DavaIndia Pharmacy, der Einzelhandelsarm des in Gujarat ansässigen Unternehmens Zota Healthcare, expandierte stark – mehr als 2.300 Filialen in ganz Indien, 276 neue Standorte im Januar angekündigt und Pläne für weitere 1.200 bis 1.500 innerhalb von zwei Jahren. Seine Website, so fand der Sicherheitsforscher Eaton Zveare heraus, lief mit unsicheren „Super-Admin“-Anwendungsprogrammierschnittstellen.
Der Fehler ermöglichte es nicht authentifizierten Nutzern, Super-Admin-Konten mit hohen Privilegien zu erstellen. Von dort aus konnte ein Angreifer Tausende Online-Bestellungen mit Kundeninformationen einsehen, Produkteinträge und Preise ändern, Rabattgutscheine erstellen, ändern, welche Medikamente ein Rezept erforderten, und Website-Inhalte bearbeiten – genug für Defacement oder Störung.
Zveare meldete das Problem im August 2025 an CERT-In, Indiens Cyber-Notfallbehörde. Die Schwachstelle wurde innerhalb von Wochen behoben, wobei die Bestätigung des Unternehmens die Behörden erst Ende November erreichte. Die E-Mails von TechCrunch an Zota-CEO Sujit Paul blieben unbeantwortet; es gab keine Hinweise darauf, dass der Fehler vor seiner Behebung ausgenutzt worden war.
Fast 17.000 Online-Bestellungen – Namen, Telefonnummern, E-Mails, Adressen, gezahlte Beträge und gekaufte Produkte – offengelegt, dazu Admin-Kontrollen über 883 Filialen, für etwa ein Jahr.
Die rasche Filialexpansion überholte die Sicherheitsprüfung – die anfälligen Schnittstellen wurden mit der Plattform ausgeliefert und blieben seit Ende 2024 aktiv.
Apothekenkäufe sind von Natur aus sensibel: Bestelldaten können Gesundheitszustände und peinliche Käufe offenbaren, selbst ohne Missbrauch.
Ein nicht authentifizierter Endpunkt zur Admin-Erstellung ist eine Fehlerklasse, die mit einer einzigen Korrektur behoben wird und ein Jahr lang in der Produktion niemals überleben sollte.
Admin-Oberflächen sind Angriffsflächen: Die Bestelldaten einer Apotheke sind Gesundheitsdaten, und ein nicht authentifizierter Create-Admin-Endpunkt ist eine unverschlossene Ausgabestelle.
Der Fehler wurde innerhalb von Wochen nach der CERT-In-Meldung vom August 2025 behoben, wobei die Bestätigung den Cyber-Behörden Ende November 2025 übermittelt wurde; der Forscher veröffentlichte die Informationen nach der Behebung.
DEN BELEGEN FOLGEN
Die Quellen
- Indian pharmacy chain giant exposed customer data and internal systems TechCrunch · techcrunch.com ·