Das internationale Zahlungskartenunternehmen MasterCard hat einen offensichtlichen Fehler in seinen Domain-Name-Server-Einstellungen behoben, der es jedem ermöglichte, falsch geschriebene Domain-Namen zu registrieren, um den Netzwerkverkehr von MasterCard abzufangen oder umzuleiten. Dieser Fehler dauerte fünf Jahre, beginnend am 30. Juni 2020 und endete am 14. Januar 2025. Das Hauptproblem bestand darin, dass die Mastercard-Ingenieure während der Konfiguration versehentlich akam.net als akam.ne geschrieben haben.

Der NE-Domainname ist der länderspezifische Top-Level-Domainname (ccTLD) des afrikanischen Landes Niger. Nachdem der Forscher diesen Fehler entdeckt hatte, gab er 300 US-Dollar aus, um diesen Domainnamen aus Niger auf eigene Kosten zu registrieren, und konnte dann den von Mastercard übertragenen Datenverkehr empfangen.

Der offizielle Domainname von MasterCard, MasterCard.com, basiert auf fünf DNS-Serversätzen des Internet-Infrastrukturdienstleisters Akamai, zu denen auch akam.net gehört, und die Ingenieure von MasterCard haben ihn als akam.me geschrieben.

Theoretisch sollten die fünf Servergruppen Abfragen durchführen, um den Datenverkehr aufzulösen. Tatsächlich liefert der DNS-Server jedoch normalerweise die Hauptdatenverkehrsanalyse für die erste Gruppe, und die folgenden Gruppen werden als Backups verwendet. Selbst wenn bei einem von ihnen ein Problem auftritt, spielt das keine Rolle, es wird zur Lösung automatisch auf ein anderes DNS umgeschaltet.

Mastercard hatte keine Auswirkungen auf das eigentliche Geschäft, nachdem es eine Gruppe seiner DNS-Konfiguration auf akam.ne eingestellt hatte. Der Grund dafür ist, dass dieser Domänenname zuvor ungültig war und daher nicht an der eigentlichen Lösung beteiligt war, bis Forscher diesen Domänennamen registrierten.

Nachdem der Forscher den Domänennamen registriert hat, kann er theoretisch den Domänennamen als DNS-Server registrieren und MasterCard.com dann auf die IP-Adresse seines eigenen Servers verweisen. Dann können viele böswillige Vorgänge durchgeführt werden, z. B. die Beantragung eines TLS-Zertifikats für den Domänennamen zur Entführung.

Das Witzige ist, dass es definitiv nicht nur Mastercard ist, das solche geringfügigen Fehler macht, denn die Forscher haben akam.ne als DNS-Server registriert und dann jeden Tag mehr als 100.000 DNS-Anfragen erhalten, was bedeutet, dass es immer noch eine große Anzahl von Unternehmen gibt, die geringfügige Fehler machen, indem sie den Domänennamen des DNS-Servers falsch schreiben, wenn sie Akamai-Dienste nutzen.

Da der Domainname bereits vom Forscher registriert worden war, würde es kein großes Problem geben, also gab der Forscher den Fehler auf seinem LinkedIn bekannt. Mastercard hat den Fehler schnell eingeräumt und behoben und betont, dass das Problem keine Auswirkungen habe.

Das Versäumnis des Forschers, zunächst zu veröffentlichen, führte jedoch zu Unzufriedenheit mit Mastercard. Mastercard schickte eine Nachricht an den Forscher über Bugcrowd, eine Plattform zur Schwachstellenforschung und Belohnung eines Drittanbieters. Bugcrowd wies darauf hin, dass der Ansatz des Forschers nicht im Einklang mit ethischen Sicherheitspraktiken stehe und übermittelte auch die Bitte von Mastercard, den Beitrag zu löschen.

Der Forscher, der das Problem schließlich entdeckte, war Philippe Caturegli, Gründer des Cybersicherheitsunternehmens Seralys. Philippe Caturegli erinnerte außerdem alle daran, die Risiken nicht zu ignorieren, Mastercard nicht zu folgen und die Offenlegung von Sicherheitsfragen nicht Ihrem Marketingteam zu überlassen.