nicht sichtbar.

Somit auch die Info für Arne.....ja,die Daten bleiben bei denen gespeichert, selbst meine abgelaufene Karte war noch drin.....nun natürlich nix mehr.

Danke für den Hinweis. :Blumen:

Die Übertragung der Daten erfolgt ja mit https-Protokoll, also zertifiziert verschlüsselt, zwischen Client-Browser und dem Webserver.

Gibt es zum Bezahlen eine direkte Verbindung zwischen dem Clientbrowser des Kunden und dem Bezahldienst, dem Webserver von active.com für die Bezahlung und Übermittlung der Daten, ist ein Missbrauch auf dem Datentransportweg sehr unwahrscheinlich. Werden hingegen die Bezahldaten des Client zuerst zum Webserver von Ironman.com übertragen und von dort anschliessend an active.com gesendet, findet auf dem Ironmanserver eine Dechiffrierung und erneute Verschlüsselung statt.

Ironman bzw. seine Schwesterfirmen haben auch die Cyclassics in Hamburg, alle Rennen der Velothon-Serie und etliche große Marathon-, Halbmarathon und 10k-Läufe (z.B. Hamburg-Marathon), sowie die Hälfte aller ITU-Rennen, die ja auch immer große Age-Grouper-Wettberwerbe haben, vor kurzem übernommen.

Es ist schwer, als aktiver Asudauersportler, an Ironman vorbeizukommen, selbst wenn man keine Langdistanztriathlons oder 70.3er bestreitet.

Für mich nicht! Ich habe den Laden satt! Bin jetzt im zweiten Ironman und Challenge freien Jahr! :Cheese:

Ich habe gar keine Apple Produkte.......;)

Mich hat es leider getroffen. ICAN Nordhausen über Active

Das zeigt ja nun auch, dass bei Active und nicht bei Ironman abgefischt wird.

Einzelfälle zeigen überhaupt nichts.
Bei Einzelfällen kann die Ursache für den Kartenmissbrauch auch sonstwo sein.

@timmi.
Na super. Wann waren dann die Abbuchungen im Verhältnis zum benutzen auf active.
Gehe mal davon aus du hast early bird bis Ende Oktober genutzt ( ich auch,nur wurde Standard (n 10er mehr) u nicht early bird abgebucht-die pi...er)
Heißt also Regelmäßig Auszüge checken.

Habe mich kurz vorm ICAN erst angemeldet, erste Augustwoche.
Abbuchung war am 6.12. (2 Transaktionen direkt nacheinander)
Also schon eine recht lange Zeit dazwischen.

Ah,ok. Noch für letztes Jahr. Na dann hoffe ich auf Wiederkehr in meine Heimat. Leider nur durch active momentan.

Natürlich ein riesiger Zufall bei 300 Teilnehmern des ICAN.... Kreditkartendaten von uns allen werden ja täglich mißbraucht.

Versteh mich nicht falsch. Das es im Umfeld von IM ein Datenleck gibt, bestreiten wohl nur noch IM&Anhang. Das sie das anscheinend auf die leichte Schulter nehmen ist eine Sauerei.

Wenn aber jetzt nur 3 Leute hier im Forum bei einer IM-Tochter irgendwas bezahlt haben und es von den Konten Abbuchungen gibt, dann kann man daraus nichts folgern.
Vielleicht haben die 3 Leute auch im letzten halben Jahr alle bei Onlinehändler XY Fahrradzubehör per KK bezahlt.

Das genau ist es doch eben nicht.
Der ICAN hat mit Ironman nichts zu tun, nutzt aber auch Active.com
Der ICAN hat vergleichsweise wenig Teilnehmer, so dass es schon ein ziemlicher Zufall ist, wenn diese Teilnehmer gerade jetzt auch von Kreditkartenmißbrauch betroffen sind.

http://www.faz.net/aktuell/finanzen/...-15039231.html

Laut diesem Artikel liegt die Betrugsrate bei VISA bei 0,04% des Umsatzes.

Nehme ich eine beliebige Ironman Veranstaltung X mit 2.500 Teilnehmern (sagen wir Startgebühr 600€) , wäre ein Betrug in Höhe von 25*0,04*600 durchschnittlich (unter der Annahme, daß die Rate bei anderen Karten ähnlich ist).

Also 600€. Bei mir waren es 593€ Schadenssumme, ergo decke ich schon mal den Durchschnitt für eine Veranstaltung ab.

Also wir sind auch betorffen. Unmittelbar nach der Anmeldung zu 70.3 Luxemburg. Mit nigel nagel neuer Karte. Also sind andere "Überweisungsgründe" außer an active ausgeschlossen! Die Bank hat lobenswerter weise selbstständig sofort reagiert und die Karte gesperrt!

Eleonore

Magst Du Deinen Fall an eu.athleteservices@ironman.com
senden? Ist ja ein schönes Beispiel dafür, daß ein Zusammenhang besteht.
Viele Grüße, Martin

Habe jetzt auch Antwort von Ironman:

Solange man active.com nicht eigenhändig hackt und eine Schwachstelle aufdeckt, räumen die nichts ein.

Gerade gesehen auf Facebook:

https://tri-mag.de/szene/es-gibt-kei...tenleck-144025

Der Artikel bringt uns allerdings kein Stück weiter. Es mag hart klingen, aber was tri-mag hier abliefert, ist doch nur eine Darstellung der aktuellen Situation. Wo ist die eigene Recherche? Wo ist kritisches Hinterfragen? Letztlich wird nur aufgezeigt, dass in der "Tria-Gemeinde" über das Thema diskutiert wird und dann werden nur die Aussagen des ironman-Pressesprechers zitiert und noch die ironman-Email-Adresse für Auffälligkeiten genannt. Ich hätte mir mehr Info/Recherche gewünscht.

Hab' dort gerade kommentiert. Die banalisierende Aussage von Ironman hätte schon kritische Nachfrage verdient gehabt. Die Vielzahl an Verdachtsfällen, auch im Ausland, legt schon nahe, dass das Leck bei Active.com liegt oder (falls sie es mittlerweile gestopft haben sollten) gelegen ist.

Dass bei Active.com nichts zugegeben wird, dürfte natürlich auch am amerikanischen Justizsystem und an der Angst vor Regressforderungen der Kreditkartengesellschaften bzw. Sammelklagen betroffener Nutzer wegen Schadensersatz liegen.
Wenn die irgendein Leck oder einen internen Fehler zugeben würden, käme es zweifellos zu einer Flut an Klagen.

Wenn wir aber doch hier im Forum lesen, dass eine neue Kreditkarte nur einmal und zwar zu einer Ironman Anmeldung genutzt wurde, dann gab es doch nur eine Chance, dass die Daten abgefischt wurden. Vor diesem Hintergrund ist die Info von Ironman ein Witz.

great story, Andi!:dresche:

Die Folgestory ist ebenso spannend, wetten?:Cheese:

Call his mother!!!:Blumen: :Huhu: :Blumen:
Thomas

Me2, fuck!
Und seit eben auch offiziell bestätigt.

Gibt doch überall den einen oder anderen Scheissdreckstypen👊

...
mit diesem Schreiben möchten wir Sie darüber in Kenntnis setzen, dass uns kürzlich ein sicherheitsrelevanter Vorfall in Bezug auf das ACTIVE Network, einschließlich ACTIVE Works und ACTIVE Endurance („Active") bekannt geworden ist, von dem möglicherweise Ihre personenbezogenen Daten betroffen waren.

Der Vorfall
Active hat kürzlich verdächtige Aktivitäten in einem ihrer Systeme identifiziert. In Zusammenarbeit mit führenden Cybersicherheitsunternehmen haben wir festgestellt, dass diese Aktivitäten Geschäftsvorgänge im Zeitraum von Dezember 2016 bis September 2017 betrafen, bei denen Nutzer manuell Informationen im Rahmen des Bezahlvorgangs auf der Active-Website eingeben haben. In dem genannten Zeitraum könnten Dritte sich Zugriff auf die von Ihnen im Rahmen des Bezahlvorgangs angegebenen personenbezogenen Daten verschafft haben.
Betroffene Daten
Zu den betroffenen Daten zählen möglicherweise Ihr Name, Ihre Anschrift, E-Mail-Adresse, Kredit- oder Debitkartennummer sowie die Gültigkeitsdauer und die sogenannte Prüfziffer (der drei- oder vierstellige Code auf der Vorder- oder Rückseite der Karte, der bei bestimmten Transaktionen zur Legitimation verwendet wird).
Unsere Maßnahmen
Active hat sofort nach Bekanntwerden der verdächtigen Aktivitäten führende Cybersicherheitsunternehmen mit der Untersuchung des Vorfalls beauftragt und Schritte zur Verbesserung ihrer Überwachungsinstrumente und Sicherheitskontrollen unternommen.
Ihre Mithilfe
Bitte prüfen Sie Ihre mit Bezahlkarten verbundenen Konten stets auf nicht autorisierte Bezahlvorgänge und melden Sie Auffälligkeiten umgehend an Ihre Bank oder das karten*ausgebende Institut. Die entsprechende Telefonnummer finden Sie üblicherweise auf der Rückseite Ihrer Kredit- oder Debitkarte.
Weitergehende Informationen
Wir entschuldigen uns für eventuell mit diesem Vorfall für Sie verbundene Unannehmlichkeiten. Sollten Sie Fragen haben oder weitere Informationen zu dem Vorfall benötigen, erreichen Sie uns von Montag bis Freitag zwischen 13:00 Uhr nachmittags und 7:00 Uhr morgens deutscher Zeit unter der Telefonnummer 001-800-338-3104. Der Anruf ist gebührenfrei.
Mit freundlichen Grüßen

Phil Petescia
Vice President

Hi, google findet noch nichts auf die Schnelle - woher hast Du die Nachricht?
Viele Grüße, Martin

:Blumen:

Im Prinzip haben wir es nach Analyse der Fälle (insbesondere den Fällen, wo Karten missbraucht wurden, die für nichts anderes als Transaktionen via Active.com benutzt wurden) eh schon gewusst.

Aber interessant, dass Active.com jetzt nach all dem unglaubwürdigen Abstreiten und Beschwichtigen doch in die Vorwärtsverteidigung geht und sogar aktiv potenzielle Betroffene informiert und warnt. Auch diese 180°-Kehrtwende in der Informationspolitik dürfte juristische Gründe im Zusammenhang mit dem US-Verbraucherschutzrecht haben. Vermutlich muss ein Unternehmen, dem eine Datenlücke bekannt geworden ist, zeitnah an die Betroffenen herantreten, um von diesen nicht später verklagt werden zu können.

Hoffentlich ist mit September 2017 wirklich ein Schlussstrich unter die Sache gezogen worden. War ja ein Trauerspiel, wie hier alles seitens IM / Active heruntergespielt wurde. Ich hatte ja auch einen Missbrauchsfall und mich an IM gewendet... und wurde mit einer (für mich inhaltslosen) Standardantwort per Mail abgefertigt.

Das wäre doch jetzt ein guter Zeitpunkt, die unverschämte Gebühr für die Meldungen über Active.com zurückzufordern :Cheese:

kam per Mail. Schau mal in deinem Spam Ordner.
Da lag sie bei mir auch.

Moin,

bei mir lag die Mail gestern im normalen Posteingang, auf den ersten Blick dachte ich noch, warum zur Hölle sortiert Gmail das nicht wie sonst in den Müll..., war dann aber doch ne wichtige Nachricht :(
Bin dann zum dritten mal alle VISA Abbuchungen seit der IM HH Anmeldung durchgegangen, bisher alles tutti.

Gruß
Chrischi

Toll, sie haben zugegeben, was sowieso offensichtlich war.

Habe mich am 23. Januar 2018 für Rügen angemeldet und eine Woche später wurde meine KK mit dem Hinweis auf auffällige Aktivitäten getauscht. Hatte meine Business-KK verwendet, die ansonsten nur für Flugbuchungen bei LH, myTaxi, DB und großen Hotels verwendet wird. Meine Vermutung daher: September 2017 war leider nicht das Ende :dresche

Ich habe keine Email bekommen - ich werde mal bei tri-mag nachfragen, ob sie Ihr Interview mit Ironman von damals ("Es gibt keine Hinweise auf ein Datenleck") um diese neue Info erweitern möchten.
Grüße, Martin