Sicherheitslücke bei Carlsberg Group
Event-Armband-Nummer erlaubt Zugriff auf Daten von Ausstellungsgästen.

Sicherheitsforscher von Pen Test Partners entdeckten im Sommer 2025 eine Sicherheitslücke bei einer Web-Plattform der Carslberg Group. Nach dem Besuch einer interaktiven Ausstellung wurde der Forscher dazu aufgefordert, die auf seinem Armband abgedruckte Nummer auf einer mit einem QR-Code aufrufbaren Webseite einzugeben, die "Erinnerungen" an die Ausstellung - Bilder und Videos - enthielt.

Diese Nummer hatte "nur" 26 Mio. mögliche Kombinationen - und keine weiteren Schutzmaßnahmen. Es gelang dem Forscher, mit einem Brute Force-Ansatz innerhalb einer Stunde eine Millionen dieser Kombinationen herauszufinden. Es wäre also binnen 52 Stunden möglich, alle validen IDs aufzuschlüsseln und die damit verknüpften Fotos und Videos abzugreifen.

Das Team von PTP wies Carlsberg mehrfach auf die Schwachstelle hin. Die vom Brauereikonzern genutzte Meldeplattform für Schwachstellen wies die Forscher an, nicht öffentlich darüber zu posten. Nachdem weitere 150 Tage vergingen, veröffentlichten PTP ihren Bericht.